使用 Ansible 讓你的系統管理自動化 | Linux 中國

精進你的系統管理能力和 Linux 技能，學習如何設定工具來簡化管理多臺機器。

你是否想精進你的系統管理能力和 Linux 技能？也許你的本地區域網上跑了一些東西，而你又想讓生活更輕鬆一點–那該怎麼辦呢？在本文中，我會向你演示如何設定工具來簡化管理多臺機器。

遠端管理工具有很多，SaltStack、Puppet、Chef，以及 Ansible 都是很流行的選擇。在本文中，我將重點放在 Ansible 上並會解釋它是如何幫到你的，不管你是有 5 臺還是 1000 臺虛擬機器。

讓我們從多機（不管這些機器是虛擬的還是物理的）的基本管理開始。我假設你知道要做什麼，有基礎的 Linux 管理技能（至少要有能找出執行每個任務具體步驟的能力）。我會向你演示如何使用這一工具，而是否使用它由你自己決定。

什麼是 Ansible？

Ansible 的網站上將之解釋為 “一個超級簡單的 IT 自動化引擎，可以自動進行雲供給、配置管理、應用部署、服務內部編排，以及其他很多 IT 需求。” 透過在一個集中的位置定義好伺服器集合，Ansible 可以在多個伺服器上執行相同的任務。

如果你對 Bash 的 for 迴圈很熟悉，你會發現 Ansible 操作跟這很類似。區別在於 Ansible 是幕等的idempotent。通俗來說就是 Ansible 一般只有在確實會發生改變時才執行所請求的動作。比如，假設你執行一個 Bash 的 for 迴圈來為多個機器建立使用者，像這樣子：

for server in serverA serverB serverC; do ssh ${server} "useradd myuser"; done

這會在 serverA、serverB，以及 serverC 上建立 myuser 使用者；然而不管這個使用者是否存在，每次執行這個 for 迴圈時都會執行 useradd 命令。一個幕等的系統會首先檢查使用者是否存在，只有在不存在的情況下才會去建立它。當然，這個例子很簡單，但是幕等工具的好處將會隨著時間的推移變得越發明顯。

Ansible 是如何工作的？

Ansible 會將 Ansible playbooks 轉換成透過 SSH 執行的命令，這在管理類 UNIX 環境時有很多優勢：

配置 SSH 金鑰認證

使用 Ansible 的一種常用方法是配置無需密碼的 SSH 金鑰登入以方便管理。（可以使用 Ansible Vault 來為密碼等敏感資訊提供保護，但這不在本文的討論範圍之內）。現在只需要使用下麵命令來生成一個 SSH 金鑰，如示例 1 所示。

[09:44 user ~]$ ssh-keygen
Generating public/private rsa key pair。
Enter file in which to save the key (/home/user/.ssh/id_rsa):
Created directory '/home/user/.ssh'。
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/user/.ssh/id_rsa。
Your public key has been saved in /home/user/.ssh/id_rsa.pub。
The key fingerprint is:
SHA256:TpMyzf4qGqXmx3aqZijVv7vO9zGnVXsh6dPbXAZ+LUQ user@user-fedora
The key's randomart image is:
+---[RSA 2048]----+
|                 |
|                 |
|              E  |
|       o .   .。|
|   .  + S    o+。|
|  . .o * .  .+ooo|
| . .+o  o o oo+。*|
|。.ooo* o。*  .*+|
| . o+*BO.o+    .o|
+----[SHA256]-----+

示例 1 ：生成一個 SSH 金鑰

在示例 1 中，直接按下回車鍵來接受預設值。任何非特權使用者都能生成 SSH 金鑰，也能安裝到遠端系統中任何使用者的 SSH 的 authorized_keys 檔案中。生成金鑰後，還需要將之複製到遠端主機上去，執行下麵命令：

ssh-copy-id root@servera

註意：執行 Ansible 本身無需 root 許可權；然而如果你使用非 root 使用者，你需要為要執行的任務配置合適的 sudo 許可權。

輸入 servera 的 root 密碼，這條命令會將你的 SSH 金鑰安裝到遠端主機上去。安裝好 SSH 金鑰後，再透過 SSH 登入遠端主機就不再需要輸入 root 密碼了。

安裝 Ansible

只需要在示例 1 中生成 SSH 金鑰的那臺主機上安裝 Ansible。若你使用的是 Fedora，輸入下麵命令：

sudo dnf install ansible -y

若執行的是 CentOS，你需要為 EPEL 倉庫配置額外的包：

sudo yum install epel-release -y

然後再使用 yum 來安裝 Ansible：

sudo yum install ansible -y

對於基於 Ubuntu 的系統，可以從 PPA 上安裝 Ansible：

sudo apt-get install software-properties-common -y
sudo apt-add-repository ppa:ansible/ansible
sudo apt-get update
sudo apt-get install ansible -y

若你使用的是 macOS，那麼推薦透過 Python PIP 來安裝：

sudo pip install ansible

對於其他發行版，請參見 Ansible 安裝檔案 [1]。

Ansible Inventory

Ansible 使用一個 INI 風格的檔案來追蹤要管理的伺服器，這種檔案被稱之為庫存清單Inventory。預設情況下該檔案位於 /etc/ansible/hosts。本文中，我使用示例 2 中所示的 Ansible 庫存清單來對所需的主機進行操作（為了簡潔起見已經進行了裁剪）：

[arch]
nextcloud
prometheus
desktop1
desktop2
vm-host15
[fedora]
netflix
[centos]
conan
confluence
7-repo
vm-server1
gitlab
[ubuntu]
trusty-mirror
nwn
kids-tv
media-centre
nas
[satellite]
satellite
[ocp]
lb00
ocp_dns
master01
app01
infra01

ansible -a "some command"

ansible centos -a 'yum update -y'

ansible all -m ping

nwn | SUCCESS => {
    "changed":false，
    "ping":"pong"
}
media-centre | SUCCESS => {
    "changed":false，
    "ping":"pong"
}
nas | SUCCESS => {
    "changed":false，
    "ping":"pong"
}
kids-tv | SUCCESS => {
    "changed":false，
    "ping":"pong"
}
...

---
- hosts:all
  gather_facts:false
  vars:
    ssh_key:'/root/playbooks/files/laptop_ssh_key'
  tasks:
    - name:copy ssh key
      authorized_key:
        key:"{{ lookup('file'，ssh_key) }}"
        user:root

ansible-playbook push_ssh_keys.yaml

---
- hosts:all
  gather_facts:true
  vars:
  tasks:
    - name:Enabling ssh-key only root access
      lineinfile:
        dest:/etc/ssh/sshd_config
        regexp:'^PermitRootLogin'
        line:'PermitRootLogin without-password'
      notify:
        - restart_sshd
        - restart_ssh
  handlers:
    - name:restart_sshd
      service:
        name:sshd
        state:restarted
        enabled:true
      when:ansible_distribution == 'RedHat'
    - name:restart_ssh
      service:
        name:ssh
        state:restarted
        enabled:true
      when:ansible_distribution == 'Debian'

ansible localhost -m setup |less