ansible角色(ansible-galaxy)、ansible加密解密(ansible-vault)、ansible实现sudo提权、特殊的主机清单变量

学Linux的语莫2024-12-02 9:53
复制代码 
一、ansible角色(ansible-galaxy)
二、ansible加密解密(ansible-vault)
三、ansible实现sudo提权   
四、特殊的主机清单变量

       
一、Ansible角色
	Roles产生原因
	在实际生产环境中，为了实现不同功能，我们会编写大量的Playbook文件
	每个Playbook文件可能还会调用其他文件，如变量文件
	对于海量的、无规律的文件，管理起来是一件非常困难的事情
        
1.什么是Roles:层次性、结构化的目录结构	
	 
	(1)角色初始化:
		anisble-galaxy init roles/motd
       
	(2)列出已有角色:
		ansible-galaxy list
	
	(3)目录结构
	    --roles目录
		   --各种角色
			--角色的目录
	files/   tasks/     vars/      meta/      default/  templates/  handlers/
		  main.yml  main.yml   main.yml    main.yml               main.yml
	        
	1)files目录
		存放上传的文件(例如copy模块或script模块调用的文件)
       
	2)templates目录
		存放Jinja2模板文件(当使用template模块时)
       
	3)tasks目录
		角色的任务列表。main.yml文件可以使用include指令包含其他位于此目录中的task文件。
       
	4)handlers目录
		触发条件时执行的动作
        
	5)vars目录(优先级高)
		定义角色变量
       
	6)defaults目录
		定义角色默认变量。当没有在vars目录中定义变量时，会使用defaults目录中的默认变量
       
	7)meta目录
		作者邮箱等信息
	
	8)README

	
二、Ansible加密解密(ansible-vault)
	(1)对文件加密:加密后文件内容变成秘文
	(2)--vault-password-file:指定密码文件,对文件加密,解密,将密码写在密码文件里面
	(3)--ask-vault-password:执行加密的剧本提示输入密码

	(1)对文件加密
		ansible-vault decrypt hello.txt 

	## 常用选项
	    encrypt：加密
	    decrypt：解密
	    view：查看
	    rekey：重置密码

		

	(2)--vault-password-file:指定密码文件,对文件加密解密

		echo "tedu.cn" > pass.txt		
		echo "Hello Linux" > data.txt
		ansible-vault encrypt --vault-password-file=pass.txt data.txt 
		
	(3)--ask-vault-password:执行加密的剧本

		ansible-vault encrypt user_test.yml 
		ansible-playbook --ask-vault-password user_test.yml 
		Vault password: 123456


三、ansible实现sudo提权 

	1.普通sudo提权配置方式（修改/etc/sudoers文件）

		(1)格式:
			用户名或组名(%groupname) 在集中认证域中有效，单机忽略      可以执行的命令列表
			   用户/%组                 ALL=(ALL)           NOPASSWD:ALL(所有权限都没密码)

		(2)例子:给用户提权
			zs,lisi ALL=(ALL) /usr/sbin/useradd, /usr/sbin/usermod -G somegroup

	2.ansible实现sudo提权

		(1)# 被控节点创建用户并配置sudo提权
			[root@pubserver ansible]# vim sudouser.yml 
			---
			- name: sudo user
			  hosts: all
			  tasks:
			    - name: create sudo user
			      user:
			        name: alice
			        password: "{{'123456'|password_hash('sha512')}}"
			        state: present
			    - name: config sudo
			      lineinfile:
			        path: /etc/sudoers
			        line: "alice ALL=(ALL) NOPASSWD: ALL"
			        state: present

		(2)# 修改ansible配置文件
			[root@pubserver ansible]# vim ansible.cfg 
				[defaults]
				inventory = inventory
				host_key_checking = false
				module_name = shell
				nocows = true
				roles_path = ./roles
				remote_user = alice

				[privilege_escalation]
				become = true
				become_method = sudo
				become_user = root
				become_ask_pass = false
		
		(3)# 配置ssh使用alice用户免密登录，alice密码123456
			[root@pubserver ansible]# for i in web1 web2 db1
				 do
				 ssh-copy-id alice@$i
				 done
		
		(4)# 测试:ansible all -m ping
		

四、特殊的主机清单变量
	如某个被控节点不能"免密登录"(登录必须要密码)、ssh服务端口不是标准22端口等情况
	则需要配置特殊的主机清单变量

	## 常用配置
	    ansible_ssh_host：指定被控节点服务器IP地址
	    ansible_ssh_user：指定登陆远程主机的用户名
	    ansible_ssh_pass：指定登陆远程主机的密码
	    ansible_ssh_port：指定登陆远程主机的端口号

	1.操作演示
	(1)# 调整web1主机配置用于测试
	[root@web1 ~]# rm -rf /root/.ssh/authorized_keys            #清理公钥恢复密码登录
	[root@web1 ~]# systemctl disable --now firewalld            #关闭防火墙
	[root@web1 ~]# vim +17 /etc/ssh/sshd_config                 #配置ssh端口为2222
	Port 2222
	[root@web1 ~]# systemctl restart sshd                       #重启sshd服务
	
	# 调整pubserver的hosts文件注释web1主机名解析
	[root@pubserver ansible]# vim /etc/hosts
	...
	#192.168.88.11  web1
	
	ssh web1 -p 2222

	(2)# 配置特殊的主机清单变量
	[root@pubserver myansible]# vim inventory 
	[group1]
	web1 ansible_ssh_host=192.168.88.11 ansible_ssh_port=2222 ansible_ssh_user=root ansible_ssh_pass=a
	web2
	db1

	# 测试特殊的主机清单变量，可以成功
	[root@pubserver myansible]# ansible all -m ping

一、ansible角色(ansible-galaxy)

二、ansible加密解密(ansible-vault)

三、ansible实现sudo提权

四、特殊的主机清单变量

一、Ansible角色

Roles产生原因

在实际生产环境中，为了实现不同功能，我们会编写大量的Playbook文件

每个Playbook文件可能还会调用其他文件，如变量文件

对于海量的、无规律的文件，管理起来是一件非常困难的事情

1.什么是Roles:层次性、结构化的目录结构

(1)角色初始化:

anisble-galaxy init roles/motd

(2)列出已有角色:

ansible-galaxy list

(3)目录结构

--roles目录

--各种角色

--角色的目录

files/ tasks/ vars/ meta/ default/ templates/ handlers/

main.yml main.yml main.yml main.yml main.yml

1)files目录

存放上传的文件(例如copy模块或script模块调用的文件)

2)templates目录

存放Jinja2模板文件(当使用template模块时)

3)tasks目录

角色的任务列表。main.yml文件可以使用include指令包含其他位于此目录中的task文件。

4)handlers目录

触发条件时执行的动作

5)vars目录(优先级高)

定义角色变量

6)defaults目录

定义角色默认变量。当没有在vars目录中定义变量时，会使用defaults目录中的默认变量

7)meta目录

作者邮箱等信息

8)README

二、Ansible加密解密(ansible-vault)

(1)对文件加密:加密后文件内容变成秘文

(2)--vault-password-file:指定密码文件,对文件加密,解密,将密码写在密码文件里面

(3)--ask-vault-password:执行加密的剧本提示输入密码

(1)对文件加密

ansible-vault decrypt hello.txt

常用选项

encrypt：加密

decrypt：解密

view：查看

rekey：重置密码

(2)--vault-password-file:指定密码文件,对文件加密解密

echo "tedu.cn" > pass.txt

echo "Hello Linux" > data.txt

ansible-vault encrypt --vault-password-file=pass.txt data.txt

(3)--ask-vault-password:执行加密的剧本

ansible-vault encrypt user_test.yml

ansible-playbook --ask-vault-password user_test.yml

Vault password: 123456

三、ansible实现sudo提权

1.普通sudo提权配置方式（修改/etc/sudoers文件）

(1)格式:

用户名或组名(%groupname) 在集中认证域中有效，单机忽略 可以执行的命令列表

用户/%组 ALL=(ALL) NOPASSWD:ALL(所有权限都没密码)

(2)例子:给用户提权

zs,lisi ALL=(ALL) /usr/sbin/useradd, /usr/sbin/usermod -G somegroup

2.ansible实现sudo提权

(1)# 被控节点创建用户并配置sudo提权

root@pubserver ansible\]# vim sudouser.yml --- - name: sudo user hosts: all tasks: - name: create sudo user user: name: alice password: "{{'123456'\|password_hash('sha512')}}" state: present - name: config sudo lineinfile: path: /etc/sudoers line: "alice ALL=(ALL) NOPASSWD: ALL" state: present (2)# 修改ansible配置文件 \[root@pubserver ansible\]# vim ansible.cfg \[defaults

inventory = inventory

host_key_checking = false

module_name = shell

nocows = true

roles_path = ./roles

remote_user = alice

privilege_escalation

become = true

become_method = sudo

become_user = root

become_ask_pass = false

(3)# 配置ssh使用alice用户免密登录，alice密码123456

root@pubserver ansible\]# for i in web1 web2 db1 do ssh-copy-id alice@$i done (4)# 测试:ansible all -m ping 四、特殊的主机清单变量 如某个被控节点不能"免密登录"(登录必须要密码)、ssh服务端口不是标准22端口等情况 则需要配置特殊的主机清单变量 ## 常用配置 ansible_ssh_host：指定被控节点服务器IP地址 ansible_ssh_user：指定登陆远程主机的用户名 ansible_ssh_pass：指定登陆远程主机的密码 ansible_ssh_port：指定登陆远程主机的端口号 1.操作演示 (1)# 调整web1主机配置用于测试 \[root@web1 \~\]# rm -rf /root/.ssh/authorized_keys #清理公钥恢复密码登录 \[root@web1 \~\]# systemctl disable --now firewalld #关闭防火墙 \[root@web1 \~\]# vim +17 /etc/ssh/sshd_config #配置ssh端口为2222 Port 2222 \[root@web1 \~\]# systemctl restart sshd #重启sshd服务 # 调整pubserver的hosts文件注释web1主机名解析 \[root@pubserver ansible\]# vim /etc/hosts ... #192.168.88.11 web1 ssh web1 -p 2222 (2)# 配置特殊的主机清单变量 \[root@pubserver myansible\]# vim inventory \[group1

web1 ansible_ssh_host=192.168.88.11 ansible_ssh_port=2222 ansible_ssh_user=root ansible_ssh_pass=a

web2

db1

测试特殊的主机清单变量，可以成功

root@pubserver myansible\]# ansible all -m ping

相关推荐
运维李哥不背锅1 小时前
K8S集群节点负载无故飙升：CPU软死锁解决方案
linux·运维
佟晖3 小时前
KGDB调试Linux内核与模块
linux·系统编程
cosX+sinY5 小时前
ubuntu 20.04 编译和运行A-LOAM
linux·ubuntu·bash
会飞的土拨鼠呀5 小时前
vim 清除文件所有行
linux·编辑器·vim
Brandon汐5 小时前
Linux第四章练习
linux·运维·服务器
Jayin_chan6 小时前
ragflow本地部署(WSL下Ubuntu)
linux·ubuntu·ai大模型·rag·ragflow
ab_dg_dp6 小时前
解决Ubuntu系统鼠标不流畅的问题
linux·ubuntu·计算机外设
理智的煎蛋7 小时前
es 原生linux部署集群
大数据·linux·服务器·elasticsearch
nzxzn7 小时前
linux第三次作业
linux·运维·服务器
海风极客7 小时前
怎样读懂top命令？
linux·后端·程序员
热门推荐
01生活电子常识--删除谷歌浏览器搜索记录02我决定放弃搞 Java 了03如何在WPS和Word/Excel中直接使用DeepSeek功能04汽车上的各种质量：整备质量、总质量、装载质量、簧上质量、簧下质量05RAG 实践- Ollama+RagFlow 部署本地知识库06DeepSeek各版本说明与优缺点分析07[AI/GPT/Chat2SQL/RAG] VannaAI08本地化部署AI知识库：基于Ollama+DeepSeek+AnythingLLM保姆级教程09从零安装 LLaMA-Factory 微调 Qwen 大模型成功及所有的坑1034% 关税冲击下 LabVIEW 开发的变局