はじめての Ansible Tower Ansible Tower の紹介と v3.5 のアップデート齊藤秀喜 ソフトウェアメンテナンスエンジニア (Ansible/Tower) 2019/06/05

Transcription

1 はじめての Ansible Tower Ansible Tower の紹介と v3.5 のアップデート齊藤秀喜 ソフトウェアメンテナンスエンジニア (Ansible/Tower) 2019/06/05

2 自己紹介 氏名 : さいとうひでき 所属 : - Software Maintenance Engineer - Ansible Support Team - Ansible organization: - Red Hat K.K. 2

3 今日お話すること 1. Ansible によるオペレーション自動化 2. その先へ はじめての Ansible Tower 4. Ansible Tower v3.5 の変更点 ( 参考資料 ) 3

4 4 Ansible によるオペレーション自動化

5 Ansible が自動化ツールとして採用される背景 システム X ネットワークサーバーストレージ 手作業 手順書 自動化ツール A ツールがバラバラ システム Y スクリプト 手作業 手順書 スキルセットの違いによる自動化レベル差 システム Z 自動化ツール B 手作業 手順書 自動化ツール C 再利用できない自動化 自動化を進めても どの作業もあの人しか ブラックボックス化 横展開が不可能 わからない できない ボトルネック化 標準化を阻害 ある時点で自動化の推進が袋小路に... 全体の効率低下 5

6 Ansible によるオペレーション自動化の特徴 SIMPLE POWERFUL AGENTLESS 誰もが読める標準化された自動化言語 多様な制御対象を統一的手法で自動化 セキュアで信頼性の高い設計 Playbook Modules Architecture 6

7 Ansible による自動化の考え方 現行の手順を Playbook として置き換え自動化 Playbook は実行可能なパラメータシート兼手順書として利用できる 設計書パラメータシート手順書 作業者 環境 設計書 Playbook Ansible 環境 7

8 8 その先へ...

9 Ansible によるオペレーション自動化の課題 - Playbook 誰もが気軽に自動化に取り組めるシンプルな仕組みであるがゆえに... 誰が管理しているのか分からない 散在していて再利用しにくい 解決 誰が利用しているのか分からない Playbook 9

10 Ansible によるオペレーション自動化の課題 - Modules さまざまなターゲットに対する操作を自動化できるが... 利用者まかせの認証情報管理 解決 統一されない実行環境 Modules 10

11 Ansible によるオペレーション自動化の課題 - Architecture シンプルなコマンドラインツールであるがゆえの限界も... 管理されない実行ログ 管理できない実行権限 担保されない実行時の安全性 解決 考慮されない実行環境のキャパシティ Architecture 11

12 12 はじめての Ansible Tower

13 Ansible Tower の概要 - まずはデモ 1. ダッシュボード HashiCorp Vault Login Credential Notification Monitoring 実行結果 Prometheus Logging Monitoring Ansible Tower 13

14 Ansible Tower とは Ansible Tower は 自動化エンジンに Ansible を利用する自動化フレームワークです Ansible 単独ではカバーしにくい以下の 2 つの課題を解決します Playbook をもっと 容易かつ安全 に管理 実行したい 自動化をもう一歩進めるための 仕組み がほしい 14

15 Playbook をもっと便利に安全に実行したい (1) 外部の SCM でリポジトリ管理されている Playbook の 特定のリビジョンを Tower 上にチェックアウトし それを隔離された環境で安全に実行できます GitHub Playbook-A 実行環境 -A host-0 GitLab Bitbucket Insights...etc Playbook-B Ansible 実行環境 -B Ansible host-1 host-2 host-3 host-4 External SCM Ansible Tower Inventory Hosts 15

16 Playbook をもっと便利に安全に実行したい (2) 操作対象となるホストにログインするための認証情報を Tower のデータベースで集中管理できます CyberArk などの外部サービスと連携も可能です CyberArk AIM Secret Lookup CyberArk Conjur Secret Lookup Host の認証情報 (Username/Password など ) 実行環境 host-0 HashiCorp Vault Secret lookup Ansible host-1 HashiCorp Vault Signed SSH Microsoft Azure Key Vault Database host-2 Credential vault Ansible Tower Inventory Hosts 16

17 Playbook をもっと便利に安全に実行したい (3) Tower から実行した Playbook の実行結果は データベースに保存されます Logstash やなどの外部のロギングシステムに送信することもできます Logstash 実行環境 実行結果 host-a loggy splunk 実行結果 Ansible 実行結果 host-b sumologic Database 実行結果 実行結果 host-c Logging Ansible Tower Inventory Hosts 17

18 Playbook をもっと便利に安全に実行したい (4) Tower をマルチノードクラスタ構成にすることで Playbook 実行時にスケールアウトさせることができます Playbook-A Tower-A 実行環境 host-0~9 Inventory-A 10 台に分割して実行 Tower-B host-10~19 host-0 host-29 ジョブスケジューラが適切に割当 実行結果 Tower-C host-20~29 Ansible Tower Cluster Inventory Hosts 18

19 Playbook をもっと便利に安全に実行したい (5) 点在する拠点に配置した Playbook 実行用の踏み台 Isolated host を配置し 中央の Tower から踏み台経由で Playbook を実行できます Playbook-A 実行環境 実行環境 host-0 Inventory-A host-0 host-1 host-2 実行結果 Ansible host-1 host-2 Ansible Tower Isolated host Inventory Hosts 19

20 Playbook をもっと便利に安全に実行したい (6) 利用者は Tower を WebUI にログインして Playbook の実行などの操作を実施することになります この操作権限を役割毎に制限することができます 20

21 Provisioning Callback 自動化をさらに一歩進めるための仕組み (1) Ansible Tower は Ansible を利用した 直接的なオペレーションの自動化を実現するだけでなく CI/CD などの より大きな規模の自動化の枠組みに参加させやすいよう 外部プログラムとの連携を目的とした API を提供しています Chrome/Firefox User Workstation WebUI host-0 host-1 Custom code REST API 実行結果 host-2 External System Ansible Tower Inventory Hosts 21

22 自動化をさらに一歩進めるための仕組み (2) Ansible Tower にログインするためのユーザ認証や Playbook 実行結果の通知 ログの集約を既存のシステムと連携させることができます LDAP/AD/SAML...etc Login /IRC/Slack...etc Authentication Notification Notification Prometheus,Insights Monitoring Logging 実行結果 Logstash,Splunk...etc Monitoring Ansible Tower Logging 22

23 Tower のインストール (1) Ansible Tower のインストールプログラムは Playbook 化されています > オンライン版 ( > オフライン版 ( > OpenShift 版 ( インストールガイドは 以下のリンクから参照できます > インストールガイド ( > インストールガイド - OpenShift 版 ( 23

24 Tower のインストール (2) インストールの基本的な流れは以下の通りです 1. インストールプログラムをダウンロードして展開 2. 展開したディレクトリにある inventory ファイルを編集して setup.sh を実行 #./setup.sh インストール時に利用した inventory ファイルは バックアップ & リストアそしてアップグレード時に必要です! 大切に保管してください! 24

25 Tower のバックアップ & リストア 25 バクアップ & リストアには インストールに利用したインストールプログラムを利用します インストールプログラムのディレクトリで 以下の操作を行います > バックアップ & リストアガイド ( > バックアップ > リストア #./setup.sh -b #./setup.sh -r

26 Tower のアップグレード Ansible Towern のアップグレードは アップグレード対象となるバージョンのインストールプログラムと インストール時に作成した inventory ファイルを利用します アップグレードの実行は インストールと同様です #./setup.sh 26

27 Playbook を実行する仕組み 認証情報 Credential 認証情報 ホストリスト Playbook extra_vars スライス数...etc Job Template のインスタンス Job Job Template 実行 操作対象ホストリスト Playbook リポジトリ Ansible Inventory Project 27

28 Playbook の実行 - デモ 1. プロジェクトの作成 2. 認証情報の作成 3. インベントリの作成 4. ジョブテンプレートの作成 5. ジョブの実行 28

29 29 Ansible Tower 3.5 の変更点 ( 参考資料 )

30 Ansible Tower のリリースタイムライン Ansible Tower の現時点 (2019/06/06) での最新版は 3.5 です アップストリーム版である OSS の AWX にはステーブルリリースが存在しないため 残念ながら AWX と Tower のバージョンはマップできません 2019/01/23 v /03/26 v /01/03 v /03/03 v /05/29 v

31 WebUI の改善 AWX/Tower の利用者から寄せられたフィードバックをもとに 使い勝手が良くなりました 1. ジョブ / テンプレートリスト一覧の情報量が増えました 2. ジョブテンプレート編集画面に 起動 ボタンが追加されました 3. 各オブジェクトのパーミッション割当で 割当済み のユーザも選択できるようになりロールを追加しやすくなりました 4. ワークフローエディタの ワークフロービジュアライザ を閉じる際に未保存の場合は警告ウインドウが表示されるようになりました 31

32 認証情報の外部システム連携 認証情報 の各パラメータの値を 外部システムから取得できます 認証情報タイプは以下の通りです 1. CyberArk AIM Secret Lookup 2. CyberArk Conjur Secret Lookup 3. HashiCorp Vault Secret Lookup 4. HashiCorp Vault Signed SSH 5. Microsoft Azure Key Vault 32

33 外部モニタリングシステム連携 モニタリング用のメトリクスを提供する API エンドポイントができました これにより容易に Prometheus と連携させることができます これまで同様の機能を提供していた 以下の API は将来廃止される予定です 33

34 Ansible2.8 の新機能の活用 Ansible Tower 3.5 の Playbook 実行環境は Ansible 2.8 です 1. 拡張可能な Privilege Escalation Plugin が利用できます 2. 一部のインベントリが Inventory Plugin 化されました 1. Google Compute Engine 2. Microsoft Azure Resource Manager 3. OpenStack 4. Ansible Tower 34

35 Red Hat プロダクト関連 Red Hat のプロダクトに関するアップデートは以下の通りです 1. コントロールホスト ターゲットホストともに Red Hat Enterprise Linux 8 に対応しています 2. Red Hat Insights との連携機能が強化されました 35

36 内部的な改修ポイント (1) たくさんあります 1. 組織単位でインベントリに登録できるホストの上限を設定できます 2. ジョブテンプレート実行時に --limit で指定できる文字数の制限がなくなりました ( これまでは 1024 文字 ) 3. スケジュール名をシステムワイドでユニークにする必要がなくなりました ( つまり異なるスケジュールを同じ名前で作れます ) 4. 通知タイプとして新たに Grafana が追加されました 36

37 内部的な改修ポイント (2) まだまだあります 5. カスタム virtualenv のサーチパスを UI から指定できるようになりました 6. ジョブ実行画面に出力される情報が増えました 1. 使用しているカスタム virtualenv の情報 2. ジョブを実行しているインスタンス名 3. artifacts として保持されているパラメータ情報 37

38 内部的な改修ポイント (3) さらに続きます 7. 将来廃止予定の v1 API にアクセスすると警告メッセージが出力されます (Tower 3.5 ではまだ使えます ) 8. Tower3.2 で廃止された System Tracking が API からも削除されました 9. UI のダッシュボードに表示されるジョブグラフで CM update などの暗黙に実行されるジョブがカウントされなくなりました 10. インベントリ API で返されるフィールドから hosts_with_active_failure などいくつかのパラメータが削除されました 38

39 内部的な改修ポイント (4) さらにさらに続きます 11.Tower 自体の実行環境が ついに Python3 に移行しました RHEL7 の場合は Software Collections の Python3 RHEL8 の場合はシステムがもつ Python3(platform-python) または通常パッケージでインストールされた Python3 が利用されます 12. コントローラとして Debian/Ubuntu サポートする最後のバージョンです ( いまのところ ) 39

40 内部的な改修ポイント (5) これでおしまい 13.Isolated ホストも含めた全ての環境での Playbook は ansible-runner によって実行さるようになりました 14. データベースのジョブイベントテーブルの created フィールド用に新たにインデックスが作られました ジョブの結果を保存するのに若干のパフォーマンス低下があるかもしれません 15.Tech Preview として IPv6 環境へのインストール対応が入りました 40

41 41 まとめ

42 まとめ Ansible でスモールスタートさせた自動化を チーム 組織 企業へと広く展開させるために 是非 Ansible Tower を利用してみてください 現在 Ansible を単体で利用する中で障壁となっている技術的な課題を解決することができます まずは気軽に体験するところから始めたいという方は 是非 Ansible ユーザグループが開催している もくもく会 に参加してみてください また エンタープライズ向けのトライアル版もご用意しています ご興味があれば 御社担当の CSM/TAM/ 営業まで是非ご相談ください 42

43 Red Hat の取り組み Red Hat では Ansible の OSS ユーザコミュニティ活動を支援しています Ansible もくもく会では Red Hat が提供する体験環境を利用して Ansible や Tower のインストール オペレーションを気軽に体験できます ( 無料です ) > Ansible ユーザ会 ( > Ansible ユーザ会 Slack( 43

44