1. Ansible概述
1.1 定义与特点
Ansible 是一种开源的自动化平台，它使用 SSH 协议来管理服务器和应用程序的配置。它允许系统管理员自动化云服务、系统配置、部署软件等任务。Ansible 的设计目标是简单易用，同时具备强大的功能。
定义
：Ansible 是一种无需代理的自动化工具，它通过 SSH 连接到目标服务器，执行配置管理和应用部署任务。
特点
：
无需代理
：Ansible 无需在目标服务器上安装代理或额外的软件。
易用性
：Ansible 使用 YAML 格式编写剧本（Playbooks），易于理解和编写。
模块化
：Ansible 提供了丰富的模块库，可以执行各种系统管理任务。
并行执行
：Ansible 能够并行执行任务，提高效率。
错误容忍
：即使某些任务失败，Ansible 也会继续执行其他任务，提高系统的可用性。
跨平台
：Ansible 支持多种操作系统，包括但不限于 Linux、Windows、macOS 等。
社区支持
：Ansible 拥有活跃的社区，提供大量的模块和剧本示例。
Ansible 的这些特点使其成为管理普通主机的理想工具，无论是本地服务器还是远程服务器，都可以使用 Ansible 进行高效的自动化管理。
2. Ansible与普通主机的兼容性
2.1 SSH连接机制
Ansible 利用 SSH 协议与普通主机建立连接，实现远程管理。它不依赖于特定的客户端安装，仅需在控制节点配置 SSH 密钥对，确保可以无密码登录到目标主机。
兼容性
：Ansible 支持多种操作系统，包括但不限于常见的 Linux 发行版、macOS 和 Windows，通过 OpenSSH 服务实现与普通主机的连接。
配置简便
：Ansible 的
ansible.cfg
配置文件允许用户自定义 SSH 参数，如
ControlMaster
和
ControlPersist
，优化连接性能和体验。
2.2 权限提升方法
Ansible 提供了灵活的权限提升机制，允许普通用户执行需要更高权限的任务。
become
：Ansible 的
become
功能允许用户以更高权限的用户身份执行任务，如使用
sudo
或
su
命令提升权限。
安全性
：在使用
become
时，Ansible 会确保任务以安全的方式执行，例如通过文件权限管理，防止未授权访问。
配置选项
：用户可以在 Playbook 中设置
become_method
和
become_user
，指定使用哪种方法和用户进行权限提升，以及通过
–ask-become-pass
命令行选项在执行时输入密码。
Ansible 的设计哲学是简单易用，它通过 SSH 连接和权限提升机制，使得对普通主机的管理变得高效而安全。无论是在小型开发环境还是大型企业级部署中，Ansible 都能够提供强大的自动化支持。
3. 配置Ansible以使用普通用户
3.1 主机清单配置
Ansible 支持在普通主机上运行，这包括使用普通用户进行管理和自动化任务。主机清单（Inventory）是Ansible中定义管理节点的文件，可以是静态的也可以是动态的。
静态清单文件
：通常位于
/etc/ansible/hosts
或用户自定义路径，使用文本编辑器可以创建和编辑。
“`
[webservers]
192.168.1.1
192.168.1.2
[dbservers]
192.168.1.3
– **动态清单**：Ansible 可以使用外部源，如API、数据库或脚本，动态生成清单。
“`yaml
# Example of a dynamic inventory script
#!/bin/bash
echo “webservers
192.168.1.1
192.168.1.2”
清单分组
：Ansible 允许将主机分组，便于对一组主机执行相同的任务。
“`ini
[webservers]
web1 ansible_host=192.168.1.1
web2 ansible_host=192.168.1.2
[dbservers]
db1 ansible_host=192.168.1.3
## 3.2 配置文件详解
Ansible 的配置文件`ansible.cfg`位于用户的主目录下或`/etc/ansible/`目录，定义了Ansible的运行参数。
– **基本配置**：配置文件中可以设置默认的清单文件位置、远程用户、SSH连接参数等。
[defaults]
inventory = /path/to/your/inventory
remote_user = your_username
private_key_file = /path/to/your/private/key
– **连接设置**：可以指定Ansible如何与远程主机建立连接，包括使用SSH、paramiko、openssh等。
[connection]
pipelining = True
– **SSH配置**：Ansible 使用SSH连接到远程主机，可以配置SSH的额外参数。
[ssh_connection]
ssh_args = -o ControlMaster=auto -o ControlPersist=600s
control_path = /tmp/ansible-ssh-%h-%p-%r
– **权限提升**：在需要时，Ansible 可以提升权限执行任务。
[privilege_escalation]
become = True
become_method = sudo
become_user = root
– **环境变量**：可以在配置文件中设置环境变量，这些变量将应用于所有任务。
[environment]
ANSIBLE_NOCOWS = 1
通过合理配置Ansible的清单文件和配置文件，即使是普通用户也能有效地使用Ansible进行自动化管理。
# 4. 执行操作与权限提升示例
## 4.1 使用普通用户登录并执行命令
普通用户在Ansible中执行命令是一种常见的操作模式，这允许对远程主机进行管理而无需使用root权限。通过Ansible的`remote_user`参数，可以指定一个非root用户来登录远程主机并执行任务。
– **配置示例**：在Ansible的配置文件或Playbook中，可以设置`remote_user`参数来指定普通用户。
“`yaml
– hosts: all
remote_user: ordinary_user
tasks:
– name: Execute a command as an ordinary user
command: echo “Hello, World”
SSH密钥配置
：为了实现无密码登录，Ansible可以利用SSH密钥对进行身份验证。需要在Ansible控制节点生成SSH密钥对，并将公钥添加到远程主机的
~/.ssh/authorized_keys
文件中。
用户权限
：普通用户执行的任务应确保不超出该用户的权限范围。如果需要执行需要更高权限的任务，可以结合权限提升机制。
4.2 通过sudo或su提升权限
在某些情况下，普通用户需要执行需要更高权限的任务。Ansible提供了
become
机制，允许在执行任务时提升权限。
配置示例
：在Playbook中，可以设置
become: yes
来启用权限提升，并指定
become_method
为
sudo
或
su
。
“`yaml
hosts: all
remote_user: ordinary_user
become: yes
become_method: sudo
tasks:
name: Execute a command with elevated privileges
command: echo “Performing administrative tasks”
”`
无密码sudo
：为了简化操作，可以在远程主机的
/etc/sudoers
文件中配置普通用户无需密码即可执行sudo命令。这可以通过Ansible的
lineinfile
模块实现。
“`yaml
name: Configure sudoers for passwordless operation
lineinfile:
path: /etc/sudoers
state: present
regexp: ‘^{{ ansible_user }}’
line: ‘{{ ansible_user }} ALL=(ALL) NOPASSWD: ALL’
”`
安全性考虑
：虽然无密码sudo提供了便利，但也可能带来安全风险。应确保只有可信用户被授予此权限，并严格控制可执行的命令范围。
sudo角色
：Ansible中也有专门的
sudo
角色，可以在Playbook中重用，以统一管理权限提升的配置。
通过上述两种方式，Ansible不仅支持使用普通用户登录和执行命令，还提供了灵活的权限提升机制，以满足不同场景下的需求。
5. 安全性与最佳实践
5.1 密码管理
在使用Ansible进行远程主机管理时，密码管理是确保安全性的关键环节。Ansible支持多种密码管理方式，包括SSH密钥对、sudo提权密码等。
SSH密钥对：Ansible推荐使用SSH密钥对进行无密码登录，这不仅提高了自动化管理的效率，也减少了密码泄露的风险。用户可以通过
ssh-keygen
生成密钥对，并通过
ssh-copy-id
将公钥复制到远程主机，实现免密码登录。
sudo提权密码：当需要以普通用户身份登录并执行需要更高权限的任务时，Ansible支持sudo提权。用户可以在Ansible配置文件中设置
become_ask_pass=False
，以避免在执行时反复输入密码。
5.2 配置文件安全
Ansible的配置文件
ansible.cfg
包含了重要的系统设置，其安全性对整个自动化过程至关重要。
文件存储：配置文件应存储在安全的位置，避免未授权访问。Ansible默认的配置文件路径为
/etc/ansible/ansible.cfg
，建议设置合适的文件权限，确保只有授权用户才能访问和修改。
敏感信息：配置文件中可能包含敏感信息，如远程主机的IP地址、用户名等。应确保这些信息不被泄露，可以通过环境变量或加密存储的方式来增强安全性。
配置文件备份：定期备份配置文件，以防数据丢失或损坏。备份文件应同样遵循安全存储的原则。
通过以上措施，可以提高Ansible在使用普通主机时的安全性，确保自动化管理过程的稳定性和可靠性。
6. 总结
Ansible作为一种无代理的自动化工具，其设计允许它在广泛的主机上运行，包括普通主机。它依赖于SSH或WinRM等协议与远程主机通信，无需在目标主机上安装代理或额外软件。以下是对Ansible使用普通主机的总结：
兼容性
：Ansible支持多种操作系统，包括但不限于Linux的各种发行版、macOS、Windows（通过WSL或Powershell Remoting）等，这表明它能够在普通主机上运行。
配置要求
：Ansible的控制节点需要Python 3.9或更新版本，而托管节点则需要Python 2.7或Python 3.5-3.11。这意味着大多数现代操作系统的主机都可以满足运行Ansible的要求。
安装简便性
：Ansible可以通过包管理器或pip轻松安装在控制节点上，而托管节点则无需安装Ansible即可被管理。
安全性
：Ansible使用现有的系统凭证进行认证，支持SSH密钥认证，保障了自动化过程中的安全性。
社区支持
：Ansible拥有活跃的社区，提供了大量的模块和角色，使得在普通主机上实现自动化任务变得更加容易和高效。
易用性
：Ansible的YAML格式的Playbook易于编写和理解，使得即使是初学者也能快速上手，实现自动化任务。
综上所述，Ansible不仅适用于普通主机，而且其设计哲学、安装简便性、社区支持和易用性都使其成为自动化IT基础设施管理的理想选择。