Jak wyczyścić rzeczy z ról, które nie są już używane na serwerze?

Załóżmy, że mam hosta, który jest między innymi serwerem sieci Web, na którym instaluje się powiązana rola Ansible nginx, wykonuje niezbędną konfigurację /etc/nginxi otwiera porty 80 i 443 w zaporze.

W pewnym momencie chcę, aby ten konkretny host nie był już serwerem WWW, ponieważ z jakiegoś powodu przeniosłem tę usługę w inne miejsce. Samo usunięcie serwera z [webservers]ekwipunku pozostawiłoby śmieci na serwerze. Idealnie chciałbym odinstalować nginx, usunąć /etc/nginxkatalog (i niektóre inne katalogi) oraz zamknąć porty 80 i 443 w zaporze.

W Puppet mogę to zrobić. Host będący serwerem WWW będzie miał w swojej konfiguracji coś takiego:

class { 'nginx':
  ensure => present,
}

wszystko, co muszę zrobić, to zastąpić „obecny” na „nieobecny”. Jeśli nginxklasa jest dobrze napisana, cofnie wprowadzone zmiany. (Zazwyczaj administrator zamienia „obecny” na „nieobecny”, a później, gdy jest pewien, że wszyscy dotknięci hostami cofnęli konfigurację, usunie element z manifestu).

Co więcej, myślę, że moduł zapory ogniowej Puppet automatycznie usuwa reguły zapory ogniowej, których nie można już znaleźć w manifeście; więc myślę, że w przypadku zapory nie musisz nawet robić powyższej „nieobecnej” rzeczy, zapora i tak automatycznie się zamknie.

Jak mogę osiągnąć te rzeczy za pomocą Ansible?

Dzięki Ansible nie zrobiłbyś tego inaczej niż w przypadku Puppet.

W twoim przykładzie, gdzie chcesz ustawić

class { 'nginx':
  ensure => absent,
}

polegasz na tym, że autor tego modułu marionetkowego napisał kod niezbędny do usunięcia wszystkiego. Nie każdy moduł lalek ma to.

Podobnie z Ansible możesz mieć role, które mają zarówno niezbędne kroki, aby zainstalować go, a także usunąć. Różnica polega tylko na tym, jak wywołać oba.

Jednym z podejść może być takie, w którym rola ujawnia zmienną do przełączania zachowania. Na przykład ta rola nginx może przyjmować zmienną, nginx_statektóra przyjmuje wartości installedi absent.

W tasks/main.ymlrolach autor roli może mieć coś podobnego do ...

- include: install.yml
  when: nginx_state|default('present') == "present"

- include: uninstall.yml
  when: nginx_state|default('present') == "absent"

..z odpowiednią logiką instalacji / dezinstalacji podzieloną między te dwa warunkowo dołączone pliki.

Odpowiednie role można również zagnieżdżać. Jako inny sposób na zrobienie tego samego, autor roli może na przykład podać rolę nginxz inną rolą w środku, zwaną uninstalled. Możesz wtedy zrobić:

- name: Uninstall nginx
  hosts: some_group
  roles:
    - nginx/uninstalled

Prawdopodobnie, w porównaniu do Puppet, zapewne ma mniej zasad i wskazówek dotyczących tego, jak należy to robić, więc praktyki na wolności różnią się nieco bardziej, ale obowiązują te same koncepcje.

Ponieważ masz swoją konfigurację / obsługę w Ansible, możesz po prostu zdmuchnąć cały serwer, ponownie zainstalować / udostępnić nowy i mieć przyjemny, czysty stan do pracy.

Jeśli rzeczywiście chcesz go „ponownie skonfigurować” do innych celów, musisz utworzyć nowy podręcznik, który wykona niezbędne zadania czyszczenia.

O ile mi wiadomo, wszystkie moduły opakowania Ansible obsługują, state=absentaby dany pakiet nie został zainstalowany na twoim serwerze. Dodatkowo aptmoduł ma purge=yesparametr, który wyczyści wszelkie pozostałe dostosowane pliki konfiguracyjne.

Można również utworzyć zadania potwierdzające, że port 80 jest zaporą ogniową. Ponieważ jednak nie będziesz mieć żadnych procesów uruchomionych na tym porcie, zapora ogniowa nie wpłynie na bezpieczeństwo twojego serwera.