快乐成长

前言

最近看了一下ansible，挺火的一个配置管理工具，对比老大哥puppet，使用起来要简单一些，并且可以批量执行命令，对比同是python语言编写的saltstack,不需要安装客户端（基于paramiko），也更灵活一些，尤其我们现有的登录方式，通过跳板机加密钥，改造成ansible成本很低，准备学习一下以后在生产上使用。

ansible已被红帽收购，目前出到2.0了，和红帽的朋友聊了一下，这个配合现在大火的openstack（红帽是其代码最大贡献者之一），看来以后会成为自动化运维的一个趋势。

官网地址http://docs.ansible.com/

安装

最简单的epel之后，yum install ansible

也可以用pip的方式

pip install ansible即可

如果像我们一样服务器不能连接公网，需要手动下载一下python模块ecdsa, pycrypto, paramiko, MarkupSafe, jinja2, PyYAML, ansible

目前安装的版本是1.9.4

ansible --version
ansible 1.9.4

入门使用

首先把ssh密钥搞好，这里就不说了，保证master和minion之间不通过密码

定义主机和组：

vim /etc/ansible/hosts  #默认的文件位置，也可执行ansible时手动指定hosts文件，通过-i参数

[test]
10.199.2.45
10.199.2.46

[web]
10.199.2.[42:47]  #=10.199.2.42\43\44\45\46\47
test.case.com  #主机名定义

使用第一个模块：

ansible test -m ping -u sre -s #-m接模块名，因为我们使用的是sre账户登录后通过sudo的方式，-u接用户，-s表示sudo方式执行
ansible test:\!10.199.2.46 -m ping -u sre -s #:\!排除某个主机
ansible 10.199.2.46 -m ping -u sre -s #当然也可以直接接ip而不使用组进行

ansible自带了很多模块

可以通过ansible-doc -l 查看总共有哪些模块，ansible-doc ping 显示某个模块的用法，ansible-doc -s ping 显示某个模块在playbooks中的代码片段

远程执行命令模块：

远程执行命令可能是ansible最常用也是最方便的一个功能，这里举几个例子

1.执行minion操作系统命令

1	ansible test -a 'w' -u sre -s #默认模块command,实现执行远程命令，-a接模块参数

2.minion上执行master上脚本

master先创建脚本1.sh

#!/bin/bash

ls /tmp/

ansible test -m script -a '1.sh' -u sre -s  #script模块相当于scp+shell，将本地脚本在远端minion进行执行

3.minion执行minion上脚本，2.45远端存在minion.sh，2.46不存在

1	ansible test -m shell -a '/tmp/minion.sh' -u sre -s

shell和command模块很类似，看帮助信息了解到command和shell功能基本一致，但shell可以使用环境变量、管道等，功能更强大

copy模块 

ansible test -m copy -a 'src=1.sh dest=/tmp/ owner=root group=root mode=0755' -u sre -s
#将本地1.sh文件传到远端，如第二次执行此命令，如无更新，则远端无更新，有更新，则远端更新

yum模块

ansible test -m yum -a "name=nc state=latest" -u sre -s

cron模块

ansible test -m cron -a "name='test' job='ls /tmp' minute=*/2 hour=3,4,5" -u sre -s
#对端服务器crontab -l
#Ansible: test
*/2 3,4,5 * * * ls /tmp

ansible test -m cron -a "name='test' state=absent" -u sre -s #删除该条cron

service模块

ansible test -m service -a "name=ntpd state=started" -u sre -s     
ansible test -m service -a "name=ntpd state=stopped" -u sre -s

user模块

ansible test -m user -a "name=test123" -u sre -s  #创建用户
ansible test -m user -a "name=test123 state=absent remove=yes" -u sre -s  #删除用户并删除家目录

lineinfile模块

#用于文件内的内容处理
ansible ctx-lf -m lineinfile -a "dest=/tmp/sudoers line='appuser  ALL=(ALL)       NOPASSWD:ALL' insertafter=^sre" -u sre -s -i host  #在sudo文件中sre开头之后加入line=的内容，insertafter可以写正则或EOF（结尾），同理还有insertbefore也可以写正则或BOF（开头）
ansible ctx-lf -m lineinfile -a "dest=/tmp/sudoers state=absent regexp=^appuser" -u sre -s -i hosts  #去掉正则匹配的所有行
ansible ctx-lf -m lineinfile -a "dest=/tmp/sudoers regexp=^sre line='#sre  ALL=(ALL)       NOPASSWD:ALL'" -u sre -s -i hosts  #将sre开头的最后匹配的一行前边加上#
#也可以用()形式做替代变更，类似sed
ansible ctx-lf -m lineinfile -a "dest=/tmp/sudoers regexp=^(sre.*)$ line='#\1' backrefs=yes" -u sre -s -i hosts   #\1表示第一个()里的内容，注意这种用法需要backrefs为yes，开启扩展正则匹配
ansible ctx-lf -m lineinfile -a "dest=/tmp/sudoers regexp=^(sre.*)$ line='123123' validate='visudo -cf %s'" -u sre -s -i hosts   #加入validate的验证，比如sudo文件如果改错了，可能影响整个系统的管理，加入验证之后，如果修改的sudo文件格式错误，将不会保存

进阶一下，请看下一篇ansible playbook的基本介绍 http://www.cnblogs.com/caseast/p/5181910.html

来源： https://www.cnblogs.com/caseast/p/5180205.html

 

ansible写一个简单的playbook

前言

实现的功能很简单，就是通过ansible批量完成某个账户sudo权限的开通或关闭

目录结构

├── group_vars #放置各种变量的目录，我这里没用
├── hosts #主机和组配置，默认为/etc/ansible/hosts
├── roles #角色目录，里边可以有多个角色，这里只配置了一个common
│   └── common
│       ├── files #用于目录分发的目录
│       ├── handlers #放置处理程序，如重启某个服务
│       │   └── main.yml
│       ├── tasks #任务列表
│       │   └── main.yml
│       └── templates #放置模板目录，这里未用
└── site.yml #主入口配置，ansible-playbook 执行的第一个参数，也可以叫别的名称

文件内容

hosts

[ctx-lf-web] 
10.199.72.34 
 
[ctx-bj-web] 
10.0.32.34 
 
[ctx-lf-db]  
10.199.134.21 
 
[ctx-bj-db]  
10.0.32.39 
 
[ctx-web:children] #通过这种方式，将lf和bj这2个组的主机都归类为ctx-web中，这样后续site.yml的host绑定ctx-web就可以操作以下两个分组
ctx-lf-web 
ctx-bj-web 
 
[ctx-db:children] 
ctx-lf-db 
ctx-bj-db 
 
[ctx-bj:children] 
ctx-bj-web 
ctx-bj-db 
 
[ctx-lf:children] 
ctx-lf-web 
ctx-lf-db 

site.yml

--- 
- hosts: [ctx-bj, ctx-db] #可以选择多个分组，这个要和hosts中能找到
  remote_user: sre #因为需要通过远端普通用户使用sudo的方式，所以还需要配置sudo
  sudo: yes 
  roles: 
  - common #将hosts和common这个角色绑定，这个common需要在roles目录中存在

roles/common
其中包括很多目录，因为需求很简单，只配置了tasks/main.yml

--- 
# 安装libselinux-python，如果目标机打开了selinux，需要安装这个包才可以执行写的操作
- name: ensure libselinux-python 
  yum: name=libselinux-python state=latest 
  tags: #tags打上一个标签，这样当ansible-playbook执行脚本的时候，如果不加--tags 参数，将会执行所有tasks，如加上--tags 某个tags名，则只会执行打上对应tags的tasks
    - comment_appuser_sudo 
    - add_appuser_sudo  
 
# 注释appuser sudo 
- name: Commented-Out appuser sudo  
  lineinfile: dest=/etc/sudoers state=absent regexp="^(appuser.*)$"  validate="visudo -cf %s" #sudoers中删除以appuser开头的用户，其实更科学应该设置一个vars，把appuser作为一个变量这样更灵活
  tags: 
    - comment_appuser_sudo 
 
# 添加appuser sudo 
- name: Add appuser sudo   
  lineinfile: dest=/etc/sudoers insertafter="^sre" line="appuser  ALL=(ALL)       NOPASSWD:ALL" validate="visudo -cf %s" #在sre开头那行后边加入line的信息
  tags:  
    - add_appuser_sudo 

执行

    ansible-playbook -i hosts site.yml --tags comment_appuser_sudo -f 4 #-f并行处理的个数，默认5个，-i指定hosts文件，后接入口yml文件，注意tags，这里选择了comment...将会执行ensure libselinux-python 和Commented-Out appuser sudo这2个tasks，如不接tags参数，则所有tasks都执行

当然，以上都是多此一举

ansible ctx-bj-web -i hosts -m lineinfile -a "dest=/etc/sudoers state=absent regexp='^(appuser.*)$'  validate='visudo -cf %s'" -u sre -s
其实一条命令就搞定了