צמתים לשימוש בתפקידי מערכת RHEL:

​

1.1. מבוא לתפקידי מערכת RHEL

RHEL System Roles הוא אוסף של תפקידים ומודולים של Ansible. תפקידי מערכת RHEL מספקים א

• הנפקה וחידוש תעודות

• הגדרות ליבה (kernel_settings)

• מדדים (מדדים)

• Network Bound Disk Encryption לקוח ושרת Network Bound Disk Encryption (nbde_client

• ו-nbde_server)

• רשת (רשת)

• תיקון פוסט (פוסט תיקון)

• לקוח SSH (ssh)

• שרת SSH (sshd)

• מדיניות קריפטוגרפית כלל-מערכתית (crypto_policies)

• הקלטת סשן מסוף (tlog)

• כל התפקידים הללו מסופקים על ידי חבילת rhel-system-roles הזמינה במאגר AppStream.

משאבים נוספים

תפקידי מערכת Red Hat Enterprise Linux (RHEL).

/usr/share/doc/rhel-system-roles/ מסופק על ידי חבילת rhel-system-roles.

​

1.2. טרמינולוגיה תפקידים במערכת RHEL

תוכל למצוא את המונחים הבאים בתיעוד זה:

ספר משחקי Ansible:

צומת בקרה:

אינך יכול להשתמש במחשב Windows כצומת בקרה. אתה יכול לקבל מספר צמתי בקרה.

מלאי:

רשימה של צמתים מנוהלים. קובץ מלאי נקרא לפעמים גם "קובץ מארח". המלאי שלך יכול

ציין מידע כמו כתובת IP עבור כל צומת מנוהל. מלאי יכול גם לארגן מנוהל

צמתים, יצירה וקינון של קבוצות לשינוי קנה מידה קל יותר. למידע נוסף על מלאי, עיין ב-

עבודה עם מדור מלאי.

צמתים מנוהלים:

התקני הרשת, השרתים או שניהם שאתה מנהל עם Ansible. צמתים מנוהלים הם גם

נקראים לפעמים "מארחים". Ansible אינו מותקן בצמתים מנוהלים.

​

1.3. הכנת צומת בקרה

מנוי.

דרישות קדם:

רשמתם את המערכת לפורטל הלקוחות.

צירפת למערכת מנוי Red Hat Enterprise Linux Server.

אם זמין בחשבון פורטל הלקוחות שלך, צירפת פלטפורמת אוטומציה של Ansible

מנוי למערכת.

תהליך:

• התקן את חבילת rhel-system-roles:

• [root@control-node]# dnf להתקין rhel-system-roles

• פקודה זו מתקינה את Ansible Core כתלות.

• צור משתמש שבו אתה משתמש מאוחר יותר כדי לנהל ולהפעיל ספרי הפעלה:

• [root@control-node]# אפשר להוסיף משתמש

• עבור למשתמש האפשרי החדש שנוצר:

• [root@control-node]# סו - אפשרי

• בצע את שאר ההליך כמשתמש זה.

• צור מפתח SSH ציבורי ופרטי

• [ansible@control-node]$ ssh-keygen

• יצירת זוג מפתחות RSA ציבורי/פרטי.

• הזן קובץ שבו יש לשמור את המפתח (/home/ansible/.ssh/id_rsa): סיסמה

השתמש במיקום ברירת המחדל המוצע עבור קובץ המפתח.

​

אופציונלי: הגדר סוכן SSH כדי למנוע מ-Ansible לבקש ממך את מפתח SSH

סיסמה בכל פעם שאתה יוצר חיבור.

​

צור את~/.ansible.cfgקובץ עם התוכן הבא:

• [ברירות מחדל]

• מלאי = /home/ansible/inventory

• remote_user = ansible

• [הסלמה_הרשאות]

• להיות = נכון

• word_method = sudo

• become_user = root

• become_ask_pass = נכון

עם ההגדרות האלה:

Ansible מנהל מארחים בקובץ המלאי שצוין.

Ansible משתמש בחשבון שהוגדר בפרמטר remote_user כאשר הוא מגדיר SSH

חיבורים לצמתים מנוהלים.

Ansible משתמש בכלי העזר sudo כדי לבצע משימות בצמתים מנוהלים כמשתמש השורש.

מטעמי אבטחה, הגדר את sudo בצמתים מנוהלים כך שידרוש הזנת הסיסמה

של המשתמש המרוחק להפוך לשורש. על ידי ציון ההגדרה become_ask_pass=True ב

~/.ansible.cfg, Ansible מבקש את הסיסמה הזו כאשר אתה מפעיל ספר הפעלה.

להגדרות בקובץ ~/.ansible.cfg יש עדיפות גבוהה יותר והן עוקפות הגדרות מהגלובל

קובץ /etc/ansible/ansible.cfg.

​

צור את הקובץ ~/inventory. לדוגמה, להלן קובץ מלאי בפורמט INI עם

שלושה מארחים וקבוצה מארחת אחת בשם US:

• managed-node-01.example.com

• managed-node-02.example.com ansible_host=192.0.2.100

• managed-node-03.example.com

​

1.4. הכנת צומת מנוהל

ברירת מחדל ב-RHEL, וגישה SSH למארח המנוהל.

לאחר מכן,
צומת יכול להשתמש בחשבון זה כדי להיכנס לצומת המנוהל ולהפעיל ספרי הפעלה כמשתמשים שונים,

כגון שורש.

דרישות מוקדמות

הכנת את צומת הבקרה.

תהליך

1. צור משתמש:

[root@managed-node-01]# תוספת משתמש אפשרית

צומת הבקרה משתמש מאוחר יותר במשתמש זה כדי ליצור חיבור SSH למארח זה.
 

2. הגדר סיסמה למשתמש האפשרי:

[root@managed-node-01]# passwd אפשרי

שינוי סיסמה עבור משתמש ansible.

סיסמה חדשה: סיסמה

הקלד שוב סיסמה חדשה: סיסמה

passwd: כל אסימוני האימות עודכנו בהצלחה.

עליך להזין סיסמה זו כאשר Ansible משתמש ב-sudo כדי לבצע משימות כמשתמש השורש.
 

3. התקן את מפתח ה-SSH הציבורי של המשתמש בצומת המנוהל:

א. היכנס לצומת הבקרה כמשתמש האפשרי, והעתק את המפתח הציבורי של SSH למנוהל

צומת:

[ansible@control-node]$ ssh-copy-id managed-node-01.example.com

/usr/bin/ssh-copy-id: INFO: מקור המפתח/ים להתקנה:

"/home/ansible/.ssh/id_rsa.pub"

האותנטיות של המארח 'managed-node-01.example.com (192.0.2.100)' לא יכולה להיות

מבוסס.

טביעת אצבע מפתח ECDSA היא

SHA256:9bZ33GJNODK3zbNhybokN/6Mq7hu3vpBXDrCxe7NAvo.

האם אתה בטוח שברצונך להמשיך להתחבר (כן/לא/[טביעת אצבע])? כן

/usr/bin/ssh-copy-id: INFO: מנסה להיכנס עם המפתח/ים החדשים, כדי לסנן כל

כבר מותקנים

Red Hat Enterprise Linux 9 הגדרת הגדרות מערכת בסיסיות

​

/usr/bin/ssh-copy-id: INFO: נותרו 1 מפתח(ים) להתקין -- אם תתבקשו כעת,

כדי להתקין את המפתחות החדשים

הסיסמה של ansible@managed-node-01.example.com: סיסמה

מספר המפתחות שנוספו: 1

כעת נסה להיכנס למכונה, עם: "ssh 'managed-node-01.example.com'"

ובדוק כדי לוודא שנוספו רק המפתח/ים שרצית.

ב. בצע מרחוק פקודה בצומת הבקרה כדי לאמת את חיבור ה-SSH:

[ansible@control-node]$ ssh managed-node-01.example.com whoami

אפשרי.
 

4. צור תצורת sudo עבור המשתמש הרלוונטי:

א. השתמש בפקודה visudo כדי ליצור ולערוך את הקובץ /etc/sudoers.d/ansible:

[root@managed-node-01]# visudo /etc/sudoers.d/ansible

היתרון של שימוש ב-Visudo על פני עורך רגיל הוא שכלי השירות הזה מספק שפיות בסיסית

בודק ובודק שגיאות ניתוח לפני התקנת הקובץ.

ב. הזן את התוכן הבא לקובץ /etc/sudoers.d/ansible:

ansible ALL=(ALL) NOPASSWD: ALL

הגדרות אלו מעניקות הרשאות למשתמש האפשרי להפעיל את כל הפקודות כמו כל משתמש ו

קבוצה במארח זה מבלי להזין את הסיסמה של המשתמש הרלוונטי.

משאבים נוספים

הכנת צומת הבקרה

דף האדם של sudoers(5).

1.5. אימות גישה מצומת הבקרה למנוהל

צמתים

לאחר שהגדרת את צומת הבקרה והכנת צמתים מנוהלים, בדוק שאליו Ansible יכול להתחבר

הצמתים המנוהלים.

בצע הליך זה כמשתמש האפשרי בצומת הבקרה.

דרישות מוקדמות

הכנת את צומת הבקרה כמתואר בהכנת צומת בקרה.

הכנת לפחות צומת מנוהל אחד כמתואר בהכנת צומת מנוהל.

אם ברצונך להפעיל ספרי הפעלה על קבוצות מארחות, הצומת המנוהל רשום בקובץ המלאי ב-

צומת הבקרה.

תהליך

פרק 1. הכנת צומת בקרה וצמתים מנוהלים לשימוש בתפקידי מערכת RHEL

​

1. השתמש במודול הפינג Ansible כדי לוודא שאתה יכול לבצע פקודות בכל המארחים המנוהלים:

[ansible@control-node]$ ansible all -m ping

הפוך לסיסמה: סיסמה

managed-node-01.example.com | הצלחה => {

"ansible_facts": {

"discovered_interpreter_python": "/usr/bin/python3"

},

"changed": false,

"פינג פונג"

}

...

קבוצת הכל המארח בקוד קשיח מכילה באופן דינמי את כל המארחים הרשומים בקובץ המלאי.

2. השתמש במודול הפקודה Ansible כדי להפעיל את כלי השירות whoami על מארח מנוהל:

[ansible@control-node]$ ansible managed-node-01.example.com -m command -a

מי אני

הפוך לסיסמה: סיסמה

managed-node-01.example.com | השתנה | rc=0 >>

שורש

אם הפקודה מחזירה root, הגדרת את sudo בצמתים המנוהלים בצורה נכונה, ו

הסלמה של הרשאות עובדת.