Az Ansible használata Windows-gépek kezelésére

Az Ansible a népszerű ingyenes nyílt forráskódú konfigurációkezelő rendszer, amelyet elsősorban Linux-gazdagépek kezelésére használnak. Ez a cikk leírja, hogyan használhatja az Ansible-t a Windows-kiszolgálók és munkaállomás-állomások konfigurációjának távoli kezelésére.

Windows Hosts konfigurálása az Ansible számára

Az Ansible lehetővé teszi az összes támogatott operációs rendszer verziójú Windows-gazdagépek távoli kezelését, kezdve a Windows 7/Windows Server 2008-tól a legújabb Windows 11/Windows Server 2022-ig. Windows rendszeren PowerShell 3.0 (vagy újabb) és .NET 4.0 verzióval kell rendelkeznie. + telepítve.

Az Ansible a WinRM segítségével csatlakozik a Windows operációs rendszerhez. Ezért engedélyeznie és konfigurálnia kell a WinRM figyelőt az összes felügyelt Windows-állomáson.

• A csoportházirendek használhatók a WinRM konfigurálására az AD tartományi számítógépein;

• Futtassa a következő PowerShell-parancsot a WinRM engedélyezéséhez egy önálló Windows-gazdagépen:

  Enable-PSRemoting -Force

Ha a WinRM engedélyezve van és be van állítva a Windows gazdagépeken, ellenőrizze, hogy a TCP/5985 vagy TCP/5986 port (ha HTTPS-t használ) elérhető-e a felügyeleti Ansible kiszolgálóról:

$ nc -zv 192.168.13.122 5985

Ezután ki kell választania a hitelesítési módot. Ez az Ansible által használt környezettől függ.

• Önálló számítógépek vagy munkacsoportos környezetek esetén használhatja a HTTPS for WinRM protokollt önaláírt tanúsítványokkal és a rendszergazdai jogosultságokkal rendelkező helyi Windows-fiókkal történő hitelesítéssel. A Windows gazdagép gyors konfigurálásához használhatja a ConfigureRemotingForAnsible.ps1 fájlt (https://github.com/ansible/ansible-documentation/blob/devel/examples/scripts/ConfigureRemotingForAnsible.ps1);

• Az én esetemben az összes Windows-állomás az Active Directory-tartományhoz csatlakozik, ezért az AD-fiókomat használom az Ansible-hez való hitelesítéshez. Ehhez be kell állítani a Kerberos hitelesítést az Ansible szerveren (lásd alább).

Telepítse a Kerberos hitelesítéshez szükséges csomagokat:

• RHEL/Rocky Linux/CentOS esetén a yum/dnf csomagkezelőn keresztül:

  $ sudo yum -y install python-devel krb5-devel krb5-libs krb5-workstation

• Ubuntu/Debian esetén:

  $ sudo apt-get -y install python-dev libkrb5-dev krb5-user

Ezután telepítse a Python csomagot pip-en keresztül:

$ sudo pip3 install requests-kerberos

Adja meg a domain csatlakozási beállításait a Kerberos conf fájlban:

$ sudo mcedit /etc/krb5.conf

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log
[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
default_realm = WOSHUB.LOC
[realms]
  WOSHUB.LOC = {
    admin_server = dc01.a-d.loc
    kdc = dc01.a-d.loc
  }
[domain_realm]
 a-d.loc = WOSHUB.LOC
 .WOSHUB.LOC = WOSHUB.LOC

Ellenőrizze, hogy tud-e hitelesíteni az AD-tartományt, és kaphat-e Kerberos-jegyet:

kinit -C [email 

Adja meg AD felhasználói jelszavát, és nézze meg, hogy megérkezett-e a jegy.

klist

Windows gazdagépek kezelése az Ansible segítségével

Ezután adja hozzá az összes Windows-állomást az Ansible leltárfájlhoz:

$ sudo mcedit /etc/ansible/hosts

mun-rds1.a-d.loc
mun-dc02.a-d.loc
wks-test1.a-d.loc
[windows_all:vars]
ansible_port=5985
[email 
ansible_connection=winrm
ansible_winrm_transport=kerberos
ansible_winrm_scheme=http
ansible_winrm_server_cert_validation=ignore

Ellenőrizze, hogy az összes Windows-gazdagép (a listámon két Windows Server 2019 és egy Windows 11-es gép szerepel) elérhető-e az Ansible-ből:

$ ansible windows_all -m win_ping

"msg": "kerberos: Bad HTTP response returned from server. Code 500",
"unreachable": true

Set-Item -Path WSMan:\localhost\Service\AllowUnencrypted -Value true

Mostantól az Ansible segítségével tetszőleges parancsot futtathat az összes Windows-állomáson. Például szeretném visszaállítani a DNS-gyorsítótárat az összes Windows-gépemen:

$ ansible windows_all -m win_shell -a "ipconfig /flushdns"

Példák a Windows adminisztrációjához

A Windows gazdagépei készen állnak az Ansible játékkönyvek futtatására.

Például egy PowerShell-szkriptet kell futtatnia az összes Ansible-t használó gazdagépen (ebben a példában a PowerShell-t fogjuk használni a jelenlegi IP- vagy DNS-beállítások lekéréséhez a gazdagépeken). Hozzon létre egy játékkönyv fájlt:

$ sudo mcedit /etc/ansible/playbooks/win-exec-powershell.yml

---
- name: win_powershell_exec
  hosts: windows_all
  tasks:
    - name: check DNS
      win_shell: |
        Get-DnsClientServerAddress -InterfaceIndex (Get-NetAdapter|where Status -eq "Up").ifindex -ErrorAction SilentlyContinue
      register: command_output
    - name: command output
      ansible.builtin.debug:

Futtassa a játékkönyvet:

$ ansible-playbook /etc/ansible/playbooks/win-exec-powershell.yml

Ebben a példában a játékkönyv sikeresen lefutott az összes Windows-gazdagépen, és a rendszer visszaadta az aktuális DNS-beállításokat.

Vessünk egy pillantást néhány tipikus Ansible játékkönyvre a szabványos Windows gazdagépkezelési feladatokhoz.

Fájl másolása:

  - name: Copy a single file
    win_copy:
      src: /home/sysops/files/test.ps1"
      dest: C:\Temp\test.ps1

Fájl létrehozása:

- name: Create file
  win_file:
    path: C:\Temp\file.txt
    state: touch

Fájl törlése:

- name: Delete file
  win_file:
    path: C:\Temp\file.txt
    state: absent

Hozzon létre egy regisztrációs paramétert:

- name: Create reg dword 
  win_regedit: 
    path: HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\DataCollection
    name: AllowTelemetry
    data: 0
    type: dword

Program telepítése az MSI-ről:

- name: Install MSI package
  win_package:
    path: C:\Distr\adobereader.msi
    arguments:
      - /install
      - /passive
      - /norestart

Futtasson Windows-szolgáltatást:

- name: Run Windows Service
  win_service: 
    name: wuauserv
    state: started

Windows Server szerepkör telepítése:

  - name: Install Windows Feature
    win_feature:
      name: SNMP-Service
      state: present

Nyissa meg a portot a Windows Defender tűzfalban:

- name: Open SSH Port
  win_firewall_rule:
    name: port 22
    localport: 22
    action: allow
    direction: in
    protocol: tcp
    state: present
    enabled: yes

PowerShell-szkript futtatása:

- name: Run PowerShell Script
  win_command: powershell.exe -ExecutionPolicy ByPass -File C:/temp/powershellscript.ps1

Ebben a cikkben megtanulta, hogyan kezelheti a Windows-gazdagépek konfigurációját az Ansible segítségével. Ha a Windows-gazdagépei nincsenek Active Directory-tartományhoz csatlakozva (munkacsoportban vannak), akkor a Windows-gazdagépek távoli konfigurációjának kezelése az Ansible használatával jó alternatíva lehet a tartományi csoportházirendekkel történő konfigurálás helyett.