ansible 基础

/etc/ansible/hosts
# "#" 开头表示注释行，不生效
# Inventory 可以直接为IP 地址
10.0.0.151
# Inventory 同样支持主机名（hostname）的方式，后跟冒号加数字表示端口号，默认22号端口
mysql-151:5636
mysql-151
# 中括号的内容表示一个分组的开始，紧随其后的主机均属于改组成员，mysql-151 这这台主机属于[dbsrvs]组
[dbsrvs]
mysql-151
mysql-[151:156]   #[151:156] 表示151~156之间的所有数字，即表示mysql-151,mysql-152,mysql-153,.....,mysql-156的所有主机
mysql-[b:d]       # [b:d] 同理表示b到d之间的所有字母

[atlanta]
host2 http_port=303 maxRequestsPerChild=909  
# host2 这台主机中，设置了http_port和maxRequestsPerChild 这两个变量

[atlanta]
host1
host2

[atlanta:vars]
ntp_server=ntp.atlanta.example.com
proxy=proxy.atlanta.example.com

#[atlanta] 这个是组名，[altanta:vars] 表示要为这个组定义变量，这个组有哪些变量了：ntp_server和proxy

ansible_ssh_host
      将要连接的远程主机名.与你想要设定的主机的别名不同的话,可通过此变量设置.
ansible_ssh_port
      ssh端口号.如果不是默认的端口号,通过此变量设置.
ansible_ssh_user
      默认的 ssh 用户名
ansible_ssh_pass
      ssh 密码(这种方式并不安全,我们强烈建议使用 --ask-pass 或 SSH 密钥)
ansible_sudo_pass
      sudo 密码(这种方式并不安全,我们强烈建议使用 --ask-sudo-pass)
ansible_connection
      与主机的连接类型.比如:local, ssh 或者 paramiko. Ansible 1.2 以前默认使用 paramiko.1.2 以后默认使用 'smart','smart' 方式会根据是否支持 ControlPersist, 来判断'ssh' 方式是否可行.
ansible_ssh_private_key_file
      ssh 使用的私钥文件.适用于有多个密钥,而你不想使用 SSH 代理的情况.
ansible_shell_type
      目标系统的shell类型.默认情况下,命令的执行使用 'sh' 语法,可设置为 'csh' 或 'fish'.
ansible_python_interpreter
      目标主机的 python 路径.适用于的情况: 系统中有多个 Python, 或者命令路径不是"/usr/bin/python",比如  *BSD, 或者 /usr/bin/python
      不是 2.X 版本的 Python.我们不使用 "/usr/bin/env" 机制,因为这要求远程用户的路径设置正确,且要求 "python" 可执行程序名不可为 python以外的名字(实际有可能名为python27).
      与 ansible_python_interpreter 的工作方式相同,可设定如 ruby 或 perl 的路径....

/etc/ansible/hosts
[groupname]
some_host         ansible_ssh_port=2222     ansible_ssh_user=manager
aws_host          ansible_ssh_private_key_file=/home/example/.ssh/aws.pem
freebsd_host      ansible_python_interpreter=/usr/local/bin/python
ruby_module_host  ansible_ruby_interpreter=/usr/bin/ruby.1.9.3

# [组名]
主机名或者IP       参数

https://docs.ansible.com/ansible/latest/user_guide/intro_inventory.html#inventory-basics-hosts-and-groups

[root@ansible-150 ~]# ansible --help
Usage: ansible <host-pattern> [options]
ansible    主机表达式            选项参数
主机表达式可以是Inventory 里面的主机和IP 或者一些表达式来简易表示主机
选项参数比较多，这时候就需要经常看help 和 该选项的所表达意思

-m      相应名称的模块被执行，（默认模块为command）
-a      模块参数信息，-a后面是要执行的命令
-C      不做任何该变；只是做预测可能发生的变化
-syntax-checks  行语法检查在剧本上，但是并不执行剧本相当于debug

[root@ansible-150 ~]# egrep -v "^$|^#" /etc/ansible/hosts 
[dbsrvs]
10.0.0.151 ansible_ssh_user=ansible
10.0.0.152 ansible_ssh_user=ansible

[ansible@ansible-150 ~]$ ansible all -m ping 
10.0.0.151 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/bin/python"
    }, 
    "changed": false, 
    "ping": "pong"
}
10.0.0.152 | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/bin/python"
    }, 
    "changed": false, 
    "ping": "pong"
}

[ansible@ansible-150 ~]$ ansible  all -m command -a 'sudo mkdir /opt/xixi'
 [WARNING]: Consider using 'become', 'become_method', and 'become_user' rather than running sudo
10.0.0.151 | CHANGED | rc=0 >>
10.0.0.152 | CHANGED | rc=0 >>
#验证结果
[ansible@ansible-150 ~]$ ansible  all -m command -a 'ls /opt'
10.0.0.151 | CHANGED | rc=0 >>
rh
xixi

10.0.0.152 | CHANGED | rc=0 >>
rh
xixi

ansible-doc [options]  [plugin]

plugin 就是模块

#列出支持的模块
ansible-doc -l

#模块功能说明
ansible-doc ping

https://galaxy.ansible.com/

语法:ansible-inventory [options] [host|group]
参数:ansible-inventory --help 查看
ansible-inventory --list

[ansible@ansible-150 ~]$ ansible-doc -s ping

[ansible@ansible-150 ~]$ ansible all -m ping

[ansible@ansible-150 ~]$ ansible-doc -s command
- name: Executes a command on a remote node
  command:
      argv:                  # 允许用户以列表和字符串的形式提供命令，不能同时使用，也不必须提供其中一种
      chdir:                 # 在执行命令之前，先cd到指定的目录下
      creates:               # 用于判断命令是否要执行，如果指定的文件存在(可以使用通配符)，则不执行
      free_form:             # 默认的选项，这里只是显示，实际上是没有的
      removes:               # 用于判断命令是否要执行，如果指定的文件存在(可以使用通配符)则执行，不存在，则不执行
      stdin:                 # 将命令的stdin直接设置为指定值
      warn:                  # 设置command的警告信息(在/etc/ansible/ansible.cfg中有配置项)

#不加参数执行shell
[ansible@ansible-150 ~]$ ansible all -a 'ls -a'
[ansible@ansible-150 ~]$ ansible 10.0.0.151 -m command -a 'chdir=/etc/selinux ls'
10.0.0.151 | CHANGED | rc=0 >>
config
final
semanage.conf
targeted
tmp

ansible-doc -s shell
- name: Execute commands in nodes.
  shell:
      chdir:                 # 在执行命令之前，先cd到指定的目录下
      creates:               # 用于判断命令是否要执行，如果指定的文件存在(可以使用通配符)存在，则不执行
      executable:            # 不再使⽤默认的/bin/sh解析并执⾏命令，⽽是使⽤此处指定的命令解析(例如使⽤expect解析expect脚本。必须为绝对路径)
      free_form:             # 默认的选项，这里只是显示，实际上是没有的
      removes:               # 用于判断命令是否要执行，如果指定的文件存在(可以使用通配符)不存在，则不执行
      stdin:                 # 将命令的stdin直接设置为指定值
      warn:                  # 设置command的警告信息(在/etc/ansible/ansible.cfg中有配置项)

[ansible@ansible-150 ~]$ ansible-doc -s script
- name: Runs a local script on a remote node after transferring it
  script:
      chdir:                 # 在远程执⾏脚本前先切换到此⽬录下
      creates:               # 当此⽂件存在时，不执⾏脚本。可⽤于实现幂等性。
      decrypt:               # 此选项使用vault控制源文件的自动解密(对使用ansible-vault encrypt 文件名.yml 进行加密的文件解密)
      executable:            # 不再使⽤默认的/bin/sh解析并执⾏命令，⽽是使⽤此处指定的命令解析(例如使⽤expect解析expect脚本。必须为绝对路径)
      free_form:             # 本地待执⾏的脚本路径、选项、参数。之所以称为free_form，是因为它是脚本名+选项+参数。
      removes:               # 当此⽂件不存在时，不执⾏脚本。可⽤于实现幂等性。

新建一个脚本在ansible管理主机上
[ansible@ansible-150 ~]$ cat keme.sh 
#!/bin/bash
echo "keme is handsome one."
#没加任何参数
[ansible@ansible-150 ~]$ ansible all -m script -a 'keme.sh'
#执行命令前切换到opt目录 加了chdir参数
[ansible@ansible-150 ~]$ ansible all -m script -a 'chdir=/opt ./keme.sh'

[ansible@ansible-150 ~]$ ansible-doc -s copy
- name: Copies files to remote locations
  copy:
      backup:                # 拷贝的同时也创建⼀个包含时间戳信息的备份⽂件，默认为no,可以指定为backup=yes做文件备份
      content:               # 当用content代替src参数的时候，可以把content指定的内容直接写到一个文件
      decrypt:               # 此选项使用vault控制源文件的自动解密(对使用ansible-vault encrypt 文件名.yml 进行加密的文件解密)
      dest:                  # ⽬标路径，只能是绝对路径，如果拷贝的⽂件是⽬录，则⽬标路径必须也是⽬录
      directory_mode:        # 当对⽬录做递归拷贝时，设置了directory_mode将会使得只拷贝新建⽂件旧⽂件不会被拷贝。默认未设置.
      follow:                # 是否追踪到链接的源⽂件(follow=yes|on)
      force:                 # 设置为yes(默认)时，将覆盖远程同名⽂件。设置为no时，忽略同名⽂件的拷贝。
      group:                 # 指定文件拷贝到远程主机后的属组，但是远程主机上必须有对应的组，否则会报错
      local_follow:          # 是否遵循本地机器中的文件系统链接(local_follow=yes|on)
      mode:                  # 设置远程⽂件的权限。使⽤数值表⽰时不能省略第⼀位，如0644。也可以使⽤'u+rwx'或'u=rw,g=r,o=r'等⽅式设置
      owner:                 # 设置远程⽂件的所有者
      remote_src:            # 如果yes它会从目标机上搜索src文件(remote_src=yes|on)
      src:                   # 拷贝本地源⽂件到远程，可使⽤绝对路径或相对路径。如果路径是⽬录，且⽬录后加了斜杠"/"，则只会拷贝⽬录中的内容到远程，如果⽬录后不加斜杠，则拷贝⽬录本⾝和⽬录内的内容到远程
      unsafe_writes:         # 是否以不安全的方式进行，可能导致数据损坏(unsafe_writes=yes|on)
      validate:              # 复制前是否检验需要复制目的地的路径

#新建一个文件，文件内容如下
[ansible@ansible-150 ~]$ pwd
/home/ansible
[ansible@ansible-150 ~]$ cat kemeaaa.txt 
xixi xixi xixi

#把/home/ansible/kemeaaa.txt/ 拷贝到被控端主机/opt 下
[ansible@ansible-150 ~]$ ansible all -m copy -a 'src=/home/ansible/kemeaaa.txt dest=/opt/'

# 修改kemeaaa.txt 内容
[ansible@ansible-150 ~]$ cat kemeaaa.txt 
xixi xixi xixi
keme keme keme

# 加上backup这个参数
[ansible@ansible-150 ~]$ ansible all -m copy -a 'src=/home/ansible/kemeaaa.txt dest=/opt/ backup=yes'

# 把权限改为ansible 用户
[ansible@ansible-150 ~]$ ansible all -m copy -a 'src=/home/ansible/kemeaaa.txt dest=/opt/ owner=ansible group=ansible mode=0744'
# 验证
[ansible@ansible-150 ~]$ ansible all -m shell -a 'ls -l /opt/kemeaaa.txt'

[ansible@ansible-150 ~]$ ansible-doc -s fetch
- name: Fetches a file from remote nodes
  fetch:
      dest:                  # 本地存储拉取⽂件的⽬录。例如dest=/data，src=/etc/fstab，远程主机名host.exp.com，则保存的路径为/data/host.exp.com/etc/fstab。
      fail_on_missing:       # 当设置为yes时，如果拉取的源⽂件不存在，则此任务失败。默认为no.
      flat:                  # 改变拉取后的路径存储⽅式。如果设置为yes，且当dest以"/"结尾时，将直接把源⽂件的basename存储在dest下。显然，应该考虑多个主机拉取时的⽂件覆盖情况。
      src:                   # 远程主机上的源⽂件。只能是⽂件，不⽀持⽬录。在未来的版本中可能会⽀持⽬录递归拉取.
      validate_checksum:     # fetch到⽂件后，检查其md5和源⽂件是否

[ansible@ansible-150 ~]$ ansible 10.0.0.151 -m fetch -a 'src=/etc/hostname dest=/home/ansible/'

[ansible@ansible-150 ~]$ ansible 10.0.0.152 -m fetch -a 'src=/etc/hostname dest=/home/ansible/ flat=yes'

[ansible@ansible-150 ~]$ ansible-doc -s file
[root@ansible ~]# ansible-doc -s file
- name: Sets attributes of files
  file:
      follow:                       # 是否遵循目的机器中的文件系统链接(可选值为:yes|on)
      force:                        # 当state=link的时候，可配合此参数强制创建链接文件，当force=yes时，表示强制创建链接文件
                                    # 不过强制创建链接文件分为三种情况。情况一：当要创建的链接文件指向的源文件并不存在时，使用此参数，可以先强制创建出链接文件。
                                    # 情况二：当要创建链接文件的目录中已经存在与链接文件同名的文件时，将force设置为yes，会将同名文件覆盖为链接文件，相当于删除同名文件，创建链接文件。
                                    # 情况三：当要创建链接文件的目录中已经存在与链接文件同名的文件，并且链接文件指向的源文件也不存在，这时会强制替换同名文件为链接文件
      group:                        # 设置远程⽂件的所属组
      mode:                         # 设置远程⽂件的权限。使⽤数值表⽰时不能省略第⼀位，如0644。也可以使⽤
      owner:                        # 设置远程⽂件的所有者
      path:                         # 必须的参数，用于指定要操作的文件或者目录
      recurse:                      # 当要操作的文件为目录，将recurse设置为yes，可以递归的修改目录中的文件属性
      src:                          # 当state设置为link或者hard时，表示我们想要创建一个软链接或者硬链接，所以，我们必须指明软链接或硬链链接的哪个文件，通过src参数即可指定链接源
      state:                        # 此参数非常灵活，其对应的值需要根据情况设定。比如，我们想要在远程主机上创建/testdir/a/b目录，那么则需要设置path=/testdir/a/b，
                                    # 但是，我们无法从”/testdir/a/b“这个路径看出b是一个文件还是一个目录，ansible也同样无法单单从一个字符串就知道你要创建文件还是目录，所以，我们需要通过state参数进行说明
                                    # state=directory:表示创建目录，如果path指定的不存在则被创建
                                    # state=touch:创建文件
                                    # state=link:创建软链接文件
                                    # state=hard:创建硬链接文件
                                    # state=absent:删除文件(删除时不用区分目标是文件、目录、还是链接)
      unsafe_writes:                # 是否以不安全的方式进行，可能导致数据损坏(unsafe_writes=yes|on)

[ansible@ansible-150 ~]$ ansible-doc -s hostname
- name: Manage hostname
  hostname:
      name:                  # 必选，主机名称

[ansible@ansible-150 ~]$ ansible-doc -s yum
- name: Manages packages with the `yum' package manager
  yum:
      allow_downgrade:       # 是否允许给现有包的版本进行降级
      autoremove:            # 卸载包并且删除其所有的依赖包,如果这个依赖包被其他包所依赖则不会删除(authorremove=yes)
      bugfix:                # 如果bugfix=yes和state=latest则仅安装已标记为与bug修复相关的更新
      conf_file:             # 指定yum.repo配置文件.
      disable_excludes:      # 禁用YUM配置文件中定义的排除(yum.repo文件中的某个块).
                             # disable_excludes=all 禁用所有排除
                             # disable_excludes=main 禁用yum.conf中的[main]中定义的排除
                             # disable_excludes=repoid 禁用未给定repo id定义的排除
      disable_gpg_check:     # 安装包时禁止gpgcheck，仅在state=present或者latest时生效.
      disable_plugin:        # 禁用yum的Loaded plugins(使用yum repolist all | less 查看所有插件)
      disablerepo:           # 禁止指定的repo源，多个repo源使用逗号分隔
      download_only:         # 只下载指定的安装包，不进行安装.
      enable_plugin:         # 开启yum的Loaded plugins(使用yum repolist all | less 查看所有插件).
      enablerepo:            # 明确使用那个repo源
      exclude:               # 排除那些包不安装，仅在state=present或者latest时生效
      installroot:           # 指定yum安装包的用户，用此用户安装的只允许root和指定用户使用
      list:                  # 类似于yum list.
      name:                  # (必选参数)指定包名，可以指定版本号，多个包可以使用逗号分隔
      releasever:            # Specifies an alternative release from which all packages will be installed.
      security:              # 如果设置为yes和state=latest，则只安装标记为与安全相关的更新
      skip_broken:           # 跳过具有损坏的依赖包
      state:                 # 用于指定软件包的状态 ，默认值为present，表示确保软件包已经安装
                             # state=present安装状态(默认值)
                             # state=installed安装状态
                             # state=latest安装状态(安装最新的版本)
                             # state=absent卸载状态
                             # state=removed卸载状态
      update_cache:          # 强制yum检查缓存是否过期，并在需要时重新下载.仅在state=present或者latest时生效.
      update_only:           # 使用最新软件包时，只更新已安装的软件包。不要安装软件包.仅在state=present或者latest时生效
      validate_certs:        # 这仅适用于使用https url作为rpm的源的情况。例如，用于localinstall。如果设置为no，则不会验证SSL证书

[ansible@ansible-150 ~]$ ansible-doc -s cron
- name: Manage cron.d and crontab entries
  cron:
      backup:                # (yes/on)如果设置了，则会在修改远程cron_file前备份这些文件
      cron_file:             # 自定义cron_file的文件名，使用相对路径则表示在/etc/cron.d/中，必选同时制定user选项
      minute:                # 分(0-59,*,/N),不写时默认为*
      hour:                  # 时(0-23,*,/N),不写时默认为*
      day:                   # 日(1-31,*,/N),不写时默认为*
      month:                 # 月(1-12,*,/N),不写时默认为*
      weekday:               # 周(0-6 for Sunday-Saturday,*),不写时默认为*
      disabled:              # 禁用crontab中的某个任务，要求state=present
      env:                   # (yes/on)设置一个环境变量，将添加在crontab的顶端，使用name=value定义变量名和值.
      job:                   # 需要执行的命令，如果设置了env，则表示环境变量的值，此时job="xxxx"等价于value="xxxx"
      name:                  # 描述crontab的字符串，但如果设置的是env,则name为环境变量的名称，要求state=absent，注意，若没有设置name，且state=present，则总会创建一条新的job条目，即使cron_file中已经存在同样的条目.
      reboot:                # 如果任务应该在重新启动时运行。不赞成使用此选项。用户应该使用special_time.
      special_time:          # 定时任务的别称，用于定义何时运行job条目.有效值有reboot/hourly/daily/weekly/monthly/yearly/annually
      state:                 # job或者env的状态是present(默认)还是absent，present用于创建，absent用于删除
      user:                  # 指定那个用户的crontab任务将要被修改，默认root.

[ansible@ansible-150 ~]$ ansible-doc -s service
- name: Manage services
  service:
      arguments:             # 服务命令行参数传递
      enabled:               # 设置服务为开机自启(yes/no)，默认为no
      name:                  # (必选项)指定服务名.
      pattern:               # 如果服务没有做出相应，可以通过这个参数指定使用ps或者其他方式查看服务的状态.
      runlevel:              # 设置服务启动级别
      sleep:                 # 如果服务正在"重新启动"，那么在停止和开始命令之间设置休眠时间.
      state:                 # started和stoped分别是启动和停止服务，它们是幂等操作，多次启动或者停止服务都是一样的，也就是说对于运行中的服务不会再次启动操作，同理停止也是一样的；
                             # restarted重启服务，restarted总是重读配置文件如果服务是未运⾏状态，则reloaded会启动服务(state和enabled两者⾄少要给⼀个)

[ansible@ansible-150 ~]$ ansible-doc -s systemd
- name: Manage services
  systemd:
      daemon_reload:         # 在执行任何其他操作之前运行守护进程重新加载，以确保systemd已经读取其他更改.
      enabled:               # 设置服务为开机自启(yes/no)，默认为no
      force:                 # 是否覆盖现有符号链接(yes/on).
      masked:                # 是否将服务设置为masked状态(yes/no)，被mask的服务是无法启动的
      name:                  # 指定服务名称.
      no_block:              # 不要同步等待操作请求完成(yes/no)
      state:                 # started和stoped分别是启动和停止服务，它们是幂等操作，多次启动或者停止服务都是一样的，也就是说对于运行中的服务不会再次启动操作，同理停止也是一样的；

[ansible@ansible-150 ~]$ ansible-doc -s user
- name: Manage user accounts
  user:
      append:                # 如果用户原本就存在多个附加组，那么当使用 groups 参数设置附加组时，当前设置会覆盖原来的附加组设置
                             # 如果不想覆盖原来的附加组设置，需要结合 append 参数，将 append 设置为 yes，表示追加附加组到现有的附加组设置，append 默认值为 no.
      comment:               # 设置用户的描述信息
      create_home:           # 创建家⽬录，或者已有的⽤户但家⽬录不存在也会创建。设置为no则不创建家⽬录
      expires:               # 此参数用于指定用户的过期时间，相当于设置 /etc/shadow 文件中的的第8列
                             # 比如，你想要设置用户的过期日期为2018年12月31日，那么你首先要获取到2018年12月31日的 unix 时间戳，使用命令 “date -d 2018-12-31 +%s” 获取到的时间戳为1546185600，
                             # 所以，当设置 expires=1546185600 时，表示用户的过期时间为2018年12月31日0点0分，
                             # 设置成功后，查看远程主机的 /etc/shadow 文件，对应用户的第8八列的值将变成17895（表示1970年1月1日到2018年12月31日的天数，unix 时间戳的值会自动转换为天数，我们不用手动的进行换算，
                             # 目前此参数只支持在 Linux 和 FreeBSD 系统中使用。
      force:                 # 强制删除用户、用户目录,只在state=absent中生效，相当于userdel --force命令
      generate_ssh_key:      # 是否为相关用户生成SSH密钥。这将“不会”覆盖现有SSH密钥.
      group:                 # 设置⽤户的primary group(主组).
      groups:                # 将⽤户加⼊到辅助组列表中。如果设置"groups="，则会将此⽤户从所有辅助组中移除
      home:                  # 指定要创建的家⽬录路径
      move_home:             # 如果设置为yes，则"home="则表⽰将家⽬录移动到此选项指定的路径下
      name:                  # (必选项)要创建、修改、移除的⽤户名.
      non_unique:            # 当与 -u 选项一起使用时，该选项允许将用户ID更改为非唯一值
      password:              # 设置⽤户密码。此处只能使⽤加密密码作为值.
      password_lock:         # 锁定用户的密码(等价于usermod -L命令)这个选项并不总是意味着用户不能通过其他方法登录。这个选项没有禁用用户，只锁定密码.
      remove:                # 配合'state=absent'时，等价于'userdel --remove'，即删除家⽬录和邮件列表
      seuser:                # 在启用selinux的系统上设置seuser类型.
      shell:                 # 设置⽤户的shell
      ssh_key_bits:          # 当 generate_ssh_key 参数的值为 yes 时，使用此参数指定要创建的SSH密钥中的位数.
      ssh_key_comment:       # 当 generate_ssh_key 参数的值为 yes 时，在创建证书时，使用此参数设置公钥中的注释信息。但是如果同名的密钥对已经存在，则并不会修改原来的注释信息，即不做任何操作。
                             # 当不指定此参数时，默认的注释信息为”ansible-generated on 远程主机的主机名.
      ssh_key_file:          # 当 generate_ssh_key 参数的值为 yes 时，使用此参数自定义生成 ssh 私钥的路径和名称，对应公钥会在同路径下生成，公钥名以私钥名开头，以”.pub”结尾.
      ssh_key_passphrase:    # 当 generate_ssh_key 参数的值为 yes 时，在创建证书时，使用此参数设置私钥的密码。但是如果同名的密钥对已经存在，则并不会修改原来的密码，即不做任何操作.
      ssh_key_type:          # 当 generate_ssh_key参数的值为yes时，在创建证书时，使用此参数设置密钥对的类型。默认密钥类型为 rsa，但是如果同名的密钥对已经存在，并不会对同名密钥做任何操作.
      state:                 # 创建⽤户(present)还是删除⽤户(absent)。默认为present.
      system:                # 设置为yes表⽰创建⼀个系统⽤户，只能⽤于创建，不能⽤于修改已有⽤户为系统⽤户
      uid:                   # 设置用户的UID
      update_password:       # user是幂等模块，"always"将总是修改密码。"on_create"将只在创建⽤户时设置密码

[ansible@ansible-150 ~]$ ansible-doc -s group
- name: Add or remove groups
  group:
      gid:                   # 用于指定组的gid
      name:                  # (必选项) 用于指定要操作的组名称
      state:                 # 用于指定组的状态，两个值可选，present，absent，默认为 present，设置为absent 表示删除组。
      system:                # 如果是yes，表示指定的组是系统组

6 使用 playbooks 剧本

Playbooks是Ansible的配置，部署和编排语言。他们可以描述您希望远程系统实施的策略，或者描述一般IT流程中的一系列步骤。

6.1 Playbook 语法

Playbook 采用 YAML 语法编写，该语言在被开发是，它的意思是：Yet Another Markup Language （仍是一种标记语言）。结合ansible 中 要用到的YAML 语法点。对YAML 语法简洁总结如下。 
看官方文档的一个简易的列子：一个playbook 的列子verify-apache.yml

---
# 选择的主机
- hosts: webservers
#vars 这个是变量
  vars:
    http_port: 80
    max_clients: 200
# remote_user 远端的执行权限
  remote_user: root
# 创建一个任务tasks
  tasks:
  - name: ensure apache is at the latest version
# 利用yum模块才操作
    yum:
      name: httpd
      state: latest
  - name: write the apache config file
    template:
      src: /srv/httpd.j2
      dest: /etc/httpd.conf
  # 触发重启 apache 服务器
    notify:
    - restart apache
  - name: ensure apache is running
    service:
      name: httpd
      state: started
  # 这里的handlers 和上面的notify 的触发是配对的。这就是handlers的作用。相当于tag
  handlers:
    - name: restart apache
      service:
        name: httpd
        state: restarted

#建一个目录用来做练习
[ansible@ansible-150 ansible]$ sudo mkdir learn
[ansible@ansible-150 ansible]$ cd learn/
[ansible@ansible-150 learn]$ pwd
/etc/ansible/learn
[ansible@ansible-150 learn]$ sudo vim allping.yml
---
- hosts: all
  remote_user: root
  tasks:
    - name: test connection
      ping:
# 执行编写的剧本
[ansible@ansible-150 learn]$ ansible-playbook allping.yml 

# 在管理主机安装上httpd 和 httpd-devel 要httpd.conf和httpd-vhosts.conf 文件
[ansible@ansible-150 learn]$ sudo yum -y install httpd httpd-devel

# 修改管理主机的httpd.conf和httpd-vhosts.conf 默认没有httpd-vhosts.conf 自己随便创建的
# 注配置文件内容无实际意义，为了实验效果
[ansible@ansible-150 conf]$ pwd
/etc/httpd/conf
[ansible@ansible-150 conf]$ sudo cp httpd.conf /tmp/
[ansible@ansible-150 conf]$ sudo cp httpd-vhosts.conf /tmp/
# 编写install_apache.yml 剧本
[ansible@ansible-150 conf]$ cd /etc/ansible/learn/
[ansible@ansible-150 learn]$ sudo vim install_apache.yml
---
- hosts: all
  sudo: yes
  tasks:
  - name: install apache
    yum: name={{ item }} state=present
    with_items:
      - httpd
      - httpd-devel
  - name: copy config file
    copy:
      src: "{{ item.src }}"
      dest: "{{ item.dest }}"
      owner: root
      group: root
      mode: 0644
    with_items:
      - {
      src: "/tmp/httpd.conf",
      dest: "/etc/httpd/conf/httpd.conf" }
      - {
      src: "/tmp/httpd-vhosts.conf",
      dest: "/etc/httpd/conf/httpd-vhosts.conf" }
  - name: 检查 Apache 运行状态，并设置开机启动
    service: name=httpd state=started enabled=yes
# 写好了剧本是不是要对剧本进行debug 测试，测试剧本是否可用
# 第一语法检测，第二模拟检测
[ansible@ansible-150 learn]$ ansible-playbook --syntax-check install_apache.yml 
[ansible@ansible-150 learn]$ ansible-playbook -C  install_apache.yml 

[ansible@ansible-150 learn]$ ansible-playbook install_apache.yml
# 验证是否安装成功，并启动了
[ansible@ansible-150 learn]$ ansible all -m shell -a 'ss -ntulp | grep httpd'

# 查看配置文件是否拷贝成功了
[ansible@ansible-150 learn]$ ansible all -m shell -a 'ls -a /etc/httpd/conf/'

6.2 amsob-playbook 小技巧

6.2.1 playbook 语法检测和调试

写完一个playbook 一定要进行语法检测，看看自己哪里写的不对，好及时修改，警告信息也可以注意一下。

语法检测

ansible-playbook --syntax-check playbook_file.yml

ansible-playbook -C playbook_file.yml

例如：只指定10.0.0.151 执行
ansible-playbook install_apache.yml  --list 10.0.0.151

ansible-playbook install_apache.yml  --list-hosts

ansible-playbook install_apache.yml --remote-user=keme

[ansible@ansible-150 learn]$ ansible-palybook install_apache.yml --sudo --sudo-user=keme --ask-sudo-pass

--inventory=PATH （-i PATH）:指定inventory 文件，默认文件是/etc/ansible/hosts
--verbose （-v）：显示详细输出，也可以使用-vvvv 显示精确到每分钟的输出
--extra-vars=VARS (-e VARS) : 定义在playbook使用的变量，格式为： "key=value,key=value"
--forks=NUM (-f NUM): 指定并发执行的任务数，默认为5，根据服务器性能，调大这个值可提高ansible执行效率0
--conection=TYPE （-c TYPE) : 指定远程主机的方式，默认为SSH，设为local时，则只在本地执行playbook，建议不做修改
--check (-C) :检测模式，playbook中定的所有任务将在每台远程主机上进行检测，并不真正执行。

在centos/redhat 中ssh 服务的主配置文件 /etc/ssh/sshd_config 中设置
PasswordAuthentication no #禁止 ssh 使用密码认证连接。如此一来就杜绝了所有针对密码的暴力破解攻击。
PermitRootLogin no        #禁止 root 用户远程登录。建议只使用普通用户进行远程登录，并使用sudo命令来行使大部分 root 权限。如果实在需要使用 root 用户进行交互式管理，可以使用普通用远程连接到主机，然后通过 su 命令切换到root用户，这样做更加安全
# 明确指定允许或禁止的远程登录用户。使用AllowUser和 DenyUsers 来指定哪些用户可以登录，哪些用户不能登录。比如，只允许用户 keme 登录，可以设置为AllowUsers keme; 允许除了 xixi 以为的其他用户登录，可以设置为：DenyUsers xixi
Port 2636 # 使用非默认端口。ssh 的默认端口为22，将其改为任意不与其他服务冲突的端口（建议采用1024以上的端口号）将会使系统更为安全。在ssh配置文件中设置Port 2636，即可修改ssh默认端口为2849.

#充分利用visudo命令或者 vim  /etc/sudoers
#sudo的目的：为非根用户授予根用户的权限；
root    ALL=(ALL)       ALL
%wheel  ALL=(ALL)       ALL

授权用户/组    主机名=（允许转换至的用户）   NOPASSWD:命令动作
# 假如无需密码直接运行命令的，应该加NOPASSWD:参数，不需要时方可省略，