これまで、Ansibleの構築とLinuxサーバへの接続確認まで実施した。今回は、Ansibleを使ってLinuxの初期設定と単体テストを行うPlaybookを作成した。作成する中で、Playbookのテクニックについても知見を得られたので、それも併せて記載する。
Linuxの初期設定とは、例えばsysstatやtcpdumpなどトラブルシューティング用の定番パッケージのインストール作業や、必要なサービスの起動・不要なサービスの停止作業が該当する。
今までのAnsible関連記事
- AnsibleコントロールノードをAlmaLinux上に構築する
- AnsibleからLinuxサーバに接続するための事前作業
- AnsibleでLinuxサーバの初期設定と単体テストを行う ←★本記事
- Ansibleのベストプラクティスのディレクトリ構成でPlaybookを実行する
- AnsibleからWindows Serverに接続するための事前作業
- AnsibleでWindows Serverの初期設定と単体テストを行う
- AnsibleでESXi上に仮想マシンを構築する
環境
コントロールノードとなるOSは、AlmaLinuxを用いる。ただし、Red Hat系のディストリビューションであるCentOSやRocky Linuxなどでも同様の手順で構築できるだろう。
- OS : AlmaLinux 8.5
- Ansible : ansible [core 2.13.1]
前提として、SELinuxとfirewalldは停止しておく。
# systemctl stop firewalld
# systemctl disable firewalld
# sed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config
# reboot
Playbookの処理概要
今回のPlaybookはLinux初期構築を行うものとなるが、大きく「構築パート」と「単体テストパート」に分けて作成している。
構築パートでAnsibleのモジュールを用いてLinuxサーバの各種設定やパッケージのインストールを行う。
単体テストパートでは、構築パートで実施した設定項目と一対一となるように設定確認を行う。しかし本来、Ansibleは冪等性 (処理を何回行っても必ず同じ結果となる性質) があるため、構築パートでAnsibleの処理が成功したことを確認できれば必ず正しい設定が反映されているはずであり、わざわざ単体テストは不要と感じるかもしれない。
ただし、再度設定値確認として単体テストを行うことで、Ansibleでは処理が成功していても何らかの理由で設定が反映されていない可能性を排除できることや、Ansibleの構築処理とは別に設定変更をさせずに単体テストを行うことができるため品質向上を図ることができると考える。
また、基本方針として、単体テストパートの処理を構築パートで利用したモジュールや処理と同じにしてしまうと、万が一設定変更処理自体に問題があった場合に検知ができない可能性があることから、単体テストパートでは別の処理内容 (別のコマンド) にて設定内容を確認をするようにPlaybookを作成した。
Playbookの処理詳細
Playbookのファイルの記載内容は大きく以下のように構成される。
| 設定項目 | 説明 |
|---|---|
| hosts | 実行対象のサーバを記載する。サーバのリストは別ファイルで作成し、そのファイルの中で実行する対象のサーバやグループを指定する。 |
| vars | 変数を記載する。ここで記載した変数は{{ 変数名 }}という形で参照できる。また、変数は配列して複数の要素を持たせることもできる。 |
| tasks | Ansibleで実行するメインの処理を記載する。 |
| handlers | Ansibleでメイン処理実行状況に応じて実行する事後処理を記載する。例えば、設定ファイル更新がされた場合 (実行結果がchangedの場合) は設定反映のためにサービス再起動を行うといった使い方をする。今回のPlaybookでは未使用となる。 |
Ansibleのベストプラクティスでは、これらのファイルを分割して決められたディレクトリに沿って配置するルールとなっているが、今回は入門編ということで、あえて1つのファイルにてPlaybookを作成した。
1. hosts : 実行対象サーバ
実行対象サーバを記載するファイルは、Playbookとは別にhostsというファイル名で作成した。なお、ファイル名はPlaybook実行時に指定できるため、任意の名前で作成して問題ない。
[]でグループ名を記載し、実行対象サーバを羅列する。記載方法はサーバのホスト名を記載し、実際に接続するIPアドレスをansible_hostの変数で記載するとわかりやすい。
hosts
[linux_servers]
server1 ansible_host=192.168.1.101
server2 ansible_host=192.168.1.102
server3 ansible_host=192.168.1.103
2. vars : 変数
Ansibleではvarsに、Playbookで利用する変数を記載する。今回は以下内容を変数として記載した。
| 変数名 | 内容 |
|---|---|
ansible_user |
Ansibleを実行するための実行対象サーバのユーザ名を記載。 |
proxy_env |
dnf実行時にプロキシサーバを指定し、インターネットからパッケージダウンロードをできるようにするため、環境変数http_proxyとhttps_proxyを指定する。 |
install_package_list |
インストール対象のパッケージを一覧で指定。 |
disable_service_list |
停止するサービスを一覧で指定。 |
enable_service_list |
起動するサービスを一覧で指定。 |
ntp_server |
実行対象に設定するNTPサーバを指定。 |
nmcli_ipv4_gateway |
実行対象サーバに設定するデフォルトゲートウェイを指定。 |
nmcli_ipv4_dns |
実行対象サーバに設定するDNSサーバを指定。 |
nmcli_ipv4_dns_search |
実行対象サーバに設定するDNS検索パスを指定。 |
---
- name: Setup linux server
gather_facts: no
hosts: linux_servers
vars:
ansible_user: ansibleuser
proxy_env:
http_proxy: 192.168.1.1:8080
https_proxy: 192.168.1.1:8080
install_package_list:
- open-vm-tools
- rsyslog
- chrony
- sos
- sysstat
- tcpdump
- cifs-utils
- nfs-utils
- bind-utils
disable_service_list:
- firewalld
enable_service_list:
- chronyd
ntp_server: 192.168.1.2
nmcli_ipv4_gateway: 192.168.1.254
nmcli_ipv4_dns: "192.168.1.3 192.168.1.4"
nmcli_ipv4_dns_search: test.local
～(以下略)～
3. tasks : 処理 (構築パート)
Playbookの処理はtasksに記載する。まず、実行対象サーバに設定を投入する構築パートの処理内容を以下に記載する。
※モジュール名はFQCNで記載すると長くなるため名前だけの記載にしているが、PlaybookにはFQCNで記載することを推奨する。
| 処理内容 | モジュール | 説明 |
|---|---|---|
| タイムゾーン設定 | timezone |
Asia/Tokyoに設定。 |
| インタフェース設定 | command |
nmcliコマンドを実行し、デフォルトゲートウェイ、DNSサーバ、DNS検索パスの設定を行う。設定反映のため、nmcliコマンドでインタフェースのUpを行う。なお、community.general.nmcliでも各種設定が可能ではあるが、私の環境では想定通りの動作がしないことがあったり、最終的に設定反映のためのインタフェースのUpは直接nmcliコマンドで実行する必要があることから、すべての設定作業をnmcliコマンドで直接実行する形式としている。 |
| パッケージインストール | dnf |
変数install_package_listにて指定した複数のパッケージをdnfを用いてインストールする。その際にプロキシサーバ経由でインターネットアクセスができるよう環境変数http_proxyとhttps_proxyを指定する。 |
| サービス無効化 | service |
変数disable_package_listで指定した複数のサービスを無効化する。 |
| サービス有効化 | service |
変数enable_package_listで指定した複数のサービスを有効化する。 |
| SELinux無効化 | selinux |
SELinuxを無効化し、再起動が必要な場合はOS再起動を行い設定を反映する。 |
| 時刻同期設定 (Chrony設定) | lineinfile |
ChronyのNTP同期先を1つ設定する。具体的には、デフォルトで存在するserver句またはpool句を指定したserver句に置換する。設定後、Chronyのサービス再起動を行い設定を反映する。 |
setup_linux_server.yml (抜粋)
---
- name: Setup linux server
gather_facts: no
hosts: linux_servers
vars:
～(中略)～
tasks:
# Build
- name: Set timezone
community.general.timezone:
name: Asia/Tokyo
become: true
- name: Set network interface
ansible.builtin.command: nmcli c mod ens192 {{ item }}
loop:
- connection.autoconnect yes
- ipv4.gateway "{{ nmcli_ipv4_gateway }}"
- ipv4.dns "{{ nmcli_ipv4_dns }}"
- ipv4.dns-search "{{ nmcli_ipv4_dns_search }}"
changed_when: false
become: true
- name: Restart network interface
ansible.builtin.command: nmcli c up ens192
changed_when: false
become: true
- name: Install packages
ansible.builtin.dnf:
name: "{{ package_install_list }}"
state: present
become: true
environment: "{{ proxy_env }}"
- name: Disable service
ansible.builtin.service: name={{ item }} enabled=no state=stopped
loop: "{{ service_disable_list }}"
become: true
- name: Enable service
ansible.builtin.service: name={{ item }} enabled=yes state=started
loop: "{{ service_enable_list }}"
become: true
- name: Disable SELinux
ansible.posix.selinux:
state: disabled
become: true
register: result
- name: Reboot (when reboot required)
ansible.builtin.reboot:
async: 1
poll: 0
changed_when: false
become: true
when: result.reboot_required
- name: Wait for reboot
ansible.builtin.wait_for_connection:
delay: 5
timeout: 120
when: result.reboot_required
- name: Set chrony
ansible.builtin.lineinfile:
path: /etc/chrony.conf
regexp: '^(pool|server)'
line: 'server {{ ntp_server }} iburst'
become: true
- name: Restart chrony
ansible.builtin.service: name=chronyd state=restarted
become: true
changed_when: false
～(以下略)～
4. tasks : 処理 (単体テストパート)
引き続きtasksの中の単体テストパートを記載する。
※モジュール名はFQCNで記載すると長くなるため名前だけの記載にしているが、PlaybookにはFQCNで記載することを推奨する。
| 処理内容 | モジュール | 説明 |
|---|---|---|
| タイムゾーン確認 | shell |
Asia/Tokyoに設定されていることをコマンドにて確認。 |
| インタフェース設定確認 | shell |
nmcliコマンドを実行し、デフォルトゲートウェイ、DNSサーバ、DNS検索パスの設定確認を行う。 |
| パッケージインストール確認 | shell |
変数install_package_listにて指定した複数のパッケージをrpm -qコマンドを用いてインストールされていることを確認する。 |
| サービス無効化確認 | shell |
変数disable_package_listで指定した複数のサービスをsystemctl is-enabledコマンドを用いて無効化されていることを確認する。なお、systemctlはサービスがdisabledの場合、返り値が1となるため、set -o pipefailは付与しない。 |
| サービス有効化確認 | shell |
変数disable_package_listで指定した複数のサービスをsystemctl is-enabledコマンドを用いて有効化されていることを確認する。なお、systemctlはサービスがdisabledの場合、返り値が1となるため、set -o pipefailは付与しない。 |
| SELinux確認 | command |
SELinuxが無効化されていることをコマンドにて確認する。 |
| 時刻同期設定確認 (Chrony設定確認) | shell |
ChronyのNTP同期先をに対して時刻同期が成功していることを確認する。 |
setup_linux_server.yml (抜粋)
---
- name: Setup linux server
gather_facts: no
hosts: linux_servers
vars:
～(中略)～
tasks:
～(中略)～
# Unit test
- name: Test timezone
ansible.builtin.shell: set -o pipefail && timedatectl status | grep 'Asia/Tokyo'
changed_when: false
- name: Test network interface
ansible.builtin.shell: set -o pipefail && nmcli c show ens192 | grep -E {{ item }}
loop:
- '^connection.autoconnect.*yes'
- '^ipv4.addresses.*{{ ansible_host }}'
- '^ipv4.gateway.*{{ nmcli_ipv4_gateway }}'
- '^ipv4.dns.*$(echo "{{ nmcli_ipv4_dns }}" | tr " " ",")'
- '^ipv4.dns-search.*{{ nmcli_ipv4_dns_search }}'
changed_when: false
register: result
environment:
LANG: C
- name: Test install packages
ansible.builtin.shell: rpm -q "{{ item }}"
loop: "{{ package_install_list }}"
changed_when: false
register: result
tags: skip_ansible_lint
- name: Test disable service
ansible.builtin.shell: systemctl is-enabled "{{ item }}" | grep 'disabled'
loop: "{{ service_disable_list }}"
changed_when: false
register: result
tags: skip_ansible_lint
- name: Test enable service
ansible.builtin.shell: systemctl is-enabled "{{ item }}" | grep 'enabled'
loop: "{{ service_enable_list }}"
changed_when: false
register: result
tags: skip_ansible_lint
- name: Test SELinux
ansible.builtin.command: getenforce
changed_when: false
register: result
failed_when: result.stdout != "Disabled"
- name: Test chrony
ansible.builtin.shell: set -o pipefail && chronyc -n sources | grep -E '\^\* {{ ntp_server }}' | wc -l
changed_when: false
register: result
until: result.stdout | int == 1
retries: 3
delay: 5
実行結果
実際にPlaybookを実行してみよう。failed=0であれば、問題なく処理が成功している。
# ansible-playbook -i hosts -l server1 setup_linux_server.yml
PLAY [Setup linux server] ***************************************************************************************************
TASK [Set timezone] *********************************************************************************************************
changed: [server1]
TASK [Set network interface] ************************************************************************************************
ok: [server1] => (item=connection.autoconnect yes)
ok: [server1] => (item=ipv4.gateway "192.168.1.254")
ok: [server1] => (item=ipv4.dns "192.168.1.4")
ok: [server1] => (item=ipv4.dns-search "test.local")
TASK [Restart network interface] ********************************************************************************************
ok: [server1]
TASK [Install packages] *****************************************************************************************************
changed: [server1]
TASK [Disable service] ******************************************************************************************************
changed: [server1] => (item=firewalld)
TASK [Enable service] *******************************************************************************************************
ok: [server1] => (item=chronyd)
TASK [Disable SELinux] ******************************************************************************************************
[WARNING]: SELinux state temporarily changed from 'enforcing' to 'permissive'. State change will take effect next reboot.
changed: [server1]
TASK [Reboot (when reboot required)] ****************************************************************************************
ok: [server1]
TASK [Wait for reboot] ******************************************************************************************************
ok: [server1]
TASK [Set chrony] ***********************************************************************************************************
changed: [server1]
TASK [Restart chrony] *******************************************************************************************************
ok: [server1]
TASK [Test timezone] ********************************************************************************************************
ok: [server1]
TASK [Test network interface] ***********************************************************************************************
ok: [server1] => (item=^connection.autoconnect.*yes)
ok: [server1] => (item=^ipv4.addresses.*192.168.1.101)
ok: [server1] => (item=^ipv4.gateway.*192.168.1.254)
ok: [server1] => (item=^ipv4.dns.*$(echo "192.168.1.4" | tr " " ","))
ok: [server1] => (item=^ipv4.dns-search.*test.local)
TASK [Test SELinux] *********************************************************************************************************
ok: [server1]
TASK [Test install packages] ************************************************************************************************
ok: [server1] => (item=open-vm-tools)
ok: [server1] => (item=rsyslog)
ok: [server1] => (item=chrony)
ok: [server1] => (item=sos)
ok: [server1] => (item=sysstat)
ok: [server1] => (item=tcpdump)
ok: [server1] => (item=cifs-utils)
ok: [server1] => (item=nfs-utils)
ok: [server1] => (item=bind-utils)
TASK [Test disable service] *************************************************************************************************
ok: [server1] => (item=firewalld)
TASK [Test enable service] **************************************************************************************************
ok: [server1] => (item=chronyd)
TASK [Test chrony] **********************************************************************************************************
ok: [server1]
PLAY RECAP ******************************************************************************************************************
server1 : ok=18 changed=5 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
以上で、AnsibleによるLinuxの初期設定と単体テストを実現することができた。今回は1つのPlaybookにてすべての処理を実行したが、前述したとおりAnsibleのベストプラクティスでは、varsやtasksなどのファイルを分割してPlaybookを構成する。
次回は、Ansibleのベストプラクティスのディレクトリ構成にてPlaybookを実行してみたいと思う。
