Ansible Automation Platform の運用

手順

1. ナビゲーションパネルから、Settings → Automation Execution → System を選択します。

2. Proxy IP Allowed List フィールドに、次の例の構文を使用して、Automation Controller への接続を許可する IP アドレスを入力します。

   Proxy IP Allowed List のエントリーの例

   [
     "example1.proxy.com:8080",
     "example2.proxy.com:8080"
   ]

   Copy to Clipboard Toggle word wrap

   重要
   • Proxy IP Allowed List は、ヘッダー入力を適切にサニタイズすること、およびクライアントの実際の送信元 IP と同じ X-Forwarded-For 値を正しく設定することを、リスト内のプロキシーに要求します。Automation Controller は、Proxy IP Allowed List 内の IP アドレスとホスト名を利用して、X-Forwarded-For に偽装されていない値を提供できます。

   • 次の条件が すべて 満たされない限り、Remote Host Headers の項目として HTTP_X_FORWARDED_FOR を設定しないでください。

     • SSL Termination でプロキシー環境を使用している
     • プロキシーにより X-Forwarded-For ヘッダーのサニタイズまたは検証が行われ、クライアントのなりすましを防止できる
     • /etc/tower/conf.d/remote_host_headers.py が信頼されたプロキシーまたはロードバランサーの送信元 IP のみを含む PROXY_IP_ALLOWED_LIST を定義している
3. Save をクリックして設定を保存します。

手順

1. Automation Controller ノードで次の手順を実行します。ansible-builder がまだインストールされていない場合は、まずインストールしてください。

   # subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-8-x86_64-rpms
   # dnf install ansible-builder

   Copy to Clipboard Toggle word wrap

2. カスタム実行環境を構築します。

   1. まず、作業ディレクトリーを作成します。

      # su - awx
      $ mkdir -p builder/newee
      $ cd builder/newee

      Copy to Clipboard Toggle word wrap

3. 次の内容を含む execution-environment.yml ファイルを作成します。

   version: 1
   
   build_arg_defaults:
     EE_BASE_IMAGE: 'registry.redhat.io/ansible-automation-platform-24/ee-supported-rhel8:latest'
   
   additional_build_steps:
     prepend:
       - RUN microdnf install -y nc

   Copy to Clipboard Toggle word wrap

4. registry.redhat.io にログインします。

   $ podman login registry.redhat.io

   Copy to Clipboard Toggle word wrap

5. ansible-builder を実行してビルドプロセスを開始します。

   $ cd /var/lib/awx/builder/newee/
   $ ansible-builder build -t my-env -v 3

   Copy to Clipboard Toggle word wrap
6. 作成したカスタム実行環境を追加します。
7. ナビゲーションパネルから、Automation Execution → Infrastructure → Execution Environments を選択します。
8. Create execution environment をクリックします。
9. Image フィールドに localhost/my-env:latest を追加します。
10. Create execution environment をクリックします。

11. 次の手順に従って Ansible Automation Platform インストールプログラムを再実行し、実行環境をデフォルトから、プロジェクトの同期に使用されるカスタマイズされた環境に置き換えます。

    注記

    インストールプログラムを実行する前に、Ansible Automation Platform をバックアップしてください。

    # ./setup.sh -b

    Copy to Clipboard Toggle word wrap

12. setup.sh ファイルと同じ場所の group_vars ディレクトリーの下に、automationcontroller ファイルを作成します。ファイルの内容は次のとおりです。

    control_plane_execution_environment: localhost/my-env

    Copy to Clipboard Toggle word wrap

13. setup.sh を実行します。

    # ./setup.sh

    Copy to Clipboard Toggle word wrap

14. ディレクトリーの下に ssh_config を作成します。以下に例を示します。

    Host github.com
    Hostname ssh.github.com
    ProxyCommand nc --proxy-type http --proxy proxy.example.com:port %h %p
    User git

    Copy to Clipboard Toggle word wrap
15. コンテナー実行環境が ssh_config ファイルを読み取ることができるように、分離されたジョブを公開するには、PATH に ssh_config ファイルのディレクトリーパスを追加します。
16. ナビゲーションパネルで、Settings → Automation Execution → Job を選択します。
17. Edit をクリックします。

18. ssh_config ファイルが /var/lib/awx/.ssh/ssh_config として作成されている場合は、これを Paths to expose to isolated jobs に追加します。

    注記

    ssh_config が AWX ユーザーによって所有されていることを確認します (#chown awx:awx /var/lib/awx/.ssh/ssh_config)。

    [
    "/var/lib/awx/.ssh:/etc/ssh:O"
    ]

    Copy to Clipboard Toggle word wrap

手順

1. Automation Controller にログインします。
2. ナビゲーションパネルから、Settings → Automation Execution → System を選択します。
3. Gather data for Automation Analytics を選択すると、Automation Controller が自動化に関するデータを収集し、Automation Analytics に送信できるようになります。

手順

1. 証明書と鍵を準備するには、次のいずれかの方法を選択します。

   • カスタム証明書を提供する方法 - 更新された TLS 証明書を必要とするサービスごとに、新しい証明書と鍵を Ansible Automation Platform インストーラーを基準とした相対パスにコピーします。次に、新しいファイルへの絶対パスでインベントリーファイル変数を更新します。

     # Platform gateway
     gateway_tls_cert=<path_to_tls_certificate>
     gateway_tls_key=<path_to_tls_key>
     gateway_pg_tls_cert=<path_to_tls_certificate>
     gateway_pg_tls_key=<path_to_tls_key>
     gateway_redis_tls_cert=<path_to_tls_certificate>
     gateway_redis_tls_key=<path_to_tls_key>
     
     # Automation controller
     controller_tls_cert=<path_to_tls_certificate>
     controller_tls_key=<path_to_tls_key>
     controller_pg_tls_cert=<path_to_tls_certificate>
     controller_pg_tls_key=<path_to_tls_key>
     
     # Automation hub
     hub_tls_cert=<path_to_tls_certificate>
     hub_tls_key=<path_to_tls_key>
     hub_pg_tls_cert=<path_to_tls_certificate>
     hub_pg_tls_key=<path_to_tls_key>
     
     # Event-Driven Ansible
     eda_tls_cert=<path_to_tls_certificate>
     eda_tls_key=<path_to_tls_key>
     eda_pg_tls_cert=<path_to_tls_certificate>
     eda_pg_tls_key=<path_to_tls_key>
     eda_redis_tls_cert=<path_to_tls_certificate>
     eda_redis_tls_key=<path_to_tls_key>
     
     # PostgreSQL
     postgresql_tls_cert=<path_to_tls_certificate>
     postgresql_tls_key=<path_to_tls_key>
     
     # Receptor
     receptor_tls_cert=<path_to_tls_certificate>
     receptor_tls_key=<path_to_tls_key>

     Copy to Clipboard Toggle word wrap

   • 新しい証明書を生成する方法 - インストールプログラムでサービスの新しい証明書を生成する場合は、既存の証明書と鍵を削除または移動します。

     Expand

     表6.1 サービスごとの証明書と鍵ファイルのパス

     サービス	証明書ファイルのパス	鍵ファイルパス
     Automation Controller	~/aap/controller/etc/tower.cert	~/aap/controller/etc/tower.key
     Event-Driven Ansible	~/aap/eda/etc/eda.cert	~/aap/eda/etc/eda.key
     Platform gateway	~/aap/gateway/etc/gateway.cert	~/aap/gateway/etc/gateway.key
     Automation Hub	~/aap/hub/etc/pulp.cert	~/aap/hub/etc/pulp.key
     PostgreSQL	~/aap/postgresql/server.crt	~/aap/postgresql/server.key
     Receptor	~/aap/receptor/etc/receptor.crt	~/aap/receptor/etc/receptor.key
     Redis	~/aap/redis/server.crt	~/aap/redis/server.key

     Show more

2. 証明書を準備したら、インストールディレクトリーから install Playbook を実行します。

   ansible-playbook -i <inventory_file_name> ansible.containerized_installer.install

   Copy to Clipboard Toggle word wrap

手順

1. 署名された SSL 証明書と鍵をセキュアな場所にコピーします。

2. OpenShift 内に TLS シークレットを作成します。

   oc create secret tls ${CONTROLLER_INSTANCE}-certs-$(date +%F) --cert=/path/to/ssl.crt --key=/path/to/ssl.key

   Copy to Clipboard Toggle word wrap

3. Automation Controller のカスタムリソースを変更して、route_tls_secret と新しいシークレットの名前を spec セクションに追加します。

   oc edit automationcontroller/${CONTROLLER_INSTANCE}

   Copy to Clipboard Toggle word wrap

   ...
   spec:
     route_tls_secret: automation-controller-certs-2023-04-06
   ...

   Copy to Clipboard Toggle word wrap

1. 変更が適用されるまで数分待ちます。

2. 新しい SSL 証明書と鍵がインストールされていることを確認します。

   true | openssl s_client -showcerts -connect ${CONTROLLER_FQDN}:443

   Copy to Clipboard Toggle word wrap

手順

1. 署名された SSL 証明書と鍵をセキュアな場所にコピーします。

2. OpenShift 内に TLS シークレットを作成します。

   oc create secret tls ${AUTOMATION_HUB_INSTANCE}-certs-$(date +%F) --cert=/path/to/ssl.crt --key=/path/to/ssl.key

   Copy to Clipboard Toggle word wrap

3. Automation Hub のカスタムリソースを変更して、route_tls_secret と新しいシークレットの名前を spec セクションに追加します。

   oc edit automationhub/${AUTOMATION_HUB_INSTANCE}

   Copy to Clipboard Toggle word wrap

   ...
   spec:
     route_tls_secret: automation-hub-certs-2023-04-06
   ...

   Copy to Clipboard Toggle word wrap

1. 変更が適用されるまで数分待ちます。

2. 新しい SSL 証明書と鍵がインストールされていることを確認します。

   true | openssl s_client -showcerts -connect ${CONTROLLER_FQDN}:443

   Copy to Clipboard Toggle word wrap

手順

1. aap_service_regen_cert=true をインベントリーファイルの [all:vars] セクションに追加します。

   [all:vars]
   aap_service_regen_cert=true

   Copy to Clipboard Toggle word wrap
2. インストーラーを実行します。

手順

1. 新しい SSL/TLS 証明書と鍵を Ansible Automation Platform インストーラーに関連するパスにコピーします。

2. SSL/TLS 証明書と鍵の絶対パスをインベントリーファイルに追加します。これらの 変数の設定に関するガイダンスは、インベントリーファイル 変数 を参照してください。

   • Event-Driven Ansible controller: automationedacontroller_ssl_cert、automationedacontroller_ssl_key、custom_ca_cert
   • Platform gateway: automationgateway_ssl_cert、automationgateway_ssl_key、custom_ca_cert
   • Automation Hub: automationhub_ssl_cert、automationhub_ssl_key、custom_ca_cert

   • Automation Controller: web_server_ssl_cert、web_server_ssl_key、custom_ca_cert

     注記

     custom_ca_cert は、中間認証局に署名したルート認証局である必要があります。このファイルは /etc/pki/ca-trust/source/anchors にインストールされます。

3. インストールプログラムを実行します。

手順

1. 現在の SSL/TLS 証明書をバックアップします。

   cp <CERT_PATH> <CERT_PATH>-$(date +%F)

   Copy to Clipboard Toggle word wrap

2. 現在の鍵ファイルをバックアップします。

   cp <KEY_PATH> <KEY_PATH>-$(date +%F)

   Copy to Clipboard Toggle word wrap
3. 新しい SSL/TLS 証明書を証明書パスにコピーします。
4. 新しい鍵を鍵パスにコピーします。

5. SELinux コンテキストを復元します。

   restorecon -v <CERT_PATH> <KEY_PATH>

   Copy to Clipboard Toggle word wrap

6. 証明書と鍵ファイルに適切なパーミッションを設定します。

   chown <OWNER>:<GROUP> <CERT_PATH> <KEY_PATH>
   chmod 0600 <CERT_PATH> <KEY_PATH>

   Copy to Clipboard Toggle word wrap

7. NGINX 設定をテストします。

   nginx -t

   Copy to Clipboard Toggle word wrap

8. NGINX をリロードします。

   systemctl reload nginx.service

   Copy to Clipboard Toggle word wrap

9. 新しい SSL/TLS 証明書と鍵がインストールされていることを確認します。

   true | openssl s_client -showcerts -connect <COMPONENT_FQDN>:443

   Copy to Clipboard Toggle word wrap
   Expand

   表6.2 サービスごとの SSL/TLS 証明書と鍵ファイルのパス

   サービス	証明書ファイルのパス	鍵ファイルパス	所有者: グループ
   Automation Controller	/etc/tower/tower.cert	/etc/tower/tower.key	root:awx
   Automation Hub	/etc/pulp/certs/pulp_webserver.crt	/etc/pulp/certs/pulp_webserver.key	root:pulp
   Event-Driven Ansible Controller	/etc/ansible-automation-platform/eda/server.cert	/etc/ansible-automation-platform/eda/server.key	root:eda
   Platform gateway	/etc/ansible-automation-platform/gateway/gateway.cert	/etc/ansible-automation-platform/gateway/gateway.key	root:gateway

   Show more