操作 Ansible Automation Platform

流程

1. 在导航面板中，选择 Settings → Automation Execution → System。

2. 在 Proxy IP Allowed List 字段中，使用以下示例的语法输入允许连接到您的自动化控制器的 IP 地址：

   代理 IP 允许列表条目 示例

   [
     "example1.proxy.com:8080",
     "example2.proxy.com:8080"
   ]

   Copy to Clipboard Toggle word wrap

   重要
   • 代理 IP 允许列表需要列表中的代理正确清理标头输入，并正确设置 X-Forwarded-For 值等于客户端的实际源 IP。自动化控制器可以依赖 Proxy IP Allowed List 中的 IP 地址和主机名来为 X-Forwarded-For 提供非欺骗的值。

   • 不要将 HTTP_X_FORWARDED_FOR 配置为 Remote Host Headers 中的项目，除非满足以下条件：

     • 您使用带有 ssl 终止的代理环境；
     • 代理提供 X-Forwarded-For 标头的清理或验证处理，以防止客户端欺骗；
     • /etc/tower/conf.d/remote_host_headers.py 定义 PROXY_IP_ALLOWED_LIST，它只包含可信代理或负载均衡器的原始 IP 地址。
3. 点 Save 保存设置。

流程

1. 在自动化控制器节点上执行以下步骤。如果尚未安装 ansible-builder，请先安装它。

   # subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-8-x86_64-rpms
   # dnf install ansible-builder

   Copy to Clipboard Toggle word wrap

2. 构建自定义执行环境。

   1. 首先，创建一个工作目录：

      # su - awx
      $ mkdir -p builder/newee
      $ cd builder/newee

      Copy to Clipboard Toggle word wrap

3. 使用以下内容创建 execution-environment.yml 文件：

   version: 1
   
   build_arg_defaults:
     EE_BASE_IMAGE: 'registry.redhat.io/ansible-automation-platform-24/ee-supported-rhel8:latest'
   
   additional_build_steps:
     prepend:
       - RUN microdnf install -y nc

   Copy to Clipboard Toggle word wrap

4. 登录到 registry.redhat.io。

   $ podman login registry.redhat.io

   Copy to Clipboard Toggle word wrap

5. 运行 ansible-builder 以开始构建过程。

   $ cd /var/lib/awx/builder/newee/
   $ ansible-builder build -t my-env -v 3

   Copy to Clipboard Toggle word wrap
6. 添加您创建的自定义执行环境。
7. 在导航面板中，选择 Automation Execution → Infrastructure → Execution Environments。
8. 单击 Create execution environment。
9. 在 Image 字段中，添加 localhost/my-env:latest。
10. 单击 Create execution environment。

11. 按照以下步骤重新运行 Ansible Automation Platform 安装程序，将执行环境从默认改为将用作项目同步的自定义环境。

    注意

    在运行安装程序前备份 Ansible Automation Platform。

    # ./setup.sh -b

    Copy to Clipboard Toggle word wrap

12. 在与 setup.sh 文件相同的位置的 group_vars 目录下创建一个 automationcontroller 文件。文件内容如下：

    control_plane_execution_environment: localhost/my-env

    Copy to Clipboard Toggle word wrap

13. 运行 setup.sh

    # ./setup.sh

    Copy to Clipboard Toggle word wrap

14. 在 目录下创建 ssh_config。例如：

    Host github.com
    Hostname ssh.github.com
    ProxyCommand nc --proxy-type http --proxy proxy.example.com:port %h %p
    User git

    Copy to Clipboard Toggle word wrap
15. 在 PATH 中添加 ssh_config 文件的目录路径，以公开隔离的作业，以便容器执行环境可以读取 ssh_config 文件。
16. 在导航面板中，选择 Settings → Automation Execution → Job。
17. 点 Edit。

18. 如果 ssh_config 文件已创建为 /var/lib/awx/.ssh/ssh_config，请将此文件添加到要 公开给隔离作业的 Path

    注意

    确保 ssh_config 归 AWX 用户所有。( Configurechown awx:awx /var/lib/awx/.ssh/ssh_config)

    [
    "/var/lib/awx/.ssh:/etc/ssh:O"
    ]

    Copy to Clipboard Toggle word wrap

流程

1. 登录到您的自动化控制器。
2. 在导航面板中，选择 Settings → Automation Execution → System。
3. 选择 Automation Analytics 的 Gather 数据，以启用自动化控制器在自动化上收集数据并将其发送到 Automation Analytics。

流程

1. 要准备证书和密钥，请选择以下方法之一：

   • 要提供自定义证书 - 对于需要更新的 TLS 证书的每个服务，请将新证书和密钥复制到相对于 Ansible Automation Platform 安装程序的路径。然后，使用新文件的绝对路径更新清单文件变量。

     # Platform gateway
     gateway_tls_cert=<path_to_tls_certificate>
     gateway_tls_key=<path_to_tls_key>
     gateway_pg_tls_cert=<path_to_tls_certificate>
     gateway_pg_tls_key=<path_to_tls_key>
     gateway_redis_tls_cert=<path_to_tls_certificate>
     gateway_redis_tls_key=<path_to_tls_key>
     
     # Automation controller
     controller_tls_cert=<path_to_tls_certificate>
     controller_tls_key=<path_to_tls_key>
     controller_pg_tls_cert=<path_to_tls_certificate>
     controller_pg_tls_key=<path_to_tls_key>
     
     # Automation hub
     hub_tls_cert=<path_to_tls_certificate>
     hub_tls_key=<path_to_tls_key>
     hub_pg_tls_cert=<path_to_tls_certificate>
     hub_pg_tls_key=<path_to_tls_key>
     
     # Event-Driven Ansible
     eda_tls_cert=<path_to_tls_certificate>
     eda_tls_key=<path_to_tls_key>
     eda_pg_tls_cert=<path_to_tls_certificate>
     eda_pg_tls_key=<path_to_tls_key>
     eda_redis_tls_cert=<path_to_tls_certificate>
     eda_redis_tls_key=<path_to_tls_key>
     
     # PostgreSQL
     postgresql_tls_cert=<path_to_tls_certificate>
     postgresql_tls_key=<path_to_tls_key>
     
     # Receptor
     receptor_tls_cert=<path_to_tls_certificate>
     receptor_tls_key=<path_to_tls_key>

     Copy to Clipboard Toggle word wrap

   • 要生成新的证书 - 如果您希望安装程序为服务生成新证书，请删除或移动现有证书和密钥。

     Expand

     表 6.1. 每个服务的证书和密钥文件路径

     服务	证书文件路径	密钥文件路径
     自动化控制器	~/aap/controller/etc/tower.cert	~/aap/controller/etc/tower.key
     Event-Driven Ansible	~/aap/eda/etc/eda.cert	~/aap/eda/etc/eda.key
     平台网关	~/aap/gateway/etc/gateway.cert	~/aap/gateway/etc/gateway.key
     Automation hub	~/aap/hub/etc/pulp.cert	~/aap/hub/etc/pulp.key
     PostgreSQL	~/aap/postgresql/server.crt	~/aap/postgresql/server.key
     Receptor	~/aap/receptor/etc/receptor.crt	~/aap/receptor/etc/receptor.key
     Redis	~/aap/redis/server.crt	~/aap/redis/server.key

     Show more

2. 准备证书后，从 安装 目录中运行安装 playbook：

   ansible-playbook -i <inventory_file_name> ansible.containerized_installer.install

   Copy to Clipboard Toggle word wrap

流程

1. 将签名的 SSL 证书和密钥复制到安全位置。

2. 在 OpenShift 中创建 TLS secret：

   oc create secret tls ${CONTROLLER_INSTANCE}-certs-$(date +%F) --cert=/path/to/ssl.crt --key=/path/to/ssl.key

   Copy to Clipboard Toggle word wrap

3. 修改自动化控制器自定义资源，将 route_tls_secret 和新 secret 的名称添加到 spec 部分。

   oc edit automationcontroller/${CONTROLLER_INSTANCE}

   Copy to Clipboard Toggle word wrap

   ...
   spec:
     route_tls_secret: automation-controller-certs-2023-04-06
   ...

   Copy to Clipboard Toggle word wrap

1. 等待几分钟，以便应用更改。

2. 验证是否安装了新的 SSL 证书和密钥：

   true | openssl s_client -showcerts -connect ${CONTROLLER_FQDN}:443

   Copy to Clipboard Toggle word wrap

流程

1. 将签名的 SSL 证书和密钥复制到安全位置。

2. 在 OpenShift 中创建 TLS secret：

   oc create secret tls ${AUTOMATION_HUB_INSTANCE}-certs-$(date +%F) --cert=/path/to/ssl.crt --key=/path/to/ssl.key

   Copy to Clipboard Toggle word wrap

3. 修改自动化中心自定义资源，将 route_tls_secret 和新 secret 的名称添加到 spec 部分。

   oc edit automationhub/${AUTOMATION_HUB_INSTANCE}

   Copy to Clipboard Toggle word wrap

   ...
   spec:
     route_tls_secret: automation-hub-certs-2023-04-06
   ...

   Copy to Clipboard Toggle word wrap

1. 等待几分钟，以便应用更改。

2. 验证是否安装了新的 SSL 证书和密钥：

   true | openssl s_client -showcerts -connect ${CONTROLLER_FQDN}:443

   Copy to Clipboard Toggle word wrap

流程

1. 将 aap_service_regen_cert=true 添加到 [all:vars] 部分中的 inventory 文件中：

   [all:vars]
   aap_service_regen_cert=true

   Copy to Clipboard Toggle word wrap
2. 运行安装程序。

流程

1. 将新的 SSL/TLS 证书和密钥复制到相对于 Ansible Automation Platform 安装程序的路径。

2. 将 SSL/TLS 证书和密钥的绝对路径添加到清单文件中。有关 设置这些变量 的指导，请参阅清单文件变量。

   • event-Driven Ansible controller: automationedacontroller_ssl_cert,automationedacontroller_ssl_key,custom_ca_cert
   • 平台网关： automationgateway_ssl_cert,automationgateway_ssl_key,custom_ca_cert
   • 自动化中心：automationhub_ssl_cert,automationhub_ssl_key,custom_ca_cert

   • 自动化控制器： web_server_ssl_cert,web_server_ssl_key,custom_ca_cert

     注意

     custom_ca_cert 必须是签署中间证书颁发机构的根证书颁发机构。此文件安装在 /etc/pki/ca-trust/source/anchors 中。

3. 运行安装程序。

流程

1. 备份当前的 SSL/TLS 证书：

   cp <CERT_PATH> <CERT_PATH>-$(date +%F)

   Copy to Clipboard Toggle word wrap

2. 备份当前密钥文件：

   cp <KEY_PATH> <KEY_PATH>-$(date +%F)

   Copy to Clipboard Toggle word wrap
3. 将新的 SSL/TLS 证书复制到证书路径中。
4. 将新密钥复制到密钥路径。

5. 恢复 SELinux 上下文：

   restorecon -v <CERT_PATH> <KEY_PATH>

   Copy to Clipboard Toggle word wrap

6. 为证书和密钥文件设置适当的权限：

   chown <OWNER>:<GROUP> <CERT_PATH> <KEY_PATH>
   chmod 0600 <CERT_PATH> <KEY_PATH>

   Copy to Clipboard Toggle word wrap

7. 测试 NGINX 配置：

   nginx -t

   Copy to Clipboard Toggle word wrap

8. 重新载入 NGINX:

   systemctl reload nginx.service

   Copy to Clipboard Toggle word wrap

9. 验证是否安装了新的 SSL/TLS 证书和密钥：

   true | openssl s_client -showcerts -connect <COMPONENT_FQDN>:443

   Copy to Clipboard Toggle word wrap
   Expand

   表 6.2. 每个服务的 SSL/TLS 证书和密钥文件路径

   服务	证书文件路径	密钥文件路径	owner:Group
   自动化控制器	/etc/tower/tower.cert	/etc/tower/tower.key	root:awx
   Automation hub	/etc/pulp/certs/pulp_webserver.crt	/etc/pulp/certs/pulp_webserver.key	root:pulp
   Event-Driven Ansible 控制器	/etc/ansible-automation-platform/eda/server.cert	/etc/ansible-automation-platform/eda/server.key	root:eda
   平台网关	/etc/ansible-automation-platform/gateway/gateway.cert	/etc/ansible-automation-platform/gateway/gateway.key	root:gateway

   Show more