2.3 配置运行环境

2.3.1 配置Ansible环境

Ansible配置文件是以ini格式存储配置数据的，在Ansible中，几乎所有的配置项都可以通过Ansible的playbook或环境变量来重新赋值。在运行Ansible命令时，命令将会按照预先设定的顺序查找配置文件，如下所示：

1）ANSIBLE_CONFIG：首先，Ansible命令会检查环境变量，及这个环境变量将指向的配置文件。

2）./ansible.cfg：其次，将会检查当前目录下的ansible.cfg配置文件。

3）～/.ansible.cfg：再次，将会检查当前用户home目录下的．ansible.cfg配置文件。

4）/etc/ansible/ansible.cfg：最后，将会检查在用软件包管理工具安装Ansible时自动产生的配置文件。

注意

如果你通过操作系统软件包管理工具或pip安装，那么你在/etc/ansible目录下应该已经有了ansible.cfg配置文件；如果你是通过GitHub仓库安装的，在你复制的仓库中examples目录下可以找到ansible.cfg，你可以把它拷贝到/etc/ansible目录下。

1．使用环境变量方式来配置

大多数的Ansible参数可以通过设置带有ANSIBLE_开头的环境变量进行配置，参数名称必须都是大写字母，如下配置项：

        export ANSIBLE_SUDO_USER=root

设置了环境变量之后，ANSIBLE_SUDO_USER就可以在playbook中直接引用。

2．设置ansible.cfg配置参数

Ansible有很多配置参数，你也许不会都使用到。下面列出常用的配置参数：

·inventory——这个参数表示资源清单inventory文件的位置，资源清单就是一些Ansible需要连接管理的主机列表。在1.9版本之前有个类似功能的参数hostfile，但1.9版本之后就不建议再使用了。下一章将对资源清单做详细的讲解。这个参数的配置实例如下：

          inventory = /etc/ansible/hosts

·library——Ansible的操作动作，无论是本地或远程，都使用一小段代码来执行，这小段代码称为模块，这个library参数就是指向存放Ansible模块的目录。配置实例如下：

          library = /usr/share/ansible

Ansible支持多个目录方式，只要用冒号（:）隔开就可以，同时也会检查当前执行playbook位置下的．/library目录。

·forks——设置默认情况下Ansible最多能有多少个进程同时工作，默认设置最多5个进程并行处理。具体需要设置多少个，可以根据控制主机的性能和被管节点的数量来确定，可能是50或100，默认值5是非常保守的设置。配置实例如下：

          forks = 5

·sudo_user——这是设置默认执行命令的用户，也可以在playbook中重新设置这个参数。配置实例如下：

          sudo_user = root

·remote_port——这是指定连接被管节点的管理端口，默认是22。除非设置了特殊的SSH端口，不然这个参数一般是不需要修改的。配置实例如下：

          remote_port = 22

·host_key_checking——这是设置是否检查SSH主机的密钥。可以设置为True或False，下一节将详细介绍。配置实例如下：

          host_key_checking = False

·timeout——这是设置SSH连接的超时间隔，单位是秒。配置实例如下：

          timeout = 60

·log_path——Ansible系统默认是不记录日志的，如果想把Ansible系统的输出记录到日志文件中，需要设置log_path来指定一个存储Ansible日志的文件。配置实例如下：

          log_path = /var/log/ansible.log

另外需要注意，执行Ansible的用户需要有写入日志的权限，模块将会调用被管节点的syslog来记录，口令是不会出现在日志中的。

2.3.2 使用公钥认证

现在运维对安全要求都是比较重视的，一般会采用密钥验证方式来登录，Ansible 1.2.1之后的版本都默认启用公钥认证。

如果有台被管节点重新安装系统并在known_hosts中有了与之前不同的密钥信息，就会提示一个密钥不匹配的错误信息，直到被纠正为止。在使用Ansible时，如果有台被管节点没有在known_hosts中被初始化，将会在使用Ansible或定时执行Ansible时提示对key信息的确认。

如果你不想出现这种情况，并且你明白禁用此项行为的含义，只要修改home目录下～/.ansible.cfg或/etc/ansible/ansible.cfg的配置项：

        [defaults]
        host_key_checking = False

或者直接在控制主机的操作系统中设置环境变量，如下所示：

        $export ANSIBLE_HOST_KEY_CHECKING=False

需要说明的是，在早期使用paramiko模式时，公钥认证速度相当慢，因此当使用密钥认证方式时建议采用SSH方式连接，这也是现在默认的连接方式。

2.3.3 配置Linux主机SSH无密码访问

为了避免Ansible下发指令时输入目标主机密码，通过证书签名达到SSH无密码是一个好的方案。推荐使用ssh-keygen与ssh-copy-id来实现快速证书的生成及公钥下发，其中ssh-keygen生产一对密钥，使用ssh-copy-id来下发生成的公钥。具体操作如下。

在控制主机（ansiblecontrol）上创建密钥，执行：ssh-keygen -t rsa，有询问直接按回车键即可，将在/root/.ssh/下生成一对密钥，其中id_rsa为私钥，id_rsa.pub为公钥，代码如下：

        [root@ansiblecontrol]# ssh-keygen
        Generating public/private rsa key pair.
        Enter file in which to save the key (/root/.ssh/id_rsa):<回车>
        Enter passphrase (empty for no passphrase): <回车>
        Enter same passphrase again: <回车>
        Your identification has been saved in /root/.ssh/id_rsa.
        Your public key has been saved in /root/.ssh/id_rsa.pub.
        The key fingerprint is:
        ec:f2:89:2a:62:c5:1a:53:32:04:04:fd:40:e9:ad:dd  root@ansiblecontrol.
    ansible.cn
        The key' s randomart image is:
        +--[ RSA 2048]-----+
        |*+..                       |
        | .+                        |
        |.. +                       |
        | o..o   .                  |
        |   =o .   S                |
        | o.o. E.                   |
        |   =    . .                |
        |.o.     + .                |
        |.. .... o                  |
        +----------------------+

下发密钥就是控制主机把公钥id_rsa.pub下发到被管节点上用户下的．ssh目录，并重命名成authorized_keys，且权限值为400。接下来推荐常用的密钥拷贝工具ssh-copy-id，把公钥文件id_rsa.pub公钥拷贝到被管节点，命令格式如下：

        ssh-copy-id  [-h—-? —-n]  [-i  [identity_file]]  [-p  port]  [[-o  <ssh  -o
    options>] ...] [user@]hostname

输入以下命令同步公钥到被管节点web1（192.168.1.111）：

        [root@ansiblecontrol]#  ssh-copy-id  -i  /root/.ssh/id_rsa.pub
            root@192.168.1.111
        /usr/bin/ssh-copy-id:  INFO:  attempting  to  log  in  with  the  new  key(s),
              to filter out any that are already installed
        /usr/bin/ssh-copy-id:  INFO:  1  key(s)  remain  to  be  installed  --  if  you
              are prompted now it is to install the new keys
        root@192.168.1.111' s password:<输入口令>
        Number of key(s) added: 1
        Now try logging into the machine, with:    "ssh ' root@192.168.1.111' "
        and check to make sure that only the key(s) you wanted were added.
        [root@ansiblecontrol]# ssh root@192.168.1.111
        Last login: Sat Aug 29 12:07:452015 from ansiblecontrol.ansible.cn
        [root@web1～]#

密钥分发后，需要验证一下SSH无密码配置是否成功，只需运行ssh root@192.168.1.111，如果直接进入被管节点root账号提示符，即出现[root@web1～]#，则说明配置成功。

同样的配置方式对web2（192.168.1.112）也做下密钥分发。

上一章目录下一章