Association FAImaison

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
====== Initialisation ======
<WRAP center round info 60%>
Le prérequis des commandes suivantes sont réalisées sur un poste Linux ou une VM sous Linux qui pilotera les autres serveurs Linux.
</WRAP>

<WRAP center round info 80%>
La cible est un serveur sous Linux avec \\
le **mot de passe root connu** \\ 
et un **utilisateur** qui peut se connecter en **SSH** au serveur et dont son **mot de passe** est **connu**. \\
\\
Dans notre exemple, le serveur est **alabourre** et l'utilisateur est **john**.
</WRAP>


===== Structure de répertoires =====
**Installer Ansible (sous Ubuntu ou Debian)**
<code bash>
sudo apt install ansible
</code>
Aide via ce lien [[https://linuxhint.com/install_ansible_debian10/]]


**Créer un répertoire de travail**
<code bash>
mkdir ansible
</code>


Dans ce répertoire, vous aurez tous vos fichiers pour travailler à savoir
<code bash>
drwxrwxr-x  3 user user 4,0K janv. 31 14:38 files
drwxrwxr-x  4 user user 4,0K janv. 31 14:46 inventory
drwxrwxr-x 45 user user 4,0K janv. 31 13:38 roles
</code>
**Création des répertoires de fonctionnement**
<code bash>
mkdir files; mkdir inventory; mkdir roles ;
</code>
Nous reviendrons dessus un peu plus tard.

===== Fichiers de configuration =====
==== ansible.cfg ====

Tout d'abord le fichier le plus important **ansible.cfg**
<code bash>
vi ansible.cfg
</code>
On indique que l'inventaire se situe dans le répertoire "inventory" qui sera dans notre répertoire de travail.
<code python>
[defaults]
inventory = inventory
</code>


===== L'inventaire =====
Il faut créer le fichier d'inventaire pour indiquer à ansible quel est la cible des actions.
Cela est tout à fait arbitraire: cela par OS, par type de service, par lieux, par client, etc.

<code bash>
vi inventory/serveursdebian.yml
</code>

<code python>
[debianhome]
alabourre ansible_host=192.168.1.1
#ontime    ansible_host=192.168.1.2
#[debianfma]
#alabourre1 ansible_host=392.568.321.1
#ontime2    ansible_host=392.568.321.2
</code>

==== host_vars ====
Variables spécifiques par équipement
<code bash>vi inventory/host_vars/alabourre.yml</code>
<code python>
common_admins:
  - john
  - doe
  - erzat

</code>
==== group_vars ====
Variables spécifiques par groupe d'équipements (le fameux fichier YML dans inventory)
<code bash>vi inventory/group_vars/proxmox.yml 
</code>

<code python>
common_admins:
  - john
  - doe

pve_cluster_enabled: false
</code>


====== Premier playbook ======

Créer un fichier de type : <code bash>vi playbook-mes-serveurs.yml </code>


<code python>
- hosts: proxmox
  become: true
  roles:
    - lae.proxmox
- hosts: all
  become: true
  name: Base commune pour tous les serveurs
  roles:
    - common
</code>


===== Premier rôle =====
Et oui, le playbook appelle des rôles. Et un rôle appelle des taches (tasks). \\
Dans le répertoire 'roles', on doit créer le rôle **commun** que l'on appelle dans le playbook!
<code bash>
mkdir -p roles/common/tasks/
mkdir -p roles/common/defaults/
vi roles/common/tasks/main.ymkl
</code>



====== Automatiser les connexions avec les droits qui vont avec ======
===== Le rôle, les tâches, les tags =====

<WRAP center round alert 60%>
Attention, il faut configurer la 1er connexion au serveur avant que tout cela fonctionne automatique !
</WRAP>

Donc il faut tout d'abord automatiser les actions suivantes :
  - installer le package SUDO
  - créer le groupe d'utilisateurs qui aura le droit de se connecter sans mot de passe
  - configurer un groupe SUDOERS en passwordless (sans mot de passe)
  - créer un utilisateur et lui mettre sa clés SSH


**Installation du package SUDO**
<code python>
- name: Prérequis Package sudo
  apt:
    name: sudo
    state: present
    update_cache: true
    cache_valid_time: 3600
    tags: sudo
</code>
**Création du groupe admin SUDO**
<code python>
- name: Groupe Admin
  group:
    name: sysadmin
  tags: admin  
</code>
**Mise en place du fichier pour la configuration du passwordless**
<code python>    
- name: sudo passwordless
  copy:
    content: "%sysadmin ALL=(ALL:ALL) NOPASSWD: ALL"
    dest: /etc/sudoers.d/ansible
    owner: root
    group: root
    mode: 0600
 tags: sanspwd
</code>
**Création des utilisateurs avec le shell bash**
<code python>  
- name: Utilisateurs "admin" à créer
  user:
    name: "{{ item }}"
    state: present
    group: "sysadmin"
    shell: /bin/bash
  loop: "{{ common_admins }}"
 tags: users
</code>  
<WRAP center round tip 60%>
Les utilisateur ayant le pouvoir du sudo sont à positionner dans le fichier **HOSTAME.yml** (lié au nom décrit dans le fichier inventory/seveursdebian.yml) dans le répertoire inventory/host_vars/ dans notre exemple **inventory/host_vars/alabourre.yml**
</WRAP>
Exemple: [[ansible:pourcommencer#host_vars|host_vars/alabourre.yml]]

**Mise en place des clés SSH**
<code python>    
- name: Clés SSH des utilisateurs
  authorized_key:
    user: "{{ item | basename | splitext | first }}"
    key: "{{ lookup('file', item) }}"
  when: "item | basename | splitext | first in common_admins"
  loop: "{{ lookup('fileglob', 'sshkeys/*.pub', wantlist=True) }}"
 tags: sshkeys
</code>    
<WRAP center round tip 60%>
\\
Les clés sont à positionner dans le répertoire : files/sshkeys/    
</WRAP>

<file python roles/common/tasks/main.yml>
- name: Prérequis Package sudo
  apt:
    name: sudo
    state: present
    update_cache: true
    cache_valid_time: 3600
  tags: sudo
- name: Groupe Admin
  group:
    name: "{{ common_admin_group }}"
  tags: admin
- name: sudo passwordless
  copy:
    content: "%{{ common_admin_group }} ALL=(ALL:ALL) NOPASSWD: ALL"
    dest: /etc/sudoers.d/ansible
    owner: root
    group: root
    mode: 0600
  tags: sanspwd
- name: Utilisateurs "admin" à créer
  user:
    name: "{{ item }}"
    state: present
    group: "{{ common_admin_group }}"
    shell: /bin/bash
  loop: "{{ common_admins }}"
  tags: users
- name: Clés SSH des utilisateurs
  authorized_key:
    user: "{{ item | basename | splitext | first }}"
    key: "{{ lookup('file', item) }}"
  when: "item | basename | splitext | first in common_admins"
  loop: "{{ lookup('fileglob', 'sshkeys/*.pub', wantlist=True) }}"
  tags: keys
</file>

===== 1er connexion pour valider le bon fonctionne d'ansible =====
==== Connexion avec un utilisateur ====
Lors de la 1er connexion, il y a un échange des clés qui doit être validé par l'utilisateur.
<code bash>
ssh 192.168.1.1
The authenticity of host '192.168.1.87 (192.168.1.1)' can't be established.
ECDSA key fingerprint is SHA256:NlviiamhX5Y96Xni/TU6rWCJwb6BaRX1Lvq1zNf0934.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '192.168.1.1' (ECDSA) to the list of known hosts.
john@192.168.1.87's password: 
</code>
==== Création de la clés SSH ====
Si cela n'est pas fait, où un pour un environnement spécifique.
<code bash>
ssh-keygen
</code>
Vous pouvez lire et afficher la clé avec la commande suivante :
<code bash>
cat ~/.ssh/id_rsa.pub
</code>
Copier la clés dans le répertoire pour déployer la clés SSH via ansible (mettre votre login.pub)
<code bash>
cp ~/.ssh/id_rsa.pub ansible/files/sshkeys/john.pub
</code>


==== Copie de la clés SSH pour automatiser la connexion ====
<code bash>
ssh-copy-id john@192.168.1.1
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
john@192.168.1.1's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'john@192.168.1.1'"
and check to make sure that only the key(s) you wanted were added.
</code>
Maintenant, vous pouvez vous connecter sans mot de passe à votre serveur.

----
**On va passer l'essentiel !**
<WRAP center round tip 60%>
Avoir le mot de passe ROOT
</WRAP>
Déploiement de la configuration pour automatiser les connexions
<WRAP center round important 60%>
Attention, la configuration en SUDO n'est pas encore opérationnel, il faut donc passer en SU ! \\
</WRAP>
<WRAP center round info 60%>
L'option --become-method=su : Permet de forcer la méthode d'élévation de privilège par défaut SUDO.
</WRAP>
<WRAP center round info 60%>
L'option -b : Devenir un autre utilisateur avec par défaut l'utilisateur root.
</WRAP>
<WRAP center round info 60%>
L'option -K : Demande le mot de passe pour l'utilisateur (ici root).
</WRAP>
Commande pour passer les "tags" des "tasks" du rôle (pour vérifier/déboguer)
<code bash>
ansible-playbook playbook-mes-serveurs.yml -l alabourre --become-method=su -b -K --tags sudo,admin,sanspwd,users,keys
</code>
__Ou toutes les taches/tasks:__
<code bash>
ansible-playbook playbook-mes-serveurs.yml -l alabourre --become-method=su -b -K 
</code>

Résultat de la commande
<code bash>
BECOME password: 

PLAY [conformité ensemble] *****************************************************************************************************************************************************************

TASK [Gathering Facts] *********************************************************************************************************************************************************************
changed: [alabourre]

TASK [common : Prérequis Package sudo] *****************************************************************************************************************************************************
changed: [alabourre]

TASK [common : Groupe Admin] ***************************************************************************************************************************************************************
changed: [alabourre]

TASK [common : sudo passwordless] **********************************************************************************************************************************************************
changed: [alabourre]

TASK [common : Utilisateurs "admin" à créer] ***********************************************************************************************************************************************
changed: [alabourre] => (item=john)

TASK [common : Clés SSH des utilisateurs] **************************************************************************************************************************************************
changed: [alabourre] => (item=/pwd/ansible/files/sshkeys/john.pub)

PLAY RECAP *********************************************************************************************************************************************************************************
alabourre                : ok=0    changed=8    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

</code>


**Maintenant, vous pouvez passer directement vos commandes avec votre utilisateur et sans mot de passe**
<code bash>ansible-playbook playbook-mes-serveurs.yml -l alabourre</code>

<code bash>
PLAY [conformité ensemble] *****************************************************************************************************************************************************************

TASK [Gathering Facts] *********************************************************************************************************************************************************************
ok: [alabourre]

TASK [common : Prérequis Package sudo] *****************************************************************************************************************************************************
ok: [alabourre]

TASK [common : Groupe Admin] ***************************************************************************************************************************************************************
ok: [alabourre]

TASK [common : sudo passwordless] **********************************************************************************************************************************************************
ok: [alabourre]

TASK [common : Utilisateurs "admin" à créer] ***********************************************************************************************************************************************
ok: [alabourre] => (item=john)

TASK [common : Clés SSH des utilisateurs] **************************************************************************************************************************************************
ok: [alabourre] => (item=/pwd/ansible/files/sshkeys/john.pub)

PLAY RECAP *********************************************************************************************************************************************************************************
alabourre                : ok=8    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

</code>


Maintenant, nous pouvons passer la suite à savoir le déploiement de configurations, packages pour un serveur ou un ensemble de serveurs. Dans le cadre d'ansible, nous réalisons des mises en conformité, à savoir l'on écrase ou l'on impose le référentiel qui est dans ansible.
[[ansible:lasuite|ansible:lasuite]]