管理Ansible的配置文件与简单使用

管理Ansible的配置文件

Ansible配置文件的位置：

可以通过修改 Ansible 配置文件中的设置来自定义 Ansible安装的行为。Ansible从控制节点上多个可能的位置之一选择其配置文件。

/etc/ansible/ansible.cfg( ansible软件包默认位置的)

ansible软件包提供的一个基本的配置文件，位于/etc/ansible/ansible.cfg,如果找不到其他配置文件则使用此文件。

~./ansible.cfg(家目录下的)

在用户的家目录中查找.ansible.cfg,如果存在此配置文件并且当前目录中也没有ansible.cfg文件，则使用此配置文件取代/etc/ansible/ansible.cfg文件。

./ansible.cfg(当前目录下的)

在当前目录下存在ansible.cfg文件，则使用此文件，而不使用全局文件或者用户个人的文件，管理员可以创建一种目录结构，将不同环境或项目存储在单独的目录中，并且每个目录包含独特的设置而定制的配置文件。

ANSIBLE_CONFIG环境变量

我们可以通过将不同的配置文件放在不同的目录中，然后从适当的目录中执行ansible命令，以此使用配置文件。但是随着配置文件的增加，这种方法有局限性并且难以管理，有一个更加灵活的选项，即通过ANSIBLE＿CONFIG环境变量定义配置文件的位置，定义了此变量是，Ansible将使用变量所指定的配置文件，而不是使用上面的任何配置文件。

配置文件ansible.cfg的优先级

优先级：ANSIBLE_CONFIG(环境变量) > ./ansible.cfg(当前目录下的) > ~./ansible.cfg(家目录下的) > /etc/ansible/ansible.cfg (ansible软件包默认位置的)

ANSIBLE_CONFIG环境变量指定的任何文件将覆盖所有其他配置文件，如果没有设置该变量，接下来则检查运行.ansible命令的目录中是否有ansible.cfg文件。如果不存在该文件,则检查用户家目录是否有.ansible.cfg文件，只有在找不到其他配置文件时，才使用全局/etc/ansible/ansible.cfg文件，如果/etc/ansible/ansible.cfg配置文件不存在，Ansible包含使用的默认值。

 export ANSIBLE_CONFIG = 路径       //设置环境变量
[root@localhost ~]# ansible --version //查看ansible版本和当前使用的是哪个位置的配置文件
ansible 2.9.23
  config file = /etc/ansible/ansible.cfg       
  configured module search path = ['/root/.ansible/plugins/modules', '/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python3.6/site-packages/ansible
  executable location = /usr/bin/ansible
  python version = 3.6.8 (default, Dec  3 2020, 18:11:24) [GCC 8.4.1 20200928 (Red Hat 8.4.1-1)]

Ansible仅使用具有最高优先级的配置文件中的设置，即使存在优先级较低的其他配置文件，也会被忽略，不会与选定配置文件中的设置结合。如果你使用自行创建的配置文件来取代全局/etc/ansible/ansible.cfg配置文件，就需要将该文件中所有需要的设置复制到自己的用户级配置文件中，用户组配置文件中未定义的设置将保持默认值，如果设置了某个其他值，以设置的为准。

管理配置文件中的设置

Ansible配置文件由几个部分组成，部分的标题以中括号括起来。对于基本操作，请使用以下两部分:

[defaults]部分设置Ansible操作的默认值

[defaults]
inventory = inventory   //指定清单文件的位置
remote_user = user      //远程连接的用户名，如果未指定则使用当前用户名
ask_pass = false        //是否提示SSH需要受管主机的密码   True是需要，false是不需要
roles_path = /etc/ansible/roles		#ansible role存放路径，默认/etc/ansible/roles
log_path = /var/log/ansible.log		#Ansible日志路径，默认/var/log/ansible.log

timeout = 10		#SSH连接超时时间，默认10s
host_key_checking = False		#ansible第一次连接客户端是是否要检查ssh密钥

forks = 5		#ansible执行并发数,默认5
poll_interval = 15		#异步执行任务时查询间隔，默认15s
sudo_user = root		#执行ansible命令时使用的用户，默认root
remote_port = 22		#远程主机SSH端口，默认22
remote_user = root		#ansible执行playbook时远程认证用户，默认root

library = /usr/share/my_modules/		#Ansible搜寻模块的位置,默认/usr/share/my_modules/
module_utils = /usr/share/my_module_utils/

module_lang = C		#ansible模块运行语言环境，默认C
module_set_locale = False
module_name=command		#ansible使用模块，默认command

[privilege_escalation]配置Ansible如何在受管主机上执行特权升级(拥有root权限)

[privilege_escalation]
become = true  //连接后是否自动在受管主机上切换用户（通常切换为root）这也可以通过play来指定。
become_method = sudo     //如何切换用户（通常为sudo，这也是默认设置，但可选择su）        
become_user = root               // 要在受管主机上切换到的用户（通常是root，这也是默认值）
become_ask_pass = false       //是否需要为become_method提示输入密码。默认为false。

配置连接

Ansible需要知道如何与其受管主机通信。更改配置文件的一个最常见原因是为了控制Ansible使用什么方法和用户来管理受管主机。需要的一些信息包括：

• 列出受管主机和主机组的清单的位置

• 要使用哪一种连接协议来与受管主机通信（默认为SSH），以及是否需要非标准网络端口来连接服务器

• 要在受管主机上使用哪一远程用户；这可以是root用户或者某一非特权用户

• 如果远程用户为非特权用户，Ansible需要知道它是否应尝试将特权升级为root以及如何进行升级（例如，通过sudo）

• 是否提示输入SSH密码或sudo密码以进行登录或获取特权。

连接设置

默认情况下，Ansible使用SSH协议连接受管主机。控制Ansible如何连接受管主机的最重要参数在[defaults]部分中设置。

默认情况下，Ansible尝试连接受管主机时使用的用户名与运行ansible命令的本地用户相同。若要指定不同的远程用户，请将remote_user参数设置为该用户名。

如果为运行Ansible的本地用户配置了SSH私钥，使得它们能够在受管主机上进行远程用户的身份验证，则Ansible将自动登录。如果不是这种情况，可以通过设置指令ask_pass = true，将Ansible配置为提示本地用户输入由远程用户使用的密码。

[root@localhost ansible]# cat inventory    //清单设置
[client]
192.168.220.8 ansible_password=123456 ansible_user=harry

[root@localhost ansible]# vim ansible.cfg     //设置远程连接用户
# default user to use for playbooks if user is not specified
# (/usr/bin/ansible will use current user as default)
remote_user = harry                        //连接用户为harry

[root@localhost ansible]# ansible all -m ping  //检查连通性
192.168.220.8 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
    
[root@localhost ansible]# ansible all -m command -a 'touch jjyy'     //使用远程用户harry创建文件jjyy
[WARNING]: Consider using the file module with state=touch rather than running
'touch'.  If you need to use command because file is insufficient you can add
'warn: false' to this command task or set 'command_warnings=False' in
ansible.cfg to get rid of this message.
192.168.220.8 | CHANGED | rc=0 >>

[root@localhost ~]# su - harry          //受管主机切换到harry用户查看文件创建完成
Last login: Thu Jul 15 06:30:34 EDT 2021 from 192.168.220.7 on pts/0
[harry@localhost ~]$ ls
eww  jjyy  lll
[harry@localhost ~]$ 

升级特权

鉴于安全性和审计原因，Ansible可能需要先以非特权用户身份连接远程主机，然后再通过特权升级获得root用户身份的管理权限。这可以在Ansible配置文件的[privilege_escalation]部分中设置。

要默认启用特权升级，可以在配置文件中设置指令become = true。即使默认为该设置，也可以在运行临时命令或Ansible Playbook时通过各种方式覆盖它。（例如，有时候可能要运行一些不需要特权升级的任务或play。）

become_method指令指定如何升级特权。有多个选项可用，但默认为使用sudo。类似地，become_user指令指定要升级到的用户，但默认为root。

如果所选的become_method机制要求用户输入密码才能升级特权，可以在配置文件中设置become_ask_pass = true指令。

以下示例ansible.cfg文件假设你可以通过基于SSH密钥的身份验证以harry用户身份连接受管主机，并且harry可以使用sudo以root用户身份运行命令而不必输入密码：

[root@localhost ~]# visudo		//受管主机上将用户harry设置权限
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
harry    ALL=(ALL)       ALL

[root@localhost ansible]# vi ansible.cfg 	 //控制节点配置远程连接用户为harry
# default user to use for playbooks if user is not specified
# (/usr/bin/ansible will use current user as default)
remote_user = harry

[privilege_escalation]    //全部取消注释
become=True               //启用升级特权
become_method=sudo        //特权是sudo
become_user=root          //sudo命令使用的用户
become_ask_pass=False     //是否需要密码

[root@localhost ansible]# cat inventory    //清单设置
[client]
192.168.220.8 ansible_password=123456 ansible_user=harry ansible_sudo_pass=123456

[root@localhost ansible]# ansible all -m user -a 'name=zzz uid=1234 state=present' //使用用户harry创建用户，设置uid和状态为存在
192.168.220.8 | CHANGED => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": true,
    "comment": "",
    "create_home": true,
    "group": 1234,
    "home": "/home/zzz",
    "name": "zzz",
    "shell": "/bin/bash",
    "state": "present",
    "system": false,
    "uid": 1234

[root@localhost home]# id zzz   //受管主机查看创建的用户
uid=1234(zzz) gid=1234(zzz) groups=1234(zzz)

非SSH连接

默认情况下，Ansible用于连接受管主机的协议设置为smart，它会确定使用SHH的最高效方式。可以通过多种方式将其设置为其他的值。

例如，默认使用SSH的规则有一个例外。如果目录中没有localhost，Ansible将设置一个隐式localhost条目以便允许运行以localhost为目标的临时命令和playbook。这一特殊清单条目不包括在all或ungrouped主机组中。此外，Ansible不使用smart SSH连接类型，而是利用默认的特殊local连接类型来进行连接。

[root@localhost ansible]# ansible localhost -m ping
localhost | SUCCESS => {
    "changed": false,
    "ping": "pong"
}

local连接类型忽略remote_user设置，并且直接在本地系统上运行命令。如果使用特权升级，它会在运行sudo时使用运行Ansible命令的用户，而不是remote_user。如果这两个用户具有不同的sudo特权，这可能会导致混淆。

如果你要确保像其他受管主机一样使用SSH连接localhost，一种方法是在清单中列出它。但是，这会将它包含在all和ungrouped组中，而你可能不希望如此。

另一种方法是更改用于连接localhost的协议。执行此操作的最好方法是为localhost设置ansible_connection主机变量。为此，你需要在运行Ansible命令的目录中创建host_vars子目录。在该子目录中，创建名为localhost的文件，其应含有ansible_connection: smart这一行。这将确保对localhost使用smart（SSH)连接协议，而非local。

你也可以通过另一种变通办法来使用它。如果清单中列有127.0.0.1，则默认情况下，将会使用smart来连接它。也可以创建一个含有ansible_connection: local这一行的host_vars/127.0.0.1文件，它会改为使用local。

配置文件注释

Ansible配置文件允许使用两种注释字符：井号(#)或分号(;)。

井号(#)位于行开头的#号会注释掉整行。它不能和指令位于同一行中。

分号(;)字符可以注释掉所在行中其右侧的所有内容。它可以和指令位于同一行中，只要该指令在其左侧。

运行临时命令

使用临时命令可以快速执行单个Ansible任务，不需要将它保存下来供以后再次运行。它们是简单的在线操作，无需编写playbook即可运行。

临时命令对快速测试和更改很有用。例如，可以使用临时命令确保一组服务器上的**/etc/hosts**文件中存在某一特定的行。可以使用另一个临时命令在许多不同的计算机上高效的重启服务，或者确保特定的软件包为最新版本。

临时命令对于通过Ansible快速执行简单的任务非常有用。它们确实也存在局限，而且总体而言，要使用Ansible Playbook来充分发挥Ansible的作用。但在许多情形中，临时命令正是快速执行简单任务所需要的工具。

基本格式：ansible host-pattern(主机） -m module [-a ‘module arguments’] [-i inventory] -o

​ 其中host-pattern(主机）可以使是单个主机，也可是主机群

​ 参数：

​ -m 指定模块

​ -a 指定模块中的命令

​ -i 指定读取的清单

​ -o 使输出在同一行

​ host-pattern参数用于指定在其上运行临时命令的受管主机。它可以是清单中的特定受管主机或主机组。也可以用后面的-i选项指定特定的清单而不使用默认清单。

[root@localhost ansible]# ansible all -m command -a 'touch yyy' -i inventory -o 
192.168.220.8 | CHANGED | rc=0 | (stdout) 
[root@localhost ~]# su - harry                    //受管主机查看创建的文件yyy
Last login: Thu Jul 15 07:09:12 EDT 2021 from 192.168.220.7 on pts/0
[harry@localhost ~]$ ll
total 0
-rw-r--r--. 1 root  root  0 Jul 15 07:09 yyy

​ 一种最简单的临时命令使用ping模块。此模块不执行ICMP ping，而是检查能否在受管主机上运行基于Python的模块。

[root@localhost ~]# ansible all -m ping		//临时命令确定清单中的所有受管主机能否运行标准的模块
192.168.220.8 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}

Ansible常用模块

模块类别	模块
文件模块	copy:将本地文件复制到受管主机 file：设置文件的权限和其他属性 lineinfile：确保特定行是否在文件中 synchronize：使用rsync同步内容
软件包模块	package：使用操作系统本机的自动检测软件包管理器管理软件包 yum：使用yum管理软件包 apt：使用APT管理软件包 dnf：使用dnf管理软件包 gem：管理Ruby gem pip：从PyPI管理Python软件包
系统模块	firewalld：使用firewalld管理防火墙 reboot：重启计算机 service：管理服务 user：添加、删除和管理用户帐户
Net Tools	get_url：通过HTTP、HTTPS或FTP下载文件 nmcli：管理网络 url：与Web服务交互

大部分模块会取用参数。可在模块的文档中找到可用于该模块的参数列表。临时命令可以通过-a选项向模块传递参数。无需参数时，可从临时命令中省略-a选项。如果需要指定多个参数，请以引号括起的空格分隔列表形式提供。

 ansible all -m user -a 'name=tom uid=2021 state=present'	//创建用户tom
 ansible all -m user -a 'name=tom uid=2021 state=absent'	//删除用户tom

在受管主机上执行任何命令

command模块允许管理员在受管主机的命令行中运行任意命令。要运行的命令通过-a选项指定为该模块的参数。例如，以下命令将对webservers组的受管主机运行hostname命令：

[root@localhost ansible]# ansible client -m command -a 'hostname'
192.168.220.8 | CHANGED | rc=0 >>
localhost.localdomain

两条命令为每个受管主机返回两行输出。第一行是状态报告，显示对其运行临时操作的受管主机名称及操作的结果。第二行是使用Ansible command模块远程执行的命令的输出。

若要改善临时命令输出的可读性和解析，管理员可能会发现使对受管主机执行的每一项操作具有单行输出十分有用。使用-o选项以单行格式显示Ansible临时命令的输出；

[root@localhost ansible]# ansible client -m command -a 'hostname' -o
192.168.220.8 | CHANGED | rc=0 | (stdout) localhost.localdomain

command模块允许管理员对受管主机快速执行远程命令。这些命令不是由受管主机上的shell加以处理。因此，它们无法访问shell环境变量，也不能执行重定向和管道等shell操作。

在命令需要shell处理的情形中，管理员可以使用shell模块。与command模块类似，可以在临时命令中将要执行的命令作为参数传递给该模块。Ansible随后对受管主机远程执行该命令。与command模块不同的是，这些命令将通过受管主机上的shell进行处理。因此，可以访问shell环境变量，也可以使用重定向和管道等操作。

以下示例演示了command与shell的区别。如果尝试使用这两个模块执行内建的Bash命令set，只有使用shell模块才会成功：

[root@localhost ansible]# ansible all -m command -a 'set'
192.168.220.8 | FAILED | rc=2 >>
[Errno 2] No such file or directory: b'set': b'set'

[root@localhost ansible]# ansible all -m shell -a 'set'
192.168.220.8 | CHANGED | rc=0 >>
BASH=/bin/sh
BASHOPTS=cmdhist:complete_fullquote:extquote:force_fignore:hostcomplete:interactive_comments:progcomp:promptvars:sourcepath
.......

command和shell模块都要求受管主机上安装正常工作的Python。第三个模块是raw，它可以绕过模块子系统，直接使用远程shell运行命令。在管理无法安装Python的系统（如网络路由器）时，可以利用这个模块。它也可以用于将Python安装到主机上。

在大多数情况下，建议避免使用command、shell和raw这三个“运行命令”模块。

其他模块大部分都是幂等的，可以自动进行更改跟踪。它们可以测试系统的状态，在这些系统已处于正确状态时不执行任何操作。相反，以幂等方式使用“运行命令”模块要复杂得多。依靠它们，你更难以确信再次运行临时命令或playbook不会造成意外的失败。当shell或command模块运行时，通常会基于它是否认为影响了计算机状态而报告CHANGED状态。

有时候，“运行命令”模块是有用的工具，也是解决问题的好办法。如果确实需要使用它们，可能最好先尝试用command模块，只有在需要shell或raw模块的特殊功能时才利用它们。

配置临时命令的连接

受管主机连接和特权升级的指令可以在Ansible配置文件中配置，也可以使用临时命令中的选项来定义。使用临时命令中的选项定义时，它们将优先于Ansible配置文件中配置的指令。下表显示了与各项配置文件指令类同的命令行选项。

Ansible命令行选项

配置文件指令	命令行选项
inventory	-i
remote_user	-u
become	—become、-b
become_method	–become-method
become_user	–become-user
become_ask_pass	–ask-become-pass、-K

在使用命令行选项配置这些指令前，可以通过查询ansible --help的输出来确定其当前定义的值。

ansible --help

查看帮助文档

查看帮助文档可以在里面找到需要的参数

格式:

ansible-doc 模块

查看所有模块

[root@localhost ~]# ansible-doc all -l
a10_server                                                    Man>
a10_server_axapi3                                             Man>
a10_service_group                                             Man>
a10_virtual_server                                            Man>
aci_aaa_user                                                  Man>
aci_aaa_user_certificate                                      Man>
aci_access_port_block_to_access_port                          Man>
aci_access_port_to_interface_policy_leaf_profile              Man>
aci_access_sub_port_block_to_access_port                      Man>
aci_aep                                                       Man>
...

查看帮助文档中的user模块

[root@localhost ~]# ansible-doc user
> USER    (/usr/lib/python3.6/site-packages/ansible/modules/syste>

        Manage user accounts and user attributes. For Windows tar>
        use the [win_user] module instead.

  * This module is maintained by The Ansible Core Team
OPTIONS (= is mandatory):

- append
        If `yes', add the user to the groups specified in `groups>
        If `no', user will only be added to the groups specified >
        `groups', removing them from all other groups.
        Mutually exclusive with `local'
        [Default: False]
        type: bool
...

查看帮助文档中的group模块

[root@localhost ~]# ansible-doc group
> GROUP    (/usr/lib/python3.6/site-packages/ansible/modules/syst>

        Manage presence of groups on a host. For Windows targets,>
        the [win_group] module instead.

  * This module is maintained by The Ansible Core Team
OPTIONS (= is mandatory):

- gid
        Optional `GID' to set for the group.
        [Default: (null)]
        type: int
...

模块的使用

格式：

ansible 受管主机 -m 模块 -a '参数’

(简单使用user模块)

向受管主机添加用户 ‘tom’(在这之前必须与受管主机连通)

[root@localhost ~]# ansible 192.168.220.8 -m user -a 'name=tom uid=1009   state=present'             //使用user模块，添加tom用户，uid为1009，状态为存在
192.168.220.8 | CHANGED => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": true,
    "comment": "",
    "create_home": true,
    "group": 1009,
    "home": "/home/tom",
    "name": "tom",
    "shell": "/bin/bash",
    "state": "present",
    "stderr": "useradd: warning: the home directory already exists.\nNot copying any file from skel directory into it.\nCreating mailbox file: File exists\n",
    "stderr_lines": [
        "useradd: warning: the home directory already exists.",
        "Not copying any file from skel directory into it.",
        "Creating mailbox file: File exists"
    ],
    "system": false,
    "uid": 1009
}
[root@localhost ~]# id tom                        //受管主机查看
uid=1009(tom) gid=1009(tom) groups=1009(tom)


[root@localhost ~]# ansible 192.168.220.8 -m user -a 'name=tom state=absent'
                                //删除受管主机上的tom用户(state=ansent,状态为不存在的)
192.168.220.8 | CHANGED => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": true,
    "force": false,
    "name": "tom",
    "remove": false,
    "state": "absent"
}
[root@localhost ~]# id tom                   //受管主机查看tom用户不存在了
id: 'tom': no such user