配置 Satellite 以使用 Ansible

流程

1. 将角色添加到卫星上的 /etc/ansible/roles 目录，以及您要在其中使用角色的所有胶囊。如果要使用自定义或第三方 Ansible 角色，请确保配置外部版本控制系统，以同步卫星和胶囊之间的角色。

2. 在您要用来在主机上运行 Ansible 角色的胶囊上，启用 Ansible 插件：

   # satellite-installer --scenario capsule \
   --enable-foreman-proxy-plugin-ansible

3. 分发 SSH 密钥，以启用胶囊以使用 SSH 连接到主机。如需更多信息， 请参阅管理主机 指南中的分配用于远程执行的 SSH 密钥。卫星运行 Ansible 角色与运行远程执行作业的方式相同。
4. 将 Ansible 角色导入到卫星中。
5. 在配置 卫星以使用 Ansible 时，继续在卫星主机上使用 Ansible 角色自动化一致的 任务。

1. 在 Satellite Web UI 中，导航到 Configure > Roles，再单击包含您要导入的角色和变量的 Capsule。
2. 点 Submit。

流程

1. 在 Satellite Web UI 中，进入 Configure > Variables。
2. 选择您要使用 Satellite 覆盖和管理的 Ansible 变量。
3. 导航到 Default Behavior 区域，再选择 Override 复选框。
4. 从 Parameter Type 中为验证选择值类型。例如，字符串 或 布尔值 变量。
5. 在 Default Value 字段中，输入在变量没有匹配项时要使用的默认值。
6. 可选：如果您不想以纯文本显示 Ansible 变量，请选择 Hidden Values 复选框，以在 Satellite Web UI 中以星号形式显示 变量的内容。
7. 要保存覆盖设置，点 Submit。

对于主机组：

1. 在 Satellite Web UI 中，进入 Configure > Host Groups，然后选择要使用的主机组。
2. 单击 Parameters 选项卡，然后在 主机组参数 区域中，单击 Add Parameter。
3. 在 Name 字段中，添加 Ansible 变量名称。
4. 从 Type 列表，选择用于验证的变量类型。
5. 在 Value 字段中输入 变量的值。

对于主机：

1. 在卫星 Web UI 中，导航到 Hosts > All Hosts，然后在您要使用的主机上点击 Edit 按钮。
2. 单击 Parameters 选项卡，然后在 Host Parameters 区域中点击 Add Parameter。
3. 在 Name 字段中，添加 Ansible 变量名称。
4. 从 Type 列表，选择用于验证的变量类型。
5. 在 Value 字段中输入 变量的值。

将 添加为全局参数：

1. 在 Satellite Web UI 中，导航到 Configure > Global Parameters，然后点 Create Parameter。
2. 在 Name 字段中，添加 Ansible 变量名称。
3. 从 Type 列表，选择用于验证的变量类型。
4. 在 Value 字段中输入 变量的值。
5. 可选：如果您不想以纯文本显示 Ansible 变量，请选择 Hidden Values 复选框，以在 Satellite Web UI 中以星号形式显示 变量的内容。

流程

1. 确保已启用 rhel-7-server-extras-rpms 存储库。

   # subscription-manager repos --enable=rhel-7-server-extras-rpms

2. 安装 rhel-system-roles 软件包。

   # satellite-maintain packages install rhel-system-roles

   rhel-system-roles 软件包会下载到 /usr/share/ansible/roles/。在导入前，您可以查看并您对文件所做的任何修改。

3. 在 Satellite Web UI 中，导航到 Configure > Roles，再单击包含您要导入的角色的 Capsule。
4. 从 Ansible 角色列表中，选择您要导入的角色的复选框，然后单击 Update。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > All Hosts。
2. 在您要分配 Ansible 角色的主机上，单击 Edit。
3. 选择 Ansible Roles 选项卡，然后在 All items 列表中选择，搜索要添加的角色。
4. 选择您要添加的角色，然后单击箭头图标，将角色移到 Selected items 列表中。
5. 点 Submit。

流程

1. 在 Satellite Web UI 中，导航到 Hosts > All Hosts。
2. 选择包含您要运行的 Ansible 角色的主机的复选框。
3. 在 Select Action 列表中，选择 Play Ansible roles。

流程

1. 在 Satellite Web UI 中，进入 Configure > Host Groups。
2. 在主机组列表中，点您要向其添加 Ansible 角色的主机组名称。
3. 选择 Ansible Roles 选项卡，然后在 All items 列表中选择，搜索要添加的角色。
4. 选择您要添加的角色，然后单击箭头图标，将角色移到 Selected items 列表中。
5. 点 Submit。

流程

1. 在 Satellite Web UI 中，进入 Configure > Host Groups。
2. 从主机组的 Actions 列中的列表，选择 Run all Ansible roles。

流程

1. 在 Satellite Web UI 中，导航到 Hosts &gt ; All Hosts。
2. 对于您要启用检查模式的主机，点 Edit。
3. 在 Parameters 选项卡中，确保主机具有名为 ansible_roles_check_mode 的参数，类型为 boolean。
4. 点 Submit。

1. 卫星找到选中了 Remote execution 复选框的主机接口。
2. 卫星找到这些接口的子网。
3. 卫星找到分配给这些子网的远程执行胶囊。
4. 从这一组胶囊中，Satellite 选择具有最少数量的运行作业的胶囊。这样，卫星可确保作业负载在远程执行胶囊之间平衡。

5. 如果卫星没有在这个阶段找到远程执行胶囊，如果启用了 Fallback 到 Any Capsule 设置，则卫星会添加另一组 Capsules 来选择远程执行胶囊。Satellite 从分配给主机的以下类型的胶囊中选择最轻便加载的胶囊：

   • 分配给主机子网的 DHCP、DNS 和 TFTP 胶囊
   • 分配给主机的域的 DNS 胶囊
   • 分配给主机的 realm 的 realm Capsule
   • Puppet Master Capsule
   • Puppet CA Capsule
   • OpenSCAP Capsule
6. 如果 Satellite 没有在这个阶段找到远程执行胶囊，如果启用了 Enable Global Capsule 设置，则卫星从主机的组织和位置中所有胶囊中的一系列上选加载的远程执行胶囊，以执行远程作业。

流程

1. 进入 Hosts > Job templates。
2. 单击 New Job Template。
3. 单击 Template 选项卡，并在 Name 字段中输入作业模板的唯一名称。
4. 选择 Default 使模板可用于所有组织和位置。
5. 直接在模板编辑器中创建模板，或通过单击 Import 从文本文件上传。
6. 可选：在 Audit Comment 字段中添加有关更改的信息。
7. 单击 Job 选项卡，然后在 Job category 字段中输入您自己的类别，或者从 Default Job Template Categories 中列出的默认类别中选择。
8. 可选：在 Description Format 字段中输入描述模板。例如，安装软件包 %{package_name}.您还可以在模板中使用 %{template_name} 和 %{job_category}。
9. 在 Provider Type 列表中，为 shell 脚本选择 SSH，为 Ansible 任务或 playbook 选择 Ansible。
10. 可选：在 Timeout to kill 字段中，输入超时值来终止作业（如果未完成）。
11. 可选：点 Add Input 来定义输入参数。执行作业时，不需要在模板中定义参数。例如，请参阅 帮助 选项卡。
12. 可选：点击 Foreign 输入集 来在此作业中包含其他模板。
13. 可选： 在 Effective 用户 区域中，如果命令无法使用默认的 remote_execution_effective_user 设置，则配置用户。
14. 可选：如果此模板是要包含在其他模板的代码片段，点 Type 选项卡并选择 Snippet。
15. 单击 Location 选项卡，再添加您要使用模板的位置。
16. 单击 Organizations 选项卡，再添加您要使用模板的组织。
17. 点 Submit 保存您的更改。

CLI 过程

1. 要使用 template-definition 文件创建作业模板，请输入以下命令：

   # hammer job-template create \
   --file "path_to_template_file" \
   --name "template_name" \
   --provider-type SSH \
   --job-category "category_name"

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 单击 RemoteExecution。
3. 将 Fallback 配置为 Any Capsule 设置。

流程

1. 在 Satellite Web UI 中，导航到 Administer > Settings。
2. 单击 RemoteExection。
3. 配置 Enable Global Capsule 设置。

流程

1. 创建新目录，如 new_place ：

   # mkdir /remote_working_dir

2. 从默认 var 目录中复制 SELinux 上下文：

   # chcon --reference=/var /remote_working_dir

3. 配置系统：

1. 第 3.9 节 “手动将 SSH 密钥分发到远程执行”.
2. 第 3.10 节 “使用 Satellite API Obtain SSH Keys for Remote Execution”.
3. 第 3.11 节 “在置备过程中将 Kickstart 模板配置为分发 SSH 密钥”.
4. 对于新的 Satellite 主机，您可以使用全局注册模板在注册过程中将 SSH 密钥部署到卫星主机。如需更多信息，请参阅使用 全局注册模板将主机注册到 Red Hat Satellite。

流程

1. 在 Capsule 上输入以下命令。对您要管理的每个目标主机重复此操作：

   # ssh-copy-id -i ~foreman-proxy/.ssh/id_rsa_foreman_proxy.pub root@target.example.com

2. 要确认密钥已成功复制到目标主机，请在 Capsule 上输入以下命令：

   # ssh -i ~foreman-proxy/.ssh/id_rsa_foreman_proxy root@target.example.com

流程

1. 在目标主机上，创建 ~/.ssh 目录来存储 SSH 密钥：

   # mkdir ~/.ssh

2. 从 Capsule 下载 SSH 密钥：

   # curl https://capsule.example.com:9090/ssh/pubkey >> ~/.ssh/authorized_keys

3. 为 ~/.ssh 目录配置权限：

   # chmod 700 ~/.ssh

4. 为 authorized_keys 文件配置权限：

   # chmod 600 ~/.ssh/authorized_keys

流程

1. 查找 foreman-proxy 用户的 ID：

   # id -u foreman-proxy

2. 修改 umask 值，使新文件的权限为 600 ：

   # umask 077

3. 为 keytab 创建目录：

   # mkdir -p "/var/kerberos/krb5/user/USER_ID"

4. 创建 keytab 或将现有 keytab 复制到目录中：

   # cp your_client.keytab /var/kerberos/krb5/user/USER_ID/client.keytab

5. 将目录所有者更改为 foreman-proxy 用户：

   # chown -R foreman-proxy:foreman-proxy "/var/kerberos/krb5/user/USER_ID"

6. 确保 keytab 文件为只读：

   # chmod -wx "/var/kerberos/krb5/user/USER_ID/client.keytab"

7. 恢复 SELinux 上下文：

   # restorecon -RvF /var/kerberos/krb5

流程

1. 要为远程执行安装并启用 Kerberos 验证，请输入以下命令：

   # satellite-installer --scenario satellite \
    --foreman-proxy-plugin-remote-execution-ssh-ssh-kerberos-auth true

2. 要编辑用于远程执行的默认用户，在 Satellite Web UI 中，导航到 Administer > Settings 并点 RemoteExecution 选项卡。在 SSH User 行中，编辑第二列并添加 Kerberos 帐户的用户名。
3. 导航到 remote_execution_effective_user，再编辑第二列来添加 Kerberos 帐户的用户名。

流程

1. 要克隆模板（在 Actions 列中），请选择 Clone。
2. 为克隆输入唯一名称，点 Submit 保存更改。

流程

1. 进入 Hosts > All Hosts 并选择您要在其上执行远程作业的目标主机。您可以使用搜索字段来过滤主机列表。
2. 在 Select Action 列表中，选择 Schedule Remote Job。
3. 在 Job invocation 页面中，定义主作业设置：
4. 选择要使用的 Job category 和 Job 模板。
5. 可选：在 Bookmark 列表中选择一个存储的搜索字符串来指定目标主机。
6. 可选：输入搜索查询来限制目标主机。连续到 行显示受您的查询影响的主机数。使用刷新按钮重新计算更改查询后的数字。preview 图标列出了目标主机。
7. 剩余的设置取决于所选的作业模板。如需有关在模板中添加自定义参数的信息，请参阅创建作业模板。https://access.redhat.com/documentation/zh-cn/red_hat_satellite/6.10/html-single/managing_hosts/index#creating-a-job-template_managing-hosts

8. 可选：要为作业配置高级设置，请点击 Display advanced fields。一些高级设置取决于作业模板，以下设置是常规的：

   • 有效的用户 定义了执行作业的用户，默认为 SSH 用户。
   • 并发级别 定义了一次执行的最大作业数，这可在大量主机上执行作业时防止超载系统资源。
   • 超时（以 以秒为单位为单位）定义作业应该被终止的时间间隔（如果作业尚未完成）。在定义的时间间隔期间无法启动的任务（例如，如果上一任务需要很长时间才能完成），则会取消。
   • 查询类型定义了搜索查询 何时被评估。这有助于使查询保持最新状态以进行调度任务。

   • 执行顺序 决定了在主机上执行该作业的顺序：字母顺序或随机。

     通过 并发级别 和超时 以中断设置，您可以定制作业执行，以适应基础架构硬件和需求。

9. 要立即运行作业，请确保 Schedule 设置为 Execute now。您还可以定义一个一次性作业，或者设置周期性作业。对于周期性任务，您可以定义开始和结束日期、运行次数和频率。您还可以使用 cron 语法来定义重复操作。有关 cron 的详情，请查看 Red Hat Enterprise Linux 7 系统管理员指南中的" 自动系统任务 "部分。
10. 点 Submit。这将显示 Job Overview 页面，以及作业完成时，还显示作业的状态。

1. 查找您要使用的作业模板 ID：

   # hammer job-template list

2. 显示模板详情以查看模板所需的参数：

   # hammer job-template info --id template_ID

3. 使用自定义参数执行远程作业：

   # hammer job-invocation create \
   --job-template "template_name" \
   --inputs key1="value",key2="value",... \
   --search-query "query"

   使用定义主机的过滤器表达式替换 query，例如 "name ~ rex01"。有关使用 hammer 执行远程命令的更多信息，请输入 hammer job-template --help 和 hammer job-invocation --help。

流程

1. 导航到 Job 页面。如果您使用 Execute now 设置触发作业，则会自动显示此页面。要监控调度的作业，请导航到 Monitor > Jobs 并选择您要检查的作业运行。
2. 在 Job 页面上，单击 Hosts 选项卡。这将显示运行作业的主机列表。
3. 在 Host 列中，单击您要检查的主机的名称。这将显示 Commands 页面的详细信息，您可以在其中实时监控作业执行。
4. 随时单击 Back to Job，以返回到 Job Details 页面。

1. 查找作业的 ID：

   # hammer job-invocation list

2. 监控作业输出：

   # hammer job-invocation output \
   --id job_ID \
   --host host_name

3. 可选：要取消作业，请输入以下命令：

   # hammer job-invocation cancel \
   --id job_ID

流程

1. 在 Ansible Tower Web UI 中，为您的 Satellite 创建凭据。有关创建凭证的更多信息，请参阅 Ansible Tower 用户指南中的 添加新凭据和 Red Hat Satellite 6 凭据。http://docs.ansible.com/ansible-tower/latest/html/userguide/credentials.html#add-a-new-credential

   表 4.1. Satellite 凭证

   凭证类型 ：	Red Hat Satellite 6
   Satellite 6 URL ：	https://satellite.example.com
   用户名 ：	卫星用户的用户名及集成角色。
   密码 ：	Satellite 用户的密码。

2. 将 Ansible Tower 用户添加到新凭据。有关将用户添加到凭证的更多信息，请参阅 Ansible Tower 用户指南中的使用凭证。
3. 添加新清单。有关更多信息，请参阅 Ansible Tower 用户指南中的 添加新清单。

4. 在新清单中，添加卫星服务器作为清单源，并指定以下清单源选项：如需更多信息，请参阅 Ansible Tower 用户指南中的添加源。https://docs.ansible.com/ansible-tower/latest/html/userguide/inventories.html#add-source

   表 4.2. 清单源选项

   源	Red Hat Satellite 6
   凭证	为 Satellite 服务器创建的凭证。
   覆盖	选择
   覆盖变量	选择
   启动时更新	选择
   缓存超时	90

5. 确保您同步您添加的源。

1. ansible_provisioning_callback
2. ansible_tower_callback_script
3. ansible_tower_callback_service

1. 为您的新主机创建机器凭证。确保您在凭证中输入相同的密码，以分配给您在 Satellite 中创建的主机。有关更多信息，请参阅 Ansible Tower 用户指南中的 添加新凭据。
2. 创建一个项目。有关更多信息，请参阅 Ansible Tower 用户指南中的 项目。
3. 将作业模板添加到您的项目中。有关更多信息，请参阅 Ansible Tower 用户指南中的 作业模板。
4. 在作业模板中，您必须启用置备回调，生成主机配置密钥，并记下作业模板的 template_ID。如需有关作业模板的更多信息，请参阅 Ansible Tower 用户指南中的 作业模板。

流程

1. 在 Red Hat Satellite Web UI 中，进入 Configure > Host Group。
2. 创建主机组或编辑现有的主机组。
3. 在 Host Group 窗口中，单击 Parameters 选项卡。
4. 点 Add Parameter。

5. 为每个新参数输入以下信息：

   表 4.3. 主机参数

   名称	值	描述
   ansible_tower_provisioning	true	启用部署回调。
   ansible_tower_fqdn	tower.example.com	Ansible Tower 的完全限定域名(FQDN)。不要添加 https，因为这已附加了 Ansible Tower。
   ansible_job_template_id	template_ID	模板的 URL 中可找到的置备模板的 ID： /templates/job_template/5。
   ansible_host_config_key	config_KEY	您的作业模板在 Ansible Tower 中生成的主机配置密钥。

6. 点 Submit。
7. 使用主机组创建主机。

8. 在新主机上，输入以下命令启动 ansible-callback 服务：

   # systemctl start ansible-callback

9. 在新主机上，输入以下命令输出 ansible-callback 服务的状态：

   # systemctl status ansible-callback

   如果命令返回以下输出，则正确配置置备回调：

   SAT_host systemd[1]: Started Provisioning callback to Ansible Tower...