【网络运维】Playbook进阶: 管理变量-EW帮帮网

Playbook进阶: 管理变量

实验环境

# 新建文件夹
[furongwang@controller ~]$ mkdir web && cd web

# 创建ansible配置文件
[furongwang@controller web]$ cat > ansible.cfg <<'EOF'
[defaults]
remote_user = furongwang
inventory = ./inventory

[privilege_escalation]
become = True
become_user = root
become_method = sudo
become_ask_pass = False
EOF

# 创建inventory主机目录
[furongwang@controller web]$ cat > inventory <<'EOF'
controller
node1
node2
node3
node4
EOF

管理变量 Variables

变量简介

ansible 利用变量来存储数据，以便在Ansible项目文件中重复引用，有利于简化项目的创建和维护，降低出错率。在playbook中可以针对如用户、软件包、服务、文件等进行变量定义。

变量命名规则

只能包含字母、数字和下划线（如包含空格、点、$符号都为非法变量名）
只能以字母开头

变量范围和优先级

ansible项目文件中多个位置支持定义变量，主要包含三个基本范围：

Global scope：从命令行或 Ansible 配置设置的变量。
Play scope：在play和相关结构中设置的变量。
Host scope：由清单、事实（fact）收集或注册的任务，在主机组和个别主机上设置的变量。

优先级从高到低顺序：Global -> Play -> Host。

在多个级别上定义了相同名称的变量，则采用优先级别最高的变量。

变量引用

可将变量名称放在双花括号({{}})内引用变量。在任务执行时， Ansible会将变量替换为其值。

当变量用作值的第一元素时，变量引用必须使用引号（单引号或者双引号），否则会报错。

示例：配置playbook.yml

---
- name: deploy web server
  hosts: node1
  tasks:
    - name: install the latest version of Apache
      yum:
        name: httpd
        state: latest

    - name: enable and start Apache
      service:
        name: httpd
        state: started
        enabled: yes

    - name: enable and start Firewalld
      service:
        name: firewalld
        state: started
        enabled: yes

    - name: set firewall for http
      firewalld:
        service: http
        permanent: yes
        immediate: yes
        state: enabled

    - name: prepare index.html
      copy:
        content: "Hello Sol-3 From {{ node }}\n"
        dest: /var/www/html/index.html

- name: check web server
  hosts: node2
  tasks:
    - name: check web site
      uri:
        url: http://node1.furongwang.cloud
...

验证：

[furongwang@controller web]$ ansible-playbook playbook.yml

PLAY [deploy web server] *******************************************************

TASK [Gathering Facts] *********************************************************
ok: [node1]

TASK [install the latest version of Apache] ************************************
ok: [node1]

TASK [enable and start Apache] *************************************************
ok: [node1]

TASK [enable and start Firewalld] **********************************************
ok: [node1]

TASK [set firewall for http] ***************************************************
ok: [node1]

TASK [prepare index.html] ******************************************************
ok: [node1]

PLAY [check web server] ********************************************************

TASK [Gathering Facts] *********************************************************
ok: [node2]

TASK [check web site] **********************************************************
ok: [node2]

PLAY RECAP *********************************************************************
node1                      : ok=6    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   
node2                      : ok=2    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

在这里插入图片描述

Host scope

主机变量应用于主机和主机组。主机变量优先级高于主机组变量。

主机清单中定义

较旧的做法是直接在清单文件中定义。不建议采用，但仍可能会遇到。

示例：

[servers]
node1 user=furongwang
node2

[servers:vars]
user=litangwang

验证：

[furongwang@controller web]$ ansible servers -m debug -a 'var=user'
node1 | SUCCESS => {
    "user": "furongwang"
}
node2 | SUCCESS => {
    "user": "litangwang"
}

缺点：使得清单文件更复杂，在同一文件中混合提供了主机和变量信息。

目录分层结构定义

group_vars，定义主机组变量。目录中文件名可以直接使用 主机组名 或者 主机组名.yml 。
host_vars，定义主机变量。目录中文件名可以直接使用 主机名 或者 主机名.yml 。

示例1：

[furongwang@controller web]$ cat inventory 
[servers]
node1
node2

[furongwang@controller web]$ mkdir group_vars
[furongwang@controller web]$ vim group_vars/servers.yml
user: litangwang

[furongwang@controller web]$ mkdir host_vars
[furongwang@controller web]$ vim host_vars/node1.yml
user: furongwang

验证：

[furongwang@controller web]$ ansible servers -m debug -a 'var=user'
node1 | SUCCESS => {
    "user": "furongwang"
}
node2 | SUCCESS => {
    "user": "litangwang"
}

目录结构定义主机和主机组的变量是首选做法。

示例2：

[furongwang@controller web]$ tree
.
├── ansible.cfg
├── group_vars
│   ├── dc
│   ├── dc1
│   └── dc2
├── host_vars
│   └── node1.yml
├── inventory
└── playbook.yml

[furongwang@controller web]$ vim inventory
[dc1]
node1
node2

[dc2]
node3
node4

[dc:children]
dc1
dc2

[furongwang@controller web]$ grep . group_vars/* host_vars/*
group_vars/dc:package: httpd
group_vars/dc1:package: httpd
group_vars/dc2:package: apache
host_vars/node1.yml:package: mariadb-server

[furongwang@controller web]$ ansible all -m debug -a 'var=package'
node1 | SUCCESS => {
    "package": "mariadb-server"
}
node3 | SUCCESS => {
    "package": "apache"
}
node2 | SUCCESS => {
    "package": "httpd"
}
node4 | SUCCESS => {
    "package": "apache"
}

主机连接特殊变量列表（部分）

ansible_connection，与主机的连接类型，可以是 smart、ssh 或 paramiko。默认为smart。
ansible_host，要连接的主机的名称，默认值就是主机清单名称。
ansible_port，ssh 端口号，如果不是 22。
ansible_user，ssh 用户名。
ansible_ssh_pass，要使用的 ssh 密码。切勿以纯文本形式存储此变量，始终使用保管库。
ansible_ssh_private_key_file，ssh 使用的私钥文件。如果使用多个密钥并且您不想使用 SSH 代理，这很有用。
ansible_ssh_common_args，此设置始终附加到 sftp、scp 和 ssh 的默认命令行。
ansible_sftp_extra_args，此设置始终附加到默认的 sftp 命令行。
ansible_scp_extra_args，此设置始终附加到默认的 scp 命令行。
ansible_ssh_extra_args，此设置始终附加到默认的 ssh 命令行。
ansible_become，等效于 ansible_sudo 或 ansible_su，允许强制提权。
ansible_become_method，允许设置权限提升方法。
ansible_become_user，等效于 ansible_sudo_user 或 ansible_su_user，允许设置您通过权限升级成为的用户。
ansible_become_pass，等效于 ansible_sudo_pass 或 ansible_su_pass，允许您设置权限提升密码（切勿以纯文本形式存储此变量；始终使用保管库。请参阅变量和保管库）。

数组变量

除了将与同一元素相关的配置数据（软件包列表、服务列表和用户列表等）分配到多个变量外，管理员也可以使用数组变量，将多个值存储在同一变量中。

示例：

user1_first_name: Bob
user1_last_name: Jones
user1_home_dir: /users/bjones
user2_first_name: Anne
user2_last_name: Cook
user2_home_dir: /users/acook

改写如下：

users:
  bjones:
    first_name: Bob
    last_name: Jones
    home_dir: /users/bjones
  acook:
    first_name: Anne
    last_name: Cook
    home_dir: /users/acook

数组变量引用方式一：

# Returns 'Bob'
users.bjones.first_name
# Returns '/users/acook'
users.acook.home_dir

数组变量引用方式二：

# Returns 'Bob'
users['bjones']['first_name']
# Returns '/users/acook'
users['acook']['home_dir']

引用方式总结：

如果使用方法一 .分隔符 引用的关键字与python的功能函数同名，例如discard、copy、add，那么就会出现问题。方法二[‘’]引用方式可以避免这种错误。
尽管两种方法都可以使用，为了减少排故难度，Ansible中统一使用其中一种方法。

示例1：

---
- name: test vars statement in play
  hosts: node1
  vars: 
    users:
      furongwang:
        user_name: furongwang
        home_path: /home/furongwang
      litangwang:
        user_name: litangwang
        home_path: /home/litangwang
  tasks:
    - name: add user {{ users.furongwang.user_name }}
      user:
        name: '{{ users.furongwang.user_name }}'
        home: "{{ users.furongwang.home_path }}"
 
    - name: debug litangwang
      debug: 
        msg: >
          username is {{ users['litangwang']['user_name'] }}
          home_path is {{ users['litangwang']['home_path'] }}

示例2：

---
- name: test vars statement in play
  hosts: node1
  vars: 
    users:
      - user_name: furongwang1
        home_path: /home/furongwang1
      - user_name: furongwang2
        home_path: /home/furongwang2
  tasks:
    - name: add user {{ users.0.user_name }}
      user:
        name: "{{ users.0.user_name }}"
        home: "{{ users.0.home_path }}"

    - name: debug {{ users[1].user_name }}
      debug: 
        msg: "{{ users[1].user_name }}"

register 语句

register 语句捕获任务输出。 输出保存在一个临时变量中，稍后在playbook中可用于调试用途或者达成其他目的。

示例：

---
- name: Installs a package and prints the result
  hosts: node1
  tasks:
    - name: Install the package
      yum:
        name: httpd
        state: installed
      register: install_result
    - debug: 
        var: install_result

MAGIC 变量

magic 变量由 Ansible 自动设置，可用于获取与特定受管主机相关的信息。

配置inventory内容为：

controller

[webs]
node1
node2

[dbs]
node3
node4

常用的四个 Magic 变量：

inventory_hostname，包含清单中配置的当前受管主机的主机名称。这可能因为各种原因而与FACTS报告的主机名称不同。

[furongwang@controller web]$ ansible node1 -m debug -a 'var=inventory_hostname'
node1 | SUCCESS => {
    "inventory_hostname": "node1"
}

group_names，列出当前受管主机所属的所有主机组。

[furongwang@controller web]$ ansible node1 -m debug -a 'var=group_names'
node1 | SUCCESS => {
    "group_names": [
        "webs"
    ]
}

groups，列出清单中的所有组，以及组中含有的主机。

[furongwang@controller web]$ ansible node1 -m debug -a 'var=groups'
node1 | SUCCESS => {
    "groups": {
        "all": [
            "workstation",
            "node1",
            "node2",
            "node3",
            "node4"
        ],
        "dbs": [
            "node3",
            "node4"
        ],
        "ungrouped": [
            "controller"
        ],
        "webs": [
            "node1",
            "node2"
        ]
    }
}

hostvars，包含所有受管主机的变量，可用于获取另一台受管主机的变量的值。如果还没有为受管主机收集FACTS，则它不会包含该主机的 FACTS。

例如：hostvars.controller.group_names

# 查询所有主机变量信息
[furongwang@controller web]$ ansible node1 -m debug -a var=hostvars

# 查询特定主机（node2）变量信息
[furongwang@controller web]$ ansible node1 -m debug -a var=hostvars.node2.group_names
node1 | SUCCESS => {
    "hostvars.node2.group_names": [
        "nodes", 
        "webs"
    ]
}
# 查询node2 group名

管理 SECRETS

Ansible Vault 简介

Ansible可能需要访问密码或API密钥等敏感数据，此信息可能以纯文本形式存储在清单变量或其他Ansible文件中。任何有权访问Ansible文件的用户或存储这些Ansible文件的版本控制系统都能够访问此敏感数据。

这显然存在安全风险。Ansible随附的 Ansible Vault 可以加密任何由Ansible使用的结构化数据文件，包括清单变量、playbook中含有的变量文件、在执行playbook时作为参数传递的变量文件，以及Ansible角色中定义的变量。

ansible-vault 命令

[furongwang@controller web]$ ansible-vault -h
usage: ansible-vault [-h] [--version] [-v]
                     {create,decrypt,edit,view,encrypt,encrypt_string,rekey} ...

encryption/decryption utility for Ansible data files

positional arguments:
  {create,decrypt,edit,view,encrypt,encrypt_string,rekey}
    create              Create new vault encrypted file
    decrypt             Decrypt vault encrypted file
    edit                Edit vault encrypted file
    view                View vault encrypted file
    encrypt             Encrypt YAML file
    encrypt_string      Encrypt a string
    rekey               Re-key a vault encrypted file

options:
  --version             show program's version number, config file location, configured
                        module search path, module location, executable location and exit
  -h, --help            show this help message and exit
  -v, --verbose         Causes Ansible to print more debug messages. Adding multiple -v will
                        increase the verbosity, the builtin plugins currently evaluate up to
                        -vvvvvv. A reasonable level to start is -vvv, connection debugging
                        might require -vvvv. This argument may be specified multiple times.

See 'ansible-vault <command> --help' for more information on a specific command.

ansible-vault create和edit命令使用默认编辑器vi打开文件。您可以设置和导出EDITOR环境变量指定其他默认编辑器。

例如，若要将默认编辑器设为vim, 可设置为export EDITOR=vim

[furongwang@controller web]$ export EDITOR=vim
# 或者添加到bash配置文件中
[furongwang@controller web]$ echo 'export EDITOR=vim' >> ~/.bashrc
[furongwang@controller web]$ source ~/.bashrc

# 创建加密文件，内容是yaml格式，例如 password: 123
[furongwang@controller web]$ ansible-vault create secret.yml
New Vault password: `123`
Confirm New Vault password: `123`
password: 123

[furongwang@controller web]$ cat secret.yml 
$ANSIBLE_VAULT;1.1;AES256
35346165313633633862323064376139623339643639373164306339393231653637363933353339
3337386665303463633834643061643436613839316538640a356330613330313534336135616537
35363037636633633061336363326362306234376236616539613964353831303763623939353433
3334363938613131370a623166373737343737393730343863323433336366383432373036303262
63303438393936303133336635313463633863383037643039353664313432653631

# 查看加密文件
[furongwang@controller web]$ ansible-vault view secret.yml
Vault password: `123`
password: 123

# 使用 --vault-password-file 选项从文件中读取加密和解密密码
[furongwang@controller web]$ echo 123 > pass
[furongwang@controller web]$ ansible-vault view secret.yml --vault-password-file=pass
password: 123

# 还可以在ansible.cfg的defaults中设置vault_password_file
[furongwang@controller web]$ vim ansible.cfg 
vault_password_file = ./pass

# 编辑加密文件
[furongwang@controller web]$ ansible-vault edit secret.yml --vault-password-file=pass
password: 123

# 解密文件
[furongwang@controller web]$ ansible-vault decrypt secret.yml --vault-password-file=pass
Decryption successful
[furongwang@controller web]$ cat secret.yml 
password: 123

# 加密文件
[furongwang@controller web]$ ansible-vault encrypt secret.yml --vault-password-file=pass
Encryption successful

# 更改加密文件密码
[furongwang@controller web]$ ansible-vault rekey secret.yml --vault-password-file=pass
New Vault password: `123`
Confirm New Vault password: `123`
Rekey successful

# 还可以使用选项 --new-vault-password-file 指定新密码所在文件位置
[furongwang@controller web]$ ansible-vault rekey secret.yml --vault-password-file=pass --new-vault-password-file=pass-new
Rekey successful

综合案例

playbook.yml 内容如下：

---
- name: config mariadb server
  hosts: node1
  vars_files:
    - vault/mysql.yml

  tasks:
    - name: install mariadb-server
      yum:
        name: 
          - mariadb-server
          - python3-PyMySQL
        state: present
   
    - name: enable and start mariadb
      service:
       name: mariadb
       enabled: yes
       state: started

    - name: config user {{ user }}
      mysql_user:
        name: "{{ user }}"
        password: "{{ password }}"
        host: "{{ host }}"
        priv: "{{ priv }}"
        state: present

[furongwang@controller web]$ mkdir vault
[furongwang@controller web]$ ansible-vault create vault/mysql.yml
user: furongwang
password: 123
host: '%'
priv: '*.*:ALL'

# 如果 ansible.cfg 中未配置vault_password_file
# 可使用--ask-vault-pass选项以交互方式提供vault密码
[furongwang@controller web]$ ansible-playbook playbook.yml --ask-vault-pass

验证：

# 防火墙未放行，从本地验证
[root@node1 ~]# mysql -u furongwang -p123
Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MariaDB connection id is 9
Server version: 10.3.11-MariaDB MariaDB Server

Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

MariaDB [(none)]>

【网络运维】Playbook进阶: 管理变量