变量与机密

1、变量

1.1、Ansible变量简介

Ansible支持利用变量来存储值，并在Ansible项目的所有文件中重复使用这些值。这可以简化项目的创建和维护，并减少错误的数量。

通过变量，可以轻松地在Ansible项目中管理给定环境的动态值。例如，变量可能包含下面这些值：

要创建的用户
要安装的软件包
要重新启动的服务
要删除的文件
要从互联网检索的存档

变量的名称必须以字母开头，并且只能包含字母、数字和下划线。

1.2、定义变量

可以在Ansible项目中的多个位置定义变量。不过，这些变量大致可简化为三个范围级别：

• 全局范围：从命令行或Ansible配置设置的变量
• Play范围：在play和相关结构中设置的变量
• 主机范围：由清单、事实收集或注册的任务，在主机组和个别主机上设置的变量

如果在多个xeklh定义了相同名称的变量，则采用优先级别最高的变量。窄范围优先于更广泛的范围：由清单定义的变量将被playbook定义的变量覆盖，后者将被命令行中定义的变量覆盖。
清单变量可被playbook中设置的变量覆盖，这两种变量又可通过在命令行中传递参数到ansible或ansible-playbook命令来覆盖。在命令行上设置的变量称为额外变量。
变量在Ansible Playbook中发挥着重要作用，因为它们可以简化playbook中变量数据的管理。

1.3、 在Playbook中定义变量

编写playbook时，可以定义自己的变量，然后在任务中调用这些值。例如，名为web_package的变量可以使用值httpd来定义。然后，任务可以使用yum模块调用该变量来安装httpd软件包。

Playbook变量可以通过多种方式定义。一种常见的方式是将变量放在playbook开头的vars块中：

- hosts: all
  vars:
    user: joe
    home: /home/joe

也可以在外部文件中定义playbook变量。此时不使用playbook中的vars块，可以改为使用vars_files指令，后面跟上相对于playbook位置的外部变量文件名称列表：

- hosts: all
  vars_files:
    - vars/users.yml

1.4、 在Playbook中使用变量

声明了变量后，可以在任务中使用这些变量。若要引用变量，可以将变量名放在双大括号内。在任务执行时，Ansible会将变量替换为其值。

vars:
  user: joe
  
tasks:
  - name: Creates the user {{ user }}
    user:
      name: "{{ user }}"

注意：当变量用作开始一个值的第一元素时，必须使用引号。这可以防止Ansible将变量引用视为YAML字典的开头。

1.5、使用目录填充主机和组变量

定义主机和主机组的变量的首选做法是在与清单文件或目录相同的工作目录中，创建group_vars和host_vars两个目录。这两个目录分别包含用于定义组变量和主机变量的文件。

建议的做法是使用host_vars和group_vars目录定义清单变量，而不直接在清单文件中定义它们。

为了定义用于servers组的组变量，需要创建名为group_vars/servers的YAML文件，然后该文件的内容将使用与playbook相同的语法将变量设置为值
类似的，为了定义用于特定主机的主机变量，需要在host_vars目录中创建名称与主机匹配的文件来存放主机变量。

下面的示例更加详细的说明了这一做法。例如在一个场景中，需要管理两个数据中心，并在~/project/inventory清单文件中定义数据中心主机：

[root@localhost ~]# mkdir ~/project
[root@localhost ~]# vim ~/project/inventory
[datacenter1]
node1.example.com
node2.example.com

[datacenter2]
node3.example.com
node4.example.com

[datacenters:children]
datacenter1
datacenter2

如果需要为两个数据中心的所有服务器定义一个通用值，可以为datacenters主机组设置一个组变量：

[root@localhost ~]# mkdir ~/project/groupo_vars
[root@localhost ~]# vim ~/project/groupo_vars/datacenters
package: httpd
如果要为每个数据中心定义不同的值，可以为每个数据中心主机组设置组变量：

[root@localhost ~]# vim ~/project/groupo_vars/datacenter1
package: httpd
[root@localhost ~]# vim ~/project/groupo_vars/datacenter2
package: apache2

如果要为每一数据中心的各个主机定义不同的值，则在单独的主机变量文件中定义变量：

[root@localhost ~]# mkdir ~/project/host_vars
[root@localhost ~]# vim ~/project/host_vars/node1.example.com
package: httpd
[root@localhost ~]# vim ~/project/host_vars/node2.example.com
package: apache2
[root@localhost ~]# vim ~/project/host_vars/node3.example.com
package: mariadb-server
[root@localhost ~]# vim ~/project/host_vars/node4.example.com
package: mysql-server

2.机密

2.1 Ansible Vault

Ansible可能需要访问密码或API密钥等敏感数据，以便能配置受管主机。通常，此信息可能以纯文本形式存储在清单变量或其他Ansible文件中。但若如此，任何有权访问Ansible文件的用户或存储这些Ansible文件的版本控制系统都能够访问此敏感数据。这显示存在安全风险。

Ansible提供的Ansible Vault可以加密和解密任何由Ansible使用的结构化数据文件。若要使用Ansible Vault，可通过一个名为ansible-vault的命令行工具创建、编辑、加密、解密和查看文件。Ansible Vault可以加密任何由Ansible使用的结构化数据文件。这可能包括清单变量、playbook中含有的变量文件、在执行playbook时作为参数传递的变量文件，或者Ansible角色中定义的变量。

2.2、 创建加密的文件

要创建新的加密文件，可使用ansible-vault create filename命令。该命令将提示输入新的vault密码，然后利用默认编辑器vi打开文件。我们可以设置和导出EDITOR环境变量，通过设置和导出指定其他默认编辑器。

[root@localhost ~]# ansible-vault create secret.yml
New Vault password: 
Confirm New Vault password: 

我们还可以用vault密码文件来存储vault密码，而不是通过标准输入途径输入vault密码。这样做需要使用文件权限和其他方式来严密保护该文件。

[root@localhost ~]#ansible-vault create --vault-password-file=vault-pass secret.yml

2.3、查看加密文件：

[root@localhost ~]# ansible-vault view secret.yml
Vault password: 

2.4、编辑加密文件：

[root@localhost ~]# ansible-vault edit secret.yml
passwd=yyyhhhxxx
~                                                                                                    
~                   

2.5、 加密现有的文件

要加密已存在的文件，请使用ansible-vault encrypt filename命令。此命令可取多个欲加密文件的名称作为参数。

[root@localhost ~]# ansible-vault encrypt secret1.yml secret2.yml
New Vault password: 
Confirm New Vault password: 

使用–output=OUTPUT_FILE选项，可将加密文件保存为新的名称。只能通过–output选项使用一个输入文件。

2.6、解密现有的文件

现有的加密文件可以通过ansible-vault decrypt filename命令永久解密。在解密单个文件时，可使用–output选项以其他名称保存解密的文件。

[root@localhost ~]# ansible-vault decrypt secret1.yml --output=secret1-decrypted.yml
Vault password: 

2.7、 更改加密文件的密码

使用ansible-vault rekey filename命令更改加密文件的密码。此命令可一次性更新多个数据文件的密钥。它将提示提供原始密码和新密码。

[root@localhost ~]# ansible-vault rekey secret.yml
Vault password: 
New Vault password: 
Confirm New Vault password: 
Rekey successful