Ansible Schulung: Playbooks, Rollen und Automation Controller

Ansible im Überblick und Einrichtung

• Funktionsweise: Steuerknoten, verwaltete Knoten, SSH und Module ohne Agent auf dem Ziel
• ansible-core, das Community-Paket ansible und Collections – was wird installiert?
• Installation mit pipx oder Paketmanager; Windows nur als Ziel, Steuerknoten unter WSL
• Laborumgebung einrichten: Inventar, ansible.cfg, SSH-Schlüssel und Ad-hoc-Befehle
• Execution Environments mit ansible-navigator und ansible-builder
• Neue Templating-Engine mit Data Tagging seit ansible-core 2.19 (aktuell 2.21)
• Bestehende Playbooks auf ansible-core ab 2.19 portieren: Bedingungen müssen boolesche Werte liefern

Inventar und Ausführung steuern

• Host-Gruppen, verschachtelte Gruppen und Muster wie webserver:&prod
• Tags setzen und mit --tags und --skip-tags gezielt ausführen
• Tasks gegen localhost und mit delegate_to auf anderen Hosts ausführen
• Ausführung per Kommandozeile steuern: --limit, --start-at-task, --step, -e
• Variablen im Inventar sowie in group_vars und host_vars ablegen
• Dynamisches Inventar über Plugins wie amazon.aws.aws_ec2 statt eigener Skripte
• Inventarquellen kombinieren und mit ansible-inventory --graph prüfen

Playbooks schreiben

• Plays, Tasks und Module mit vollqualifizierten Namen wie ansible.builtin.copy
• Konfigurationsdateien mit Jinja2-Vorlagen und dem Modul template erzeugen
• Filter und Lookups in Vorlagen: Standardwerte, Listen und Dictionaries
• Bedingte Ausführung mit when, Facts und registrierten Ergebnissen
• Schleifen mit loop und loop_control; ältere with_*-Konstrukte in Bestandscode lesen
• Handler mit notify, Fehlerbehandlung mit block, rescue und always
• Plays im Prüfmodus testen: --check, --diff und check_mode je Task

Rollen und Collections

• Rollen im Überblick: Verzeichnisstruktur, Defaults, Tasks, Handler und Dateien
• Komplexe Playbooks mit Rollen sowie import_role und include_role gliedern
• Variablen in Rollen und die Rangfolge der Variablenquellen
• Rollenbasierte Vorlagen im Verzeichnis templates mit Rollenvariablen
• Rollen dokumentieren: README, meta/main.yml und argument_specs zur Eingabeprüfung
• Eigene Rollen und Collections auf Ansible Galaxy veröffentlichen
• Inhalte auf Galaxy finden, bewerten und per requirements.yml versioniert einbinden
• Rollen zentral bereitstellen mit roles_path und unternehmenseigenen Collections
• Rollen mit Molecule-Szenarien und ansible-lint automatisch testen

Arbeiten mit Secrets

• Wo Secrets in Ansible auftauchen: Inventar, Variablen, Ausgaben und Logs
• Ansible Vault: Dateien und Einzelwerte verschlüsseln, Vault-IDs je Umgebung
• Secrets in Plays verwenden und mit no_log aus Ausgaben heraushalten
• Externe Tresore anbinden, z. B. HashiCorp Vault über community.hashi_vault

Netzwerkverwaltung mit Ansible

• Netzwerkautomatisierung im Überblick: network_cli, httpapi und Plattform-Collections
• Mit Netzwerkgeräten arbeiten: Konfiguration sichern, vergleichen und ausrollen
• IP-Adressen und Netze mit dem Filter ansible.utils.ipaddr prüfen und umrechnen
• Adressen aus Netzbereichen auswählen mit der Python-Bibliothek netaddr
• Adressen fortlaufend vergeben: Inkrementieren mit ansible.utils.ipmath
• Netzwerkschnittstellen auf Linux-Hosts konfigurieren, z. B. über NetworkManager
• Schnittstellen auf Switches mit Resource-Modulen wie cisco.ios.ios_interfaces

Idempotenz mit Ansible-Plays

• Idempotentes Prototyp-Modell: Zustand ermitteln, nur bei Abweichung ändern
• Vorgefundenen Zustand mit register erfassen, changed_when und failed_when setzen
• Idempotentes Play für Aufgaben ohne passendes Modul bauen
• Idempotenz nachweisen: zweiter Lauf ohne Änderungen als Testkriterium

Zentrale Automatisierung mit AWX und Automation Platform

• Red Hat Ansible Automation Platform: Automation Controller als Nachfolger von Tower
• AWX einordnen: letztes Release 24.6.1 (07/2024), seitdem Releases wegen Umbau pausiert
• Systeme von Systemen verwalten: Inventare, Projekte, Job-Templates und Workflows
• Jobs zeitgesteuert planen und Benachrichtigungen einrichten
• Jobergebnisse grafisch auswerten und einzelne Läufe nachvollziehen
• Singleton-Aufgaben mit run_once, serial und Job-Slicing steuern
• Rollenbasierter Zugriff, Credentials und Anbindung externer Tresore
• Event-Driven Ansible: Rulebooks reagieren auf Ereignisse aus dem Monitoring

Ansible-Automatisierung mit Coding-Agenten

• Ansible Lightspeed in VS Code: Tasks aus dem name-Text erzeugen und auf FQCN prüfen
• Molecule als Abnahme: Rollen des Agenten müssen im Idempotenztest changed=0 erreichen
• ansible-lint mit dem Profil production nach jeder Änderung des Agenten ausführen
• Agent läuft gegen Staging nur mit --check --diff; echte Läufe startet ein freigegebenes Job-Template
• Vault-Dateien und host_vars mit Zugangsdaten per Ignore-Regel aus dem Agentenkontext halten

Praxisprojekt: Rolling Update einer Webserver-Flotte hinter HAProxy

• Rolle für Nginx-Webserver mit Vorlage, Handler und Molecule-Szenario
• TLS-Schlüssel und Datenbankpasswort mit Vault-IDs für Test und Produktion ablegen
• Rolling Update mit serial: Host per delegate_to aus HAProxy nehmen, aktualisieren, zurückschalten
• Playbook als Job-Template im Automation Controller mit Zeitplan und rollenbasiertem Zugriff bereitstellen