Aman membatasi buku pedoman yang dimungkinkan untuk satu mesin?

Saya menggunakan Ansible untuk beberapa tugas manajemen pengguna sederhana dengan sekelompok kecil komputer. Saat ini, saya sudah mengatur buku pedoman saya hosts: alldan file host saya hanyalah satu grup dengan semua mesin terdaftar:

# file: hosts
[office]
imac-1.local
imac-2.local
imac-3.local

Saya sering menemukan diri saya harus menargetkan satu mesin. The ansible-playbookbatas perintah bisa bermain seperti ini:

ansible-playbook --limit imac-2.local user.yml

Tapi itu agak rapuh, terutama untuk buku pedoman yang berpotensi merusak. Mengibarkan limitbendera berarti playbook akan dijalankan di mana-mana. Karena alat-alat ini hanya digunakan sesekali, sepertinya layak untuk mengambil langkah-langkah untuk memutar ulang sangat mudah sehingga kami tidak secara tidak sengaja mengeluarkan sesuatu beberapa bulan dari sekarang.

Apakah ada praktik terbaik untuk membatasi menjalankan buku pedoman ke satu mesin? Idealnya, buku pedoman harus tidak berbahaya jika beberapa detail penting ditinggalkan.

Ternyata adalah mungkin untuk memasukkan nama host langsung ke playbook, jadi menjalankan playbook dengan hosts: imac-2.localakan berfungsi dengan baik. Tapi itu agak kikuk.

Solusi yang lebih baik mungkin mendefinisikan host playbook menggunakan variabel, lalu mengirimkan alamat host tertentu melalui --extra-vars:

# file: user.yml  (playbook)
---
- hosts: '{{ target }}'
  user: ...

Menjalankan buku pedoman:

ansible-playbook user.yml --extra-vars "target=imac-2.local"

Jika {{ target }}tidak ditentukan, playbook tidak melakukan apa pun. Grup dari file host juga dapat dilewati jika perlu. Secara keseluruhan, ini sepertinya cara yang jauh lebih aman untuk membuat buku pedoman yang berpotensi merusak.

Playbook menargetkan satu host:

$ ansible-playbook user.yml --extra-vars "target=imac-2.local" --list-hosts

playbook: user.yml

  play #1 (imac-2.local): host count=1
    imac-2.local

Playbook dengan sekelompok host:

$ ansible-playbook user.yml --extra-vars "target=office" --list-hosts

playbook: user.yml

  play #1 (office): host count=3
    imac-1.local
    imac-2.local
    imac-3.local

Lupa untuk mendefinisikan host aman!

$ ansible-playbook user.yml --list-hosts

playbook: user.yml

  play #1 ({{target}}): host count=0

Ada juga trik kecil yang lucu yang memungkinkan Anda menentukan satu host pada baris perintah (atau beberapa host, kurasa), tanpa inventaris perantara:

ansible-playbook -i "imac1-local," user.yml

Catat koma ( , ) di bagian akhir; ini menandakan bahwa ini adalah daftar, bukan file.

Sekarang, ini tidak akan melindungi Anda jika Anda secara tidak sengaja memasukkan file inventaris nyata, jadi itu mungkin bukan solusi yang baik untuk masalah khusus ini. Tapi itu trik yang mudah diketahui!

Pendekatan ini akan keluar jika lebih dari satu host disediakan dengan memeriksa variabel play_hosts . The gagal modul digunakan untuk keluar jika kondisi host tidak terpenuhi. Contoh di bawah ini menggunakan file host dengan dua host alice dan bob.

user.yml (playbook)

---
- hosts: all
  tasks:
    - name: Check for single host
      fail: msg="Single host check failed."
      when: "{{ play_hosts|length }} != 1"
    - debug: msg='I got executed!'

Jalankan playbook tanpa filter host

$ ansible-playbook user.yml
PLAY [all] ****************************************************************
TASK: [Check for single host] *********************************************
failed: [alice] => {"failed": true}
msg: Single host check failed.
failed: [bob] => {"failed": true}
msg: Single host check failed.
FATAL: all hosts have already failed -- aborting

Jalankan playbook pada satu host

$ ansible-playbook user.yml --limit=alice

PLAY [all] ****************************************************************

TASK: [Check for single host] *********************************************
skipping: [alice]

TASK: [debug msg='I got executed!'] ***************************************
ok: [alice] => {
    "msg": "I got executed!"
}

Ada IMHO cara yang lebih nyaman. Anda memang dapat secara interaktif meminta pengguna untuk mesin yang ingin dia terapkan berkat playbook ke vars_prompt:

---

- hosts: "{{ setupHosts }}"
  vars_prompt:
    - name: "setupHosts"
      prompt: "Which hosts would you like to setup?"
      private: no
  tasks:
    […]

Untuk memperluas jawaban joemailer, jika Anda ingin memiliki kemampuan pencocokan pola untuk mencocokkan setiap subset mesin jarak jauh (seperti yang dilakukan ansibleperintah), tetapi masih ingin membuatnya sangat sulit untuk secara tidak sengaja menjalankan playbook pada semua mesin, ini adalah apa yang saya pikirkan:

Buku pedoman yang sama dengan jawaban lain:

# file: user.yml  (playbook)
---
- hosts: '{{ target }}'
  user: ...

Mari kita memiliki host berikut:

imac-10.local
imac-11.local
imac-22.local

Sekarang, untuk menjalankan perintah di semua perangkat, Anda harus secara eksplisit mengatur variabel target menjadi "semua"

ansible-playbook user.yml --extra-vars "target=all"

Dan untuk membatasinya ke pola tertentu, Anda dapat mengatur target=pattern_here

atau, sebagai alternatif, Anda dapat meninggalkan target=alldan menambahkan --limitargumen, misalnya:

--limit imac-1*

yaitu. ansible-playbook user.yml --extra-vars "target=all" --limit imac-1* --list-hosts

yang mengakibatkan:

playbook: user.yml

  play #1 (office): host count=2
    imac-10.local
    imac-11.local

Saya benar-benar tidak mengerti bagaimana semua jawaban itu sangat rumit, cara untuk melakukannya adalah:

ansible-playbook user.yml -i hosts/hosts --limit imac-2.local --check

The checkmode memungkinkan Anda untuk menjalankan dalam mode kering-lari, tanpa membuat perubahan.

Pengguna AWS yang menggunakan Script Inventaris Eksternal EC2 dapat dengan mudah memfilter berdasarkan id instan:

ansible-playbook sample-playbook.yml --limit i-c98d5a71 --list-hosts

Ini berfungsi karena skrip inventaris membuat grup default .

Kami memiliki beberapa buku pedoman umum yang dapat digunakan oleh sejumlah besar tim. Kami juga memiliki file inventaris khusus lingkungan, yang berisi beberapa deklarasi grup.

Untuk memaksa seseorang yang memanggil playbook untuk menentukan grup yang akan dilawan, kami menambakan entri boneka di bagian atas playbook:

[ansible-dummy-group]
dummy-server

Kami kemudian menyertakan cek berikut sebagai langkah pertama dalam buku pedoman bersama:

- hosts: all
  gather_facts: False
  run_once: true
  tasks:
  - fail:
      msg: "Please specify a group to run this playbook against"
    when: '"dummy-server" in ansible_play_batch'

Jika server-dummy muncul di daftar host, playbook ini dijadwalkan untuk dijalankan melawan (ansible_play_batch), maka penelepon tidak menentukan grup dan eksekusi playbook akan gagal.

Karena versi 1.7 dimungkinkan memiliki opsi run_once . Bagian ini juga berisi beberapa diskusi tentang berbagai teknik lainnya.

Ini menunjukkan cara menjalankan buku pedoman di server target itu sendiri.

Ini agak sulit jika Anda ingin menggunakan koneksi lokal. Tetapi ini harus OK jika Anda menggunakan variabel untuk pengaturan host dan dalam file host buat entri khusus untuk localhost.

Di (semua) buku pedoman ada host: baris disetel ke:

- hosts: "{{ target | default('no_hosts')}}"

Dalam file host inventaris, tambahkan entri untuk localhost yang menetapkan koneksi menjadi lokal:

[localhost]
127.0.0.1  ansible_connection=local

Kemudian pada baris perintah jalankan perintah secara eksplisit menetapkan target - misalnya:

$ ansible-playbook --extra-vars "target=localhost" test.yml

Ini juga akan berfungsi saat menggunakan tarikan yang mungkin:

$ ansible-pull -U <git-repo-here> -d ~/ansible --extra-vars "target=localhost" test.yml

Jika Anda lupa mengatur variabel pada baris perintah, perintah tersebut akan error dengan aman (selama Anda belum membuat grup host yang disebut 'no_hosts'!) Dengan peringatan:

skipping: no hosts matched

Dan seperti yang disebutkan di atas Anda dapat menargetkan satu mesin (selama itu ada di file host Anda) dengan:

$ ansible-playbook --extra-vars "target=server.domain" test.yml

atau grup dengan sesuatu seperti:

$ ansible-playbook --extra-vars "target=web-servers" test.yml

Saya memiliki skrip pembungkus yang disebut ketentuan yang memaksa Anda untuk memilih target, jadi saya tidak harus menanganinya di tempat lain.

Bagi mereka yang penasaran, saya menggunakan ENV vars untuk opsi yang digunakan vagrantfile saya (menambahkan argumen yang sesuai yang mungkin untuk sistem cloud) dan membiarkan sisa argumen yang memungkinkan melewati. Di mana saya membuat dan menyediakan lebih dari 10 server sekaligus, saya menyertakan coba ulang otomatis pada server gagal (selama kemajuan sedang dibuat - saya menemukan saat membuat 100 atau lebih server pada suatu waktu sering beberapa akan gagal saat pertama kali sekitar ).

echo 'Usage: [VAR=value] bin/provision [options] dev|all|TARGET|vagrant'
echo '  bootstrap - Bootstrap servers ssh port and initial security provisioning'
echo '  dev - Provision localhost for development and control'
echo '  TARGET - specify specific host or group of hosts'
echo '  all - provision all servers'
echo '  vagrant - Provision local vagrant machine (environment vars only)'
echo
echo 'Environment VARS'
echo '  BOOTSTRAP - use cloud providers default user settings if set'
echo '  TAGS - if TAGS env variable is set, then only tasks with these tags are run'
echo '  SKIP_TAGS - only run plays and tasks whose tags do not match these values'
echo '  START_AT_TASK - start the playbook at the task matching this name'
echo
ansible-playbook --help | sed -e '1d
    s#=/etc/ansible/hosts# set by bin/provision argument#
    /-k/s/$/ (use for fresh systems)/
    /--tags/s/$/ (use TAGS var instead)/
    /--skip-tags/s/$/ (use SKIP_TAGS var instead)/
    /--start-at-task/s/$/ (use START_AT_TASK var instead)/
'

Solusi yang sedikit berbeda adalah dengan menggunakan variabel khusus ansible_limityang merupakan isi dari --limitopsi CLI untuk pelaksanaan Ansible saat ini.

- hosts: "{{ ansible_limit | default(omit) }}"

Tidak perlu mendefinisikan variabel tambahan di sini, cukup jalankan playbook dengan --limitbendera.

ansible-playbook --limit imac-2.local user.yml