Автоматизация установки и удаления LAMP-стека с помощью Ansible

В этом руководстве мы рассмотрим, как автоматизировать установку и удаление LAMP-стека (Linux, Apache, MySQL, PHP) с помощью Ansible. Ansible — это инструмент автоматизации с открытым исходным кодом, который позволяет вам определять инфраструктуру и управлять ею как кодом.

Введение

Стек LAMP — это популярный пакет программного обеспечения, используемый для развертывания веб-приложений. Он состоит из следующих компонентов:

• Linux: операционная система (в данном случае мы используем инстанс Amazon Linux).

• Apache: веб-сервер, отвечающий за обслуживание веб-контента.

• MySQL/MariaDB: система управления реляционными базами данных для хранения данных приложений.

• PHP: серверный язык сценариев для динамического веб-контента.

Мы будем использовать Ansible для автоматизации установки и настройки этих компонентов.

Что понадобится

Прежде чем мы начнем, убедитесь, что у вас есть:

• Экземпляр Amazon Linux с установленным Ansible.

• Доступ к сервису AWS Secrets Manager.

Создание Ansible Playbook

Начнем с создания плейбука Ansible, который установит стек LAMP и настроит компоненты.

--- - name: "Installing LAMP stack and configuring"   hosts: amazon   become: true   vars_files:     - httpd.vars     - mariadb.vars     - packages.vars   tasks:     # Task 1: Installing Packages     - name: "Installing Packages"       yum:         name: "{{ packages }}"         state: present       tags:         - lamp         - never      # Task 2: Enabling/Restarting services     - name: "Enabling/Restarting services"       service:         name: "{{ item }}"         state: restarted         enabled: true       with_items: "{{ services }}"       tags:         - lamp         - never      # Task 3: Creating httpd.conf from template     - name: "Creating httpd.conf from httpd.conf.tmpl"       template:         src: httpd.conf.tmpl         dest: /etc/httpd/conf/httpd.conf       tags:         - lamp         - never      # Task 4: Creating Virtual host     - name: "Creating Virtual host"       template:         src: virtualhost.conf.tmpl         dest: /etc/httpd/conf.d/default.conf         owner: "{{ httpd_owner }}"         group: "{{ httpd_group }}"       tags:         - lamp         - never      # Task 5: Creating docroot for the website     - name: "Creating docroot for {{ hostname }}"       file:         path: "/var/www/html/default/"         state: directory         owner: "{{ httpd_owner }}"         group: "{{ httpd_group }}"       tags:         - lamp         - never      # Task 6: Setting python3 mysql module PyMySQL     - name: "Setting python3 mysql module PyMySQL"       pip:         name: PyMySQL       tags:         - lamp         - mariadb         - never      # Task 7: Setting ROOT password for mariadb-server     - name: "Setting ROOT password for mariadb-server"       ignore_errors: true       mysql_user:         login_user: "root"         login_password: ""         login_unix_socket: /var/lib/mysql/mysql.sock         name: "root"         password: "{{ mariadb_root_password }}"       tags:         - lamp         - mariadb         - never      # Task 8: Creating DB for the website     - name: "Creating DB for blog - {{blog_db_name}}"       mysql_db:         login_user: "root"         login_password: "{{ mariadb_root_password }}"         login_unix_socket: /var/lib/mysql/mysql.sock         name: "{{ blog_db_name }}"         state: present       tags:         - lamp         - mariadb         - never      # Task 9: Creating extra user for WordPress     - name: "Creating extra user for WordPress - {{extra_user_name}}"       mysql_user:         login_user: "root"         login_password: "{{ mariadb_root_password }}"         login_unix_socket: /var/lib/mysql/mysql.sock         name: "{{ extra_user_name }}"         password: "{{ extra_user_password }}"         host: "%"         priv: "{{ blog_db_name }}.*:ALL"       tags:         - lamp         - never         - mariadb      # Task 10: Downloading WordPress     - name: "Downloading WordPress using URL"       get_url:         url: "{{ wp_url }}"         dest: "/tmp/wordpress.tar.gz"       tags:         - lamp         - mariadb         - wordpress         - never      # Task 11: Extracting WordPress     - name: "Extracting WordPress"       unarchive:         src: "/tmp/wordpress.tar.gz"         dest: "/tmp/"         remote_src: true       tags:         - lamp         - mariadb         - wordpress         - never      # Task 12: Copying WordPress files to docroot     - name: "Copying WordPress files to docroot"       copy:         src: "/tmp/wordpress/"         dest: "/var/www/html/default/"         remote_src: true         owner: "{{ httpd_owner }}"         group: "{{ httpd_group }}"       tags:         - lamp         - mariadb         - wordpress         - never      # Task 13: Copying wp-config.php file to remote server     - name: "Copying wp-config.php file to remote server"       template:         src: "./wp-config.php.tmpl"         dest: "/var/www/html/default/wp-config.php"         owner: "{{ httpd_owner }}"         group: "{{ httpd_group }}"       tags:         - lamp         - mariadb         - wordpress         - never      # Task 14: Post Installation Cleanup     - name: "Post Installation Cleanup"       file:         path: "{{ item }}"         state: absent       with_items:         - "/tmp/wordpress/"         - "/tmp/wordpress.tar.gz"       tags:         - wordpress      # Task 15: Removing Packages     - name: "Removing Packages"       yum:         name: "{{ packages }}"         state: absent       tags:         - cleanup         - never      # Task 16: Removing Directories     - name: "Removing Directories"       file:         path: "{{ item }}"         state: absent       with_items:         - /etc/httpd/conf/httpd.conf         - /etc/httpd/conf.d/default.conf         - /var/www/html/default/       tags:         - cleanup         - never

Плейбук состоит из нескольких задач, каждая из которых отвечает за определенное действие.

• Задача 1: Установка пакетов: устанавливает необходимые пакеты для стека LAMP.

• Задача 2. Включение/перезапуск служб. Обеспечивает включение и перезапуск необходимых служб.

• Задача 3: Создание httpd.conf из шаблона: Генерирует файл конфигурации HTTP-сервера Apache из шаблона.

• Задача 4. Создание виртуального хоста. Создает файл конфигурации виртуального хоста для веб-сайта по умолчанию.

• Задача 5: Создание docroot для веб-сайта: Создает корневой каталог документов для веб-сайта.

• Задача 6: Настройка модуля python3 mysql PyMySQL: Устанавливает модуль PyMySQL для Python.

• Задача 7: Установка пароля ROOT для mariadb-server: Установка пароля root для сервера MariaDB.

• Задача 8: Создание БД для сайта.

• Задача 9: Создание дополнительного пользователя с привилегиями для базы данных WordPress.

• Задача 10: Загрузка WordPress: получение исходного кода WordPress по указанному URL-адресу.

• Задача 11: Извлечение архива WordPress.

• Задача 12: Копирование файлов WordPress в корневой каталог документа.

• Задача 13: Копирование файла wp-config.php на удаленный сервер: Создает файл wp-config.php для WordPress.

• Задача 14: Очистка после установки: очищает временные файлы и каталоги.

• Задача 15. Удаление пакетов, которые были установлены в процессе.

• Задача 16: Удаление каталогов, которые были созданы в процессе.

Теги

Теги в Ansible позволяют выборочно запускать определенные задачи или группы задач в плейбуке. Вы можете назначать теги задачам с помощью tags атрибута, а затем указывать нужные теги при запуске плейбука.

Для запуска определенных задач с использованием тегов вы можете использовать опцию --tags с командойansible-playbook. Вот пример команды:

ansible-playbook lamp.yml --tags lamp

В приведенной выше команде будут выполняться только задачи, отмеченные lamp.

Вы также можете исключить определенные задачи, используя --skip-tags опцию. Например, чтобы пропустить задачи с тегом never, вы можете использовать следующую команду:

ansible-playbook lamp.yml --skip-tags never

В этом случае задачи с тегом never не будут выполняться.

Кроме того, вы можете перечислить все доступные теги в playbook, используя опцию --list-tags. Вот пример команды:

ansible-playbook lamp.yml --list-tags

Эта команда отобразит список всех тегов, определенных в вашем плейбуке.

Используя теги, вы можете настроить выполнение вашего плейбука в соответствии с конкретными требованиями, что обеспечивает большую гибкость и контроль.

Шифрование

Чтобы зашифровать lamp.yml плейбук с помощью Ansible Vault, вы можете использовать команду ansible-vault. Ansible Vault предоставляет безопасный способ шифрования конфиденциальных данных в ваших книгах.

Вот команда для шифрования lamp.yml файла:

ansible-vault encrypt lamp.yml

После выполнения этой команды вам будет предложено ввести и подтвердить пароль для защиты зашифрованного файла. Обязательно запомните этот пароль, так как он понадобится вам позже для расшифровки файла.

Как только lamp.yml файл будет зашифрован, его содержимое будет зашифровано и станет нечитаемым без предварительной расшифровки.

Чтобы запустить playbook с зашифрованным файлом, вы можете использовать команду ansible-playbook вместе с --ask-vault-pass опцией ввода пароля:

ansible-playbook lamp.yml --ask-vault-pass

При появлении запроса введите пароль, который вы использовали для шифрования файла.

Обратите внимание, что вы также можете указать пароль через файл или ссылку на файл паролей, используя параметр --vault-password-file, который может быть полезен при автоматизации выполнения зашифрованных книг воспроизведения.

Зашифровав playbook с помощью Ansible Vault, вы можете защитить конфиденциальную информацию, такую как пароли, ключи API или любые другие конфиденциальные данные, которые могут присутствовать в вашем playbook.

Для дополнительной безопасности я предпринял следующие шаги:

Во-первых, я создал запись Secrets Manager в AWS для безопасного хранения пароля моего хранилища. Это гарантирует, что конфиденциальная информация хранится в зашифрованном виде и недоступна для неавторизованных пользователей.

Затем я создал политику IAM, которая предоставляет доступ на чтение к диспетчеру секретов.

{     "Version": "2012-10-17",     "Statement": [         {             "Sid": "SecretsManagerReadAccess",             "Effect": "Allow",             "Action": "secretsmanager:GetSecretValue",             "Resource": "arn:aws:secretsmanager:ap-south-1:939486479455:secret:vault_pass-yAAbi4"         }     ] }

После создания политики я создал роль IAM, которая использует эту политику. Эта роль будет прикреплена к моей главной машине, что позволит ей безопасно получить пароль хранилища от Secrets Manager.

Чтобы получить пароль хранилища из Secrets Manager, я создал сценарий bash. Сценарий использует AWS CLI команду aws secretsmanager get-secret-value и передает секретный идентификатор в качестве аргумента (vault_pass). Затем сценарий извлекает значение пароля из ответа JSON с помощью jq и сохраняет его в secret_value переменной.

Вот пример bash-скрипта:

#!/bin/bash  secret_id="vault_pass" secret_value=$(aws secretsmanager get-secret-value --secret-id "$secret_id" --query 'SecretString' --output text | jq -r '.vault_pass') # Use the secret value in further operations if [ -n "$secret_value" ]; then     # Perform desired operations using the secret value     echo "Retrieved the vault password: $secret_value" else     echo "Failed to retrieve the vault password" fi

Запустив этот сценарий, я могу безопасно получить пароль хранилища от Secrets Manager.

Наконец, чтобы использовать пароль хранилища в моем плейбуке Ansible, я передаю сценарий в качестве аргумента командной строки вместе с командой ansible-playbook. Это гарантирует, что плейбук будет иметь доступ к паролю хранилища, когда это необходимо.

ansible-playbook -i inventory lamp.yml --vault-password-file <path/to/bash/script.sh>

Заключение

С помощью этого плейбука Ansible и скрипта AWS Secrets Manager можно автоматизировать установку и настройку LAMP-стека. Это позволяет эффективно управлять инфраструктурой и упрощает процесс развертывания.

---

Если вы хотите научиться устанавливать LEMP-стеки, собирать Docker-контейнеры в Ansible, самостоятельно писать плейбуки, использовать роли и модули, приходите на курс «Ansible: Infrastructure as Code». Новый поток стартует 7 августа. Посмотреть программу и записаться на курс можно на нашем сайте. Ждём на курсе!