1. Ansible 安装和入门
1.1. Ansible安装
1.1.1. 网站
官方文档
https://docs.ansible.com/ansible/latest/installation_guide/intro_installation.html
下载
https://releases.ansible.com/ansible/
pip 下载
https://pypi.org/project/ansible/
1.1.2. 包安装方式
#CentOS 的EPEL源的rpm包安装
yum install ansible
#ubuntu 安装
apt -y install ansible
1.1.3. 编译安装
yum -y install python-jinja2 PyYAML python-paramiko python-babel python-crypto
wget https://releases.ansible.com/ansible/ansible-1.5.4.tar.gz
tar xf ansible-1.5.4.tar.gz
cd ansible-1.5.4
python setup.py build
python setup.py install
mkdir /etc/ansible
cp -r examples/* /etc/ansible
1.1.4. Git方式安装
git clone git://github.com/ansible/ansible.git --recursive
cd ./ansible
source ./hacking/env-setup
1.1.5. pip 方式安装
yum install python-pip
pip install --upgrade pip
pip install ansible --upgrade
1.1.6. 直接包安装即可，无需花里胡哨
1.2. Ansible 相关文件
1.2.1. ★ 配置文件★
/etc/ansible/ansible.cfg 主配置文件，配置ansible工作特性,也可以在项目的目录中创建此文件,当前目录下如果也有ansible.cfg,则此文件优先生效,建议每个项目目录下,创建独有的ansible.cfg文件
/etc/ansible/hosts 主机清单
/etc/ansible/roles/ 存放角色的目录
1.2.2. ★★ansible 主配置文件★★
Ansible 的配置文件可以放在多个不同地方,优先级从高到低顺序如下
ANSIBLE_CONFIG #环境变量,注意此项用 ansible --version 看不到,但可以生效
./ansible.cfg #当前目录下的ansible.cfg
~/.ansible.cfg #当前用户家目录下的.ansible.cfg
/etc/ansible/ansible.cfg #系统默认配置文件
Ansible 的默认配置文件 /etc/ansible/ansible.cfg ,其中大部分的配置内容无需进行修改
列举一些有时候会修改的选项
[defaults]
#inventory = /etc/ansible/hosts #主机列表配置文件
#library = /usr/share/my_modules/ #库文件存放目录
#remote_tmp = $HOME/.ansible/tmp #临时py命令文件存放在远程主机目录
#local_tmp = $HOME/.ansible/tmp #本机的临时命令执行目录
#forks = 5 #默认并发数
#sudo_user = root #默认sudo 用户
#ask_sudo_pass = True #每次执行ansible命令是否询问ssh密码
#ask_pass = True
#remote_port = 22
#host_key_checking = False #检查对应服务器的host_key，建议取消此行注释,实现第一次连接自动信任目标主机
#log_path=/var/log/ansible.log #日志文件，建议启用
#module_name = command #默认模块，可以修改为shell模块
[privilege_escalation] #普通用户提权配置
#become=True
#become_method=sudo
#become_user=root
#become_ask_pass=False
1.2.3. inventory 主机清单文件
ansible的主要功用在于批量主机操作，为了便捷地使用其中的部分主机，可以在inventory 主机清单文件中将其分组组织
★★默认的inventory file为 /etc/ansible/hosts★★
★★主机清单文件格式★★
#inventory文件遵循INI文件风格，中括号中的字符为组名。可以将同一个主机同时归并到多个不同的组中
#此外，当如若目标主机使用了非默认的SSH端口，还可以在主机名称之后使用冒号加端口号来标明
#如果主机名称遵循相似的命名模式，还可以使用列表的方式标识各主机
举例：
[webservers]
www[1:100].example.com
[dbservers]
db-[a:f].example.com
[appservers]
10.0.0.[1:100]
#定义testsrvs组中包括两个其它分组,实现组嵌套
[testsrvs:children]
webservers
dbservers
★★Inventory 参数说明 ★★
ansible_ssh_host #将要连接的远程主机名.与你想要设定的主机的别名不同的话,可通过此变量设置.
ansible_ssh_port #ssh端口号.如果不是默认的端口号,通过此变量设置.这种可以使用 ip:端口192.168.1.100:2222
ansible_ssh_user #默认的 ssh 用户名
ansible_ssh_pass #ssh 密码(这种方式并不安全,我们强烈建议使用 --ask-pass 或 SSH 密钥)
ansible_sudo_pass #sudo 密码(这种方式并不安全,我们强烈建议使用 --ask-sudo-pass)
ansible_sudo_exe (new in version 1.8) #sudo 命令路径(适用于1.8及以上版本)
ansible_connection #与主机的连接类型.比如:local, ssh 或者 paramiko. Ansible 1.2 以前默认使用 paramiko.1.2 以后默认使用 'smart','smart' 方式会根据是否支持 ControlPersist, 来判断'ssh' 方式是否可行.
ansible_ssh_private_key_file #ssh 使用的私钥文件.适用于有多个密钥,而你不想使用 SSH 代理的情况.
ansible_shell_type #目标系统的shell类型.默认情况下,命令的执行使用 'sh' 语法,可设置为'csh' 或 'fish'.
ansible_python_interpreter #目标主机的 python 路径.适用于的情况: 系统中有多个 Python,或者命令路径不是"/usr/bin/python",比如 \*BSD, 或者 /usr/bin/python 不是 2.X 版本Python.之所以不使用 "/usr/bin/env" 机制,因为这要求远程用户的路径设置正确,且要求 "python"可执行程序名不可为 python以外的名字(实际有可能名为python26).与ansible_python_interpreter 的工作方式相同,可设定如 ruby 或 perl 的路径....
#举例
指定本地连接,无需ssh配置
[test]
10.0.0.8 ansible_connection=local
#inventory file可以有多个，且也可以通过Dynamic Inventory来动态生成
注意: 生产建议在每个项目目录下创建项目独立的hosts文件
官方文档:
https://docs.ansible.com/ansible/latest/user_guide/intro_inventory.html
1.3. Ansible相关工具
1.3.1. ★★/usr/bin/ansible 主程序，临时命令执行工具★★
1.3.1.1ansible 使用前准备
ansible 相关工具大多数是通过ssh协议，实现对远程主机的配置管理、应用部署、任务执行等功能
建议：使用此工具前，先配置ansible主控端能基于密钥认证的方式联系各个被管理节点或者直接关闭ssl的身份验证
#关闭身份验证
#方式一：修改ssh配置文件
[root@centos8 ~]#vim /etc/ssh/ssh_config #修改下面一行
StrictHostKeyChecking no
#方式二：修改ansible配置文件
[root@centos8 ~]#vim /etc/ansible/ansible.cfg #取消下面行注释,实现第一次连接自动信任目标主机
#host_key_checking = False
修改ansible配置文件
直接生成证书用于ssh
#这是自己写的一个用于网段扫描，然后为该网段都发送证书的脚本
#!/bin/bash
#
#*********************************************
#Author: SUNXiang
#QQ: 448803503
#Description： 扫描网段地址，生成公钥用于无密码登录
#Date: 2021-10-10
#*********************************************
END=254
#设置网段最后的地址，4-255之间，越小扫描越快
IP=`ip a s ens33 | awk -F'[ /]+' 'NR==3{print $3}'`
#指定网卡名ens33显示ip，通过awk以一个以上的空格和/作为分隔符，取第三行第三列的内容，即本地ip地址
NET=${IP%.*}.
#%表示截取尾部字段.*表示截取最后一个.以及其后面的内容，如果ip为10.0.0.10，通过次截断得到10.0.0，截断完成后又在后面加上一个.，最后NET的结果为10.0.0. 即网络ip
rm -f /root/.ssh/id_rsa
[ -e ./SCANIP.log ] && rm -f SCANIP.log
for((i=2;i<="$END";i++));do
ping -c 1 -w 1 ${NET}$i &> /dev/null && echo "${NET}$i" >> SCANIP.log &
done
wait
#通过ping进行网段扫描，如果能ping通说明该地址存在，然后将存在的地址存入SCANIP.log文件中（最后一个&符号用于后台执行增加执行效率）
ssh-keygen -P "" -f /root/.ssh/id_rsa
#在客户端生成密钥对,密钥的密码为空（即不设置密码），存放位置为/root/.ssh/id_rsa
rpm -q sshpass || yum -y install epel-next-release.noarch sshpass && echo '安装成功' || echo '安装失败'
#检验是否安装sshpass工具，如果没有安装进行安装
export SSHPASS=sx
AliveIP=(`cat SCANIP.log`)
for ADDR in ${AliveIP[*]};do
{ sshpass -e ssh-copy-id -o StrictHostKeyChecking=no $ADDR; } &
done
exit
#指定用户密码，把公钥文件传输至远程服务器对应用户的家目录，通过-o选项指定参数StrictHostKeyChecking=no来关闭首次登录的身份验证。远程服务器的地址通过读取文件SACNIP.log生成的数组来获取
1.3.1.2格式
• ansible
1.3.1.3★★选项说明★★
-version #显示版本
-m module #指定模块，默认为command
-v #详细过程 -vv -vvv更详细
--list-hosts #显示主机列表，可简写 --list
-C, --check #检查，并不执行
-T, --timeout=TIMEOUT #执行命令的超时时间，默认10s
-k, --ask-pass #提示输入ssh连接密码，默认Key验证
-u, --user=REMOTE_USER #执行远程执行的用户,默认root
-b, --become #代替旧版的sudo 切换
--become-user=USERNAME #指定sudo的runas用户，默认为root
-K, --ask-become-pass #提示输入sudo时的口令
-f FORKS, --forks FORKS #指定并发同时执行ansible任务的主机数
-a，--args #表示后面加执行的命令
举例：将普通用户提升权限
#原始手段：被控制端sudo授权
[root@centos8 ~]#grep test /etc/sudoers
test ALL=(ALL) NOPASSWD: ALL
#通过ansible：控制端以test的用户连接，并且利用sudo代表root执行whoami命令
[root@ansible ~]#ansible 10.0.0.8 -m shell -a 'whoami' -u test -k -b
SSH password: #输入远程主机test用户ssh连接密码
10.0.0.8 | CHANGED | rc=0 >>
root
1.3.1.4★★主机匹配方式★★
All ：表示所有Inventory中的所有主机
*:通配符
:：或关系
:&：逻辑与
!：逻辑非
正则表达式
• ansible “~(web|db).*.test.com” -m ping
• ～就是表示用来匹配后面的正则表达式，告诉ansible后面开始是正则语法。
1.3.1.5ansible命令执行过程
• 1. 加载自己的配置文件,默认/etc/ansible/ansible.cfg
• 2. 加载自己对应的模块文件，如：command
• 3. 通过ansible将模块或命令生成对应的临时py文件，并将该文件传输至远程服务器的对应执行用户
$HOME/.ansible/tmp/ansible-tmp-数字/XXX.PY文件
• 4. 给文件+x执行
• 5. 执行并返回结果
• 6. 删除临时py文件，退出
1.3.1.6ansible 的执行状态
1.3.2. /usr/bin/ansible-doc 查看配置文档，模块功能查看工具,相当于man
格式：ansible-doc [options] [module…]
- -l, –list #列出可用模块
- -s, –snippet #显示指定模块的playbook片段
# 举例
#列出所有模块
ansible-doc -l
#查看指定模块帮助用法
• ansible-doc ping #查看详细说明
• ansible-doc -s ping # 查看精简说明
1.3.3. /usr/bin/ansible-playbook 定制自动化任务，编排剧本工具,相当于脚本
1.3.4. /usr/bin/ansible-pull 远程执行命令的工具
1.3.5. /usr/bin/ansible-vault 文件加密工具
1.3.6. /usr/bin/ansible-console 基于Console界面与用户交互的执行工具，支持tab
提示符格式
执行用户@当前操作的主机组 (当前组的主机数量)[f:并发数]$
常用子命令
设置并发数： forks n 例如： forks 10
切换组： cd 主机组 例如： cd web
列出当前组主机列表：list
列出所有的内置命令：?或help
举例说明
1.3.7. /usr/bin/ansible-galaxy 下载/上传优秀代码或Roles模块的官网平台
1.3.8. 利用ansible实现管理的主要方式
Ansible Ad-Hoc 即利用ansible命令，主要用于临时命令使用场景
Ansible playbook 主要用于长期规划好的，大型项目的场景，需要有前期的规划过程
1.4. ★★ Ansible常用模块★★
1.4.1. 常用模块帮助文档参考：
· https://docs.ansible.com/ansible/2.9/modules/modules_by_category.html
· https://docs.ansible.com/ansible/2.9/modules/list_of_all_modules.html
1.4.2. ★★Command 模块★★
功能：在远程主机执行命令，此为默认模块，可忽略 -m 选项
修改默认模块
注意：此命令不支持 $VARNAME < > | ; & 等，可用shell模块实现
注意：此模块不具有幂等性
1.4.3. ★★Shell 模块★★
功能：和command相似，用shell执行命令,支持各种符号,比如:*,$, >
注意：此模块不具有幂等性
注意：调用bash执行命令 类似 cat /tmp/test.md | awk -F’|’ ‘{print $1,$2}’ &> /tmp/example.txt 这些复杂命令，即使使用shell也可能会失败，解决办法：写到脚本时，copy到远程，执行，再把需要的结果拉回执行命令的机器
1.4.4. ★★Script 模块★★
功能：在远程主机上运行ansible服务器上的脚本(无需执行权限)
注意：此模块不具有幂等性
1.4.5. ★★Copy 模块 ★★
功能：从ansible服务器主控端复制文件到远程主机
注意: src=file 如果是没指明路径,则为当前目录或当前目录下的files目录下的file文件
说明
• 如目标存在，默认覆盖，所以可以backup=yes使其先备份
• ansible DHCP -m copy -a “src=/root/test1.sh dest=/tmp/test2.sh backup=yes”
• 复制/etc目录自身,注意/etc/后面没有/
• 复制/etc/下的文件，不包括/etc/目录自身,注意/etc/后面有/
1.4.6. ★★Get_url 模块★★
功能: 用于将文件从http、https或ftp下载到被管理机节点上
常用参数如下：
url #下载文件的URL,支持HTTP，HTTPS或FTP协议
dest #下载到目标路径（绝对路径），如果目标是一个目录，就用服务器上面文件的名称，如果目标设置了名称就用目标设置的名称
owner：指定属主
group：指定属组
mode：指定权限
force #如果yes，dest不是目录，将每次下载文件，如果内容改变，替换文件。如果否，则只有在目标不存在时才会下载该文件
checksum #对目标文件在下载后计算摘要，以确保其完整性
示例:
checksum="sha256:D98291AC[...]B6DC7B97",
checksum="sha256:http://example.com/path/sha256sum.txt"
url_username #用于HTTP基本认证的用户名。 对于允许空密码的站点，此参数可以不使用`url_password'
url_password #用于HTTP基本认证的密码。 如果未指定`url_username'参数，则不会使用`url_password'参数
validate_certs #如果“no”，SSL证书将不会被验证。 适用于自签名证书在私有网站上使用
timeout #URL请求的超时时间,秒为单位
举例
直接从网站上下载ngix到被控端本地
1.4.7. ★★Fetch 模块★★
功能：从远程主机提取文件至ansible的主控端，copy相反，目前不支持目录
1.4.8. ★★File 模块★★
功能：设置文件属性,创建软链接等
常用选项
path #被控端指定路径
state #指定操作
touch #创建文件
directory #创建目录
link #创建软连接
owner #指定属主
mode #指定文件权限
创建文件
指定属主，已经文件权限
删除文件
创建目录
创建软链接
递归修改目录属性,但不递归至子目录
递归修改目录及子目录的属性
1.4.9. ★★stat 模块★★
功能：检查文件或文件系统的状态
注意：对于Windows目标，请改用win_stat模块
选项：
• path：文件/对象的完整路径（必须）
常用的返回值判断：
• exists： 判断是否存在
• isuid： 调用用户的ID与所有者ID是否匹配
1.4.10. ★★unarchive 模块★★
功能：解包解压缩
实现有两种用法：
• 1、将ansible主机上的压缩包传到远程主机后解压缩至特定目录，设置copy=yes,此为默认值,可省略
• 2、将远程主机上的某个压缩包解压缩到指定路径下，设置copy=no
常见参数：
• copy：默认为yes，当copy=yes，拷贝的文件是从ansible主机复制到远程主机上，如果设置为copy=no，会在远程主机上寻找src源文件
• remote_src：和copy功能一样且互斥，yes表示在远程主机，不在ansible主机，no表示文件在ansible主机上
• src：源路径，可以是ansible主机上的路径，也可以是远程主机(被管理端或者第三方主机)上的路径，如果是远程主机上的路径，则需要设置copy=no
• dest：远程主机上的目标路径
• mode：设置解压缩后的文件权限
举例
从控制端复制压缩文件进行解压
从被控制端本地解压文件
从网上下载到被控端进行解压
1.4.11. ★★Archive 模块★★
功能：打包压缩保存在被管理节点
1.4.12. ★★Hostname 模块★★
功能：管理主机名
1.4.13. ★★Cron 模块★★
功能：计划任务
支持时间：minute，hour，day，month，weekday
常用选项：
name #计划任务名
job #计划任务执行的操作
disable #是否禁用计划任务
=yes #禁用计划任务
=no #启用计划任务（默认）
state=absent #删除计划任务
举例：
创建任务
查看任务
禁用计划任务
查看任务
此时的任务记录已经被打上了#进行注释了
启用计划任务
查看任务
之前的#现在被取消了
删除任务
查看任务
任务列表为空了
1.4.14. ★★Yum 和 Apt 模块★★
功能：
• yum 管理软件包，只支持RHEL，CentOS，fedora，不支持Ubuntu其它版本
• apt 模块管理 Debian 相关版本的软件包
举例
#安装
ansible DHCP -m yum -a 'name=httpd state=present'
#启用epel源安装
ansible DHCP -m yum -a 'name=nginx state=present enablerepo=epel'
#升级
ansible DHCP -m yum -a 'name=* state=lastest exclude=kernel*,foo*' #表示升级除了以kernel和foo开头的所有包
#删除
ansible DHCP -m yum -a 'name=httpd state=absent'
#查看
ansible DHCP -m yum -a "list=httpd"
1.4.15. yum_repository 模块
https://docs.ansible.com/ansible/2.9/modules/yum_repository_module.html#yum-repository-module
1.4.16. ★★Service 模块★★
功能：管理服务
举例
state有started、stopped、reloaded、restarted这几种
1.4.17. ★★User 模块★★
功能：管理用户
举例
#创建用户
ansible all -m user -a 'name=user1 comment="test user" uid=2048 home=/app/user1 group=root' #普通用户
ansible all -m user -a 'name=nginx comment=nginx uid=88 group=nginx groups="root,daemon" shell=/sbin/nologin system=yes create_home=no home=/data/nginx non_unique=yes' #系统用户
#删除用户
remove=yes表示删除用户及家目录等数据,默认remove=no
ansible all -m user -a 'name=nginx state=absent remove=yes'
#生成密码
#用上面创建的密码创建用户
ansible all -m user -a 'name=test password="$6$salt$MktMKPZJ6t59GfxcJU20DwcwQzfMvOlHFVZiOVD71w."'
#创建用户test,并生成4096bit的私钥
ansible all -m user -a 'name=test generate_ssh_key=yes ssh_key_bits=4096 ssh_key_file=.ssh/id_rsa'
1.4.18. ★★Group 模块★★
功能：管理组
举例：
#创建组
ansible all -m group -a 'name=nginx gid=88 system=yes'
#删除组
ansible all -m group -a 'name=nginx state=absent'
1.4.19. ★★Lineinfile 模块★★
介绍：ansible在使用sed进行替换时，经常会遇到需要转义的问题，而且ansible在遇到特殊符号进行替换时，存在问题，无法正常进行替换 。其实在ansible自身提供了两个模块：lineinfile模块和replace模块，可以方便的进行替换
- 一般在ansible当中去修改某个文件的单行进行替换的时候需要使用lineinfile模块
- regexp参数 ：使用正则表达式匹配对应的行，当替换文本时，如果有多行文本都能被匹配，则只有最后面被匹配到的那行文本才会被替换，当删除文本时，如果有多行文本都能被匹配，这么这些行都会被删除。
- 如果想进行多行匹配进行替换需要使用replace模块
功能：相当于sed，可以修改文件内容
举例
#修改http的默认端口号
ansible all -m lineinfile -a "path=/etc/httpd/conf/httpd.conf regexp='^Listen' line='Listen 80'"
#闭SElinux
ansible all -m lineinfile -a "path=/etc/selinux/config regexp='^SELINUX=' line='SELINUX=disabled'"
#删除所有已为#开头的行
ansible all -m lineinfile -a 'dest=/etc/fstab state=absent regexp="^#"'
1.4.20. Replace 模块
该模块有点类似于sed命令，主要也是基于正则进行匹配和替换，建议使用
举例
ansible all -m replace -a "path=/etc/fstab regexp='^(UUID.*)' replace='#\1'"
1.4.21. ★★SELinux 模块★★
该模块管理 SELInux 策略
举例
#禁用SElinux
ansible all -m selinux -a 'state=disabled'
1.4.22. reboot 模块
ansible DHCP -m reboot
1.4.23. ★★mount 挂载和卸载★★
功能: 挂载和卸载文件系统
举例
#临时挂载
mount DHCP -m mount -a 'src="UUID=b3e48f45-f933-4c8e-a700-22a159ec9077" path=/home fstype=xfs opts=noatime state=present'
#临时取消挂载
mount DHCP -m mount -a 'path=/home fstype=xfs opts=noatime state=unmounted'
#永久挂载
ansible DHCP -m mount -a 'src=10.0.0.8:/data/wordpress path=/var/www/html/wp-content/uploads opts="_netdev" state=mounted'
#永久卸载
ansible DHCP -m mount -a 'src=10.0.0.8:/data/wordpress path=/var/www/html/wp-content/uploads state=absent'
1.4.24. ★★Setup 模块★★
功能： setup 模块来收集主机的系统信息，这些 facts 信息可以直接以变量的形式使用，但是如果主机较多，会影响执行速度
说明：可以使用 gather_facts: no 来禁止 Ansible 收集 facts 信息
举例
• ansible all -m setup
• ansible all -m setup -a "filter=ansible_nodename"
• ansible all -m setup -a "filter=ansible_hostname"
• ansible all -m setup -a "filter=ansible_domain"
• ansible all -m setup -a "filter=ansible_memtotal_mb"
• ansible all -m setup -a "filter=ansible_memory_mb"
• ansible all -m setup -a "filter=ansible_memfree_mb"
• ansible all -m setup -a "filter=ansible_os_family"
• ansible all -m setup -a "filter=ansible_distribution_major_version"
• ansible all -m setup -a "filter=ansible_distribution_version"
• ansible all -m setup -a "filter=ansible_processor_vcpus"
• ansible all -m setup -a "filter=ansible_all_ipv4_addresses" #取ip地址
• ansible all -m setup -a "filter=ansible_architecture"
• ansible all -m setup -a "filter=ansible_uptime_seconds"
• ansible all -m setup -a "filter=ansible_processor*"
• ansible all -m setup -a 'filter=ansible_env'
1.4.25. debug 模块
功能：此模块可以用于输出信息,并且通过 msg 定制输出的信息内容
注意: msg后面的变量有时需要加 ” ” 引起来
举例
debug 模块默认输出Hello world
利用debug 模块输出变量
