Работал ли с Ansible

Question

Работал ли с Ansible

Тип вопроса: Ansible Вероятность: 51% Категория: Devops Инженер

Ответ

Да, активно использовал Ansible для управления конфигурацией и автоматизации рутинных задач. Основное применение — бутстраппинг серверов (базовая настройка, установка агентов мониторинга, настройка безопасности) и конфигурация middleware (Nginx, PostgreSQL, Redis) в средах, где не использовался Docker/Kubernetes.

Мой опыт и подход:

Структура проектов: Организовывал плейбуки по ролям (roles), выносил переменные в group_vars/ и host_vars/, использовал динамический инвентарь, например, для AWS через плагин amazon.aws.aws_ec2.
Безопасность: Работал с Ansible Vault для шифрования паролей, ключей и других секретов прямо в репозитории.
Идемпотентность: Писал задачи с учетом идемпотентности, используя модули stat, register и when для проверки состояния перед изменением.
Интеграция: Запускал плейбуки из CI/CD (GitLab CI) для автоматического применения конфигурации при изменении кода.

Пример роли для настройки базового hardening сервера:

# roles/base_hardening/tasks/main.yml
- name: Update apt cache
  apt:
    update_cache: yes
    cache_valid_time: 3600

- name: Install essential security packages
  apt:
    name:
      - fail2ban
      - unattended-upgrades
    state: present

- name: Configure SSH hardening
  lineinfile:
    path: /etc/ssh/sshd_config
    regexp: "{{ item.regexp }}"
    line: "{{ item.line }}"
  with_items:
    - { regexp: '^#?PasswordAuthentication', line: 'PasswordAuthentication no' }
    - { regexp: '^#?PermitRootLogin', line: 'PermitRootLogin prohibit-password' }
  notify: restart sshd

- name: Ensure UFW is enabled with default deny policy
  ufw:
    state: enabled
    policy: deny
    direction: incoming

# roles/base_hardening/handlers/main.yml
- name: restart sshd
  service:
    name: sshd
    state: restarted

В современных стеках с контейнерами и Kubernetes роль Ansible сместилась для меня больше на начальную настройку host-систем (например, нод K8s) и управление сетевым оборудованием, где агентный подход не требуется.

Ответ 18+ 🔞

А, Ansible, говоришь? Ну, это как тот старый, проверенный инструмент в гараже — выглядит не ахти, но когда надо наколхозить кучу серверов, он выручает так, что волосы дыбом встают. Я его, конечно, юзал, и не раз. В основном, когда надо было новые серверы с нуля поднять — этот самый бутстраппинг, ёпта. Чтоб они не как голые мартышлюшки стояли, а сразу с агентами мониторинга, защёлкнутыми настройками безопасности и прочим скарбом. Ну и всякие Nginx, PostgreSQL, Redis в тех местах, куда Docker со своим Kubernetes ещё не дотянулся.

Как я с ним работал, если по-честному:

Структура проектов: Тут без вариантов — всё по полочкам. Плейбуки разбивал на роли (roles), переменные пихал в group_vars/ и host_vars/, чтобы не искать их потом по всему коду. А инвентарь? Да динамический, конечно! В AWS, например, через плагин amazon.aws.aws_ec2 — чтобы сервера сами себя находили, красота.
Безопасность: А вот это важно, бля. Ansible Vault — вещь просто святая. Все пароли, ключи и прочие секреты шифровал прямо в репозитории, а то мало ли, хитрая жопа какая-нибудь подкрадётся.
Идемпотентность: Это, чувак, священный грааль. Писал задачи так, чтобы их можно было запускать сто раз, а менялось что-то только если надо. Модули stat, register и when — мои лучшие друзья для проверки «а не было ли уже этого сделано?».
Интеграция: Ну и куда же без CI/CD? Запускал плейбуки прямиком из GitLab CI. Изменил конфиг в репе — и пошла пляска, всё само накатится. Удобно, чёрт возьми.

Вот, смотри, кусок роли, чтобы сервер не был дырявым как решето:

# roles/base_hardening/tasks/main.yml
- name: Update apt cache
  apt:
    update_cache: yes
    cache_valid_time: 3600

- name: Install essential security packages
  apt:
    name:
      - fail2ban
      - unattended-upgrades
    state: present

- name: Configure SSH hardening
  lineinfile:
    path: /etc/ssh/sshd_config
    regexp: "{{ item.regexp }}"
    line: "{{ item.line }}"
  with_items:
    - { regexp: '^#?PasswordAuthentication', line: 'PasswordAuthentication no' }
    - { regexp: '^#?PermitRootLogin', line: 'PermitRootLogin prohibit-password' }
  notify: restart sshd

- name: Ensure UFW is enabled with default deny policy
  ufw:
    state: enabled
    policy: deny
    direction: incoming

# roles/base_hardening/handlers/main.yml
- name: restart sshd
  service:
    name: sshd
    state: restarted

Сейчас, конечно, всё больше в контейнерах и Kubernetes, и Ansible немного на обочине. Но знаешь, где он до сих пор король? Начальная настройка этих самых хостов под K8s, да и сетевое железо всякое, где агентов не наставишь. Так что инструмент ещё тот, ядрёна вошь, живой.