Tag: ansible

執行之前寫好的 Ansible 腳本，卻有錯誤，奇怪，明明之前是好的啊？看了錯誤訊息，發現是找不到 /proc/sys/net/ipv4/tcp_tw_recycle 這個檔案的關係。怎麼會沒有這個檔案呢？使用 SSH 連上主機去看，還真的是沒有，上網找了之後，發現是 Linux Kernel 在 4.12 以後移除掉這檔案了(連結)。

好吧，因為腳本還有機會在較低版本的 Linux kernel 使用，必須得使用條件式來處理。在 Ansible 腳本裡，可以用 when 來做條件判斷，但是要怎麼取得 Linux kernel 版本以及做條件判斷呢？在 StackOverflow 上看到這篇：How to compare kernel (or other) version numbers in Ansible

從這篇得知：

1. 可以使用 ansible_kernel 就可以取得 Linux kernel 版本
2. 可以使用 version_compare 來比較版本

所以下面的腳本就可以在 Linux kernel 是 4.12 以後的版本印出 “foo”

tasks:
  - name: Display "foo" if kernel > 4.12
    debug:
      msg: "foo"
      when: ansible_kernel | version_compare('4.12', '>')

太好了。可是再仔細看，執行時有 deprecated 的警告耶，說在之後會把 version_compare 拿掉。上 Ansible 網站看了 Ansible 的文件之後，做了調整，新的語法要使用 “is” 來判斷，然後用 version() 來取代 version_compare。

tasks:
  - name: Display "foo" if kernel > 4.12
    debug:
      msg: "foo"
      when: ansible_kernel is version('4.12', '>')

好，收工。

如果目標主機上沒有 Python 時，Ansible 可是會抗議的。

所以必須要先幫目標主機裝上 Python 才行。首先要將 gather_facts 設定為 no，再利用 raw 模組來進行安裝，不使用 gather_facts 跟其他模組的原因是這些都會使用到 Python。

---
- hosts: all
  become: yes
  gather_facts: no
  tasks:
    - name: install python in Ubuntu
      raw: test -e /usr/bin/python || (apt -y update && apt install -y python-minimal)

上面用的是 apt，表示適用於 Debian/Ubuntu 等 debian-like 的 distro，至於其他的 distro ，就看套件管理程式是什麼囉。

用 Ansible 一陣子了，比較麻煩的地方是，主機不一定密碼都相同，簡單的方法當然是讓主機密碼都一樣，但這樣就降低了安全性。有沒有不需要改動密碼的方式呢？在網路上找了半天，找到這篇：ubuntu – Ansible: how to run a play with hosts with different passwords? – Stack Overflow ，裏面有個回應是建議使用 group_vars + ansible-vault + ansible_become_user/ansible_become_pass 來解決。

以下紀錄大致的步驟：

1. 在 playbook 所在目錄或是 /etc/ansible 下建立 group_vars 資料夾 (以下簡稱 group_vars 資料夾)。
2. 在 inventory 檔案裡，將相同密碼的主機編成一個群組，這裡假設群組名稱是 foo。
3. 進入 group_vars 資料夾，用 ansible-vault create foo.yml ，這時候會詢問你 vault 的密碼，輸入完成以後，會開啟編輯器，請在裏面輸入

   ---
   ansible_become_user: "root"
   ansible_become_pass: "your_password"

4. 存檔離開編輯器。
5. 在輸入 ansible-playbook 或 ansible 指令時，帶 –ask-vault-pass 參數，也就是在執行時，會問你 vault 檔案的密碼，然後自動解密並讀入裏面的變數執行。

之後要編輯加密過的檔案，得用 ansible-vault edit foo.yml 才行。

參考資料：

• ubuntu – Ansible: how to run a play with hosts with different passwords? – Stack Overflow
• Best Practices — Ansible Documentation
• Inventory — Ansible Documentation
• Vault — Ansible Documentation

Callback 可以讓人有機會處理執行的結果，網路上有些人會寫自己的 callback plugin 以便統計執行結果什麼的。寫 callback plugin 的方法蠻簡單的，先繼承 CallbackBase ，然後覆寫裏面的方法即可，Ansible 有提供不少範例可供參考。

幾件事情要注意：

• 寫 callback plugin 時：
  • 要寫 CALLBACK_TYPE，這裡如果填 ‘stdout’ 時，在 ansible.cfg 裡的 stdout_callback 也要指定為這個 callback ，這樣 callback 才會生效。
  • 要寫 CALLBACK_NAME，這是 callback 的名稱，建議最好跟檔案名稱相符，並且不要跟官方的 callback 重複。
• 使用時：
  • ansible.cfg 裡要指定 callback_plugins，這是填路徑。可以填相對路徑也可以填絕對路徑。
  • ansible.cfg 裡要指定 callback_whitelist，這是填 callback 的名稱，可以用 ‘,’ 分隔多個 callback。顧名思義，是一個白名單的形式，有填才表示啟用 callback。
  • callback 在預設情況下只有在使用 ansible-playbook 時才會生效，如果要讓 ansible adhoc 也能用 callback，得在 ansible.cfg 裡指定 bin_ansible_callback=True 。不過，CALLBACK_TYPE=’stdout’ 的 callback plugin 是適用的。

指定 exact_count=1，第一次執行時，新建的 instances 會同時放在 instances 與 tagged_instances 裡。(請看 ec_create_result.txt)

exact_count=1，再執行一次，changes 會是 false，instances 裡是空的，而 tagged_instances 裡則是之前已經建立的 instances (請看 ec2_create_again_result.txt)

將 exact_count 設定為 2，再次執行，changes 會是 true，instances 裡是新建的 instance，tagged_instances 裡除了之前已經建立的 instance 之外，還會有新建的 instance。

將 exact_count 改回 1，再次執行，changes 會是 true，instances 裡是被終結掉的 instance，state 是 terminated，而 tagged_instances 裡則是仍存活的 instances。 (請看 ec2_create_decrease_exact_count_result.txt)

碰到這個訊息：

[DEPRECATION WARNING]: You should not specify tags in the include parameters. All tags should be specified using the task-level option. This feature will be removed in a future release. Deprecation warnings can be disabled by setting deprecation_warnings=False in ansible.cfg.

這是因為這樣寫：

- include: setup.yml tags=myrole,setup
- include: myrole.yml tags=myrole

論壇有人問，開發團隊回答說，建議的作法是把 tags 拿下來，不要放在 include: xxx 的後面，也就是：

- include: setup.yml
  tags=myrole,setup
- include: myrole.yml
  tags=myrole