搜索

在 Red Hat Satellite 中使用 Ansible 集成管理配置

download PDF
Red Hat Satellite 6.14

在 Satellite 中配置 Ansible 集成,并使用 Ansible 角色和 playbook 配置您的主机

Red Hat Satellite Documentation Team

摘要

本指南介绍了如何将 Red Hat Satellite 与 Ansible 集成,以及如何在 Satellite 中使用 Ansible 角色和 playbook 执行远程执行和自动化重复性任务。

向红帽文档提供反馈

我们感谢您对我们文档的反馈。让我们了解如何改进它。

使用 Red Hat JIRA 中的 Create Issue 表单提供您的反馈。JIRA 问题在 Red Hat Satellite Jira 项目中创建,您可以在其中跟踪其进度。

先决条件

流程

  1. 单击以下链接: 创建问题。如果 Jira 显示登录错误,则登录并在您重定向到表单后继续。
  2. 完成 SummaryDescription 字段。在 Description 字段中,包含文档 URL、章节号以及问题的详细描述。不要修改表单中的任何其他字段。
  3. Create

第 1 章 在 Satellite 中使用 Ansible

使用本指南将 Satellite 配置为使用 Ansible 进行远程执行。

1.1. 支持的 Ansible 版本

Satellite 使用 Ansible 作为 Satellite 服务器的基本操作系统提供,或任何用于远程执行的胶囊。因此,支持的 Ansible 版本取决于您的基础操作系统配置。

1.2. 配置 Satellite 以运行 Ansible 角色

在 Satellite 中,您可以导入 Ansible 角色,以帮助自动执行日常任务。Ansible 已在 Satellite 服务器上默认启用。

Ansible 路径

Satellite 从以下路径导入并运行 Ansible 角色:

  • /etc/ansible/roles
  • /usr/share/ansible/roles
  • /etc/ansible/collections
  • /usr/share/ansible/collections

来自安装的软件包的角色和集合放置在 /usr/share/ansible 下。如果要添加自定义角色或集合,请将其放在 /etc/ansible 下。

请注意,红帽仅对从红帽获取的 Ansible 角色和集合提供支持。

路径由 Satellite 配置。更多信息请参阅 第 1.8 节 “自定义 Ansible 配置”

流程

  1. 将角色添加到 Satellite 服务器上的 Ansible 路径中 的目录中,以及您要从其中使用角色的所有胶囊服务器。如果要使用自定义或第三方 Ansible 角色,请确保配置外部版本控制系统来同步 Satellite 服务器和 Capsule 服务器之间的角色。
  2. 在您要在主机上运行 Ansible 角色的所有 Capsule 服务器上,启用 Ansible 插件:

    # satellite-installer --scenario capsule \
    --enable-foreman-proxy-plugin-ansible
  3. 分发 SSH 密钥,使胶囊能够使用 SSH 连接到主机。如需更多信息,请参阅管理主机中的为远程执行分配 SSH 密钥Satellite 运行 Ansible 角色的方式与运行远程执行作业的方式相同。
  4. 将 Ansible 角色导入到 Satellite。
  5. 继续 第 2 章 使用 Ansible 角色在客户端上自动化重复的任务

1.3. 启用 Ansible 与 Satellite 的集成

执行以下步骤在 Satellite 服务器上启用 Ansible 插件。

流程

  • 在 Satellite 服务器上启用 Ansible 插件:

    # satellite-installer \
    --enable-foreman-plugin-ansible \
    --enable-foreman-proxy-plugin-ansible

1.4. 导入 Ansible 角色和变量

您可以从启用了 Ansible 的 Satellite 服务器上的 Ansible 路径 或 Capsule 中导入 Ansible 角色和变量。

请注意,一些角色导入所需的时间比其他角色更长。

前提条件

  • 确保您导入的角色和变量位于您要使用角色的所有胶囊上的 Ansible 路径中

流程

  1. 在 Satellite Web UI 中,进入到 Configure > Roles
  2. Import 以选择您要从中导入的胶囊。
  3. 选择您要导入的角色。
  4. Submit

1.5. 在 Satellite 中覆盖 Ansible 变量

如果在 Satellite 中运行 Ansible 角色,您可以使用 Satellite 覆盖这些角色的 Ansible 变量。

以下流程引用主机和主机组。如需更多信息,请参阅管理主机

覆盖变量的优先级

如果您使用 Ansible 角色作为不是 Effective User 的用户运行任务,则覆盖 Ansible 变量的严格优先顺序。要确保您覆盖的变量遵循正确的优先级顺序,请参阅 变量优先级:我应该在哪里放置变量?

前提条件

流程

  1. 在 Satellite Web UI 中,进入到 Configure > Variables
  2. 选择您要使用 Satellite 覆盖和管理的 Ansible 变量。
  3. 默认行为 区域中,选中 覆盖 复选框。
  4. Parameter Type 字段中,选择验证的值类型,如 字符串布尔值。类型 数组和 哈希 在变量匹配时有进一步处理的选项。如需更多信息,请参阅以下优先级 化属性顺序 区域
  5. Default Value 字段中,如果变量没有匹配项,请输入要使用的默认值。
  6. 可选:如果您不想在 Satellite Web UI 中以纯文本形式显示变量的值,请选择 Hidden Value 复选框,将变量的值显示为星号。这可用于敏感值,如密码或机密令牌。
  7. 可选:展开 Optional Input Validator 区域,并指定用于验证变量的 concrete 值的条件:

    • 如果要强制用户填写此变量,请选择 Required
    • Validator Type 字段中,选择如何验证值:

      • List - 值将根据允许值的枚举进行验证。
      • regex - 值将根据正则表达式模式进行验证。
  8. 可选:Prioritize Attribute Order 区中,由主机属性指定优先级顺序来匹配带有主机的覆盖。顶部顺序具有较高的优先级。第一个匹配项优先。

    您可以使用逗号作为 AND 操作,将多个属性合并到一个 matcher 键中。例如,匹配器关键字 hostgroup, environment 会预期如 hostgroup = "web servers" AND environment = production 的匹配器。

    如果使用参数类型 数组哈希,您可以进一步设置:

    • merge Overrides - Merges 成员的数组/哈希,而不是替换整个阵列或散列。如果哈希包含相同的键,则该值会被主机的值覆盖。
    • Merge Default – 为数组或散列添加默认值。
    • avoid Duplicates - 确保数组或散列中的值是唯一的。
  9. 可选:展开 指定 Matchers 区域,并指定用于选择变量覆盖的主机的条件。
  10. 要保存覆盖设置,请点 Submit

要使用 Ansible 变量,请将变量作为参数添加到主机或主机组,或者将变量添加为全局参数。

在主机中添加变量

  1. 在 Satellite Web UI 中,进入到 Hosts > All Hosts 并选择您要使用的主机。
  2. 单击 Ansible 选项卡,然后在 Variables 区域中,单击铅笔图标以编辑变量的值。
  3. 点 tick 图标接受 changed 变量的值或跨图标来取消更改。

将变量添加到主机组中

  1. 在 Satellite Web UI 中,进入到 Configure > Host Groups,然后选择要使用的主机组。
  2. 单击 Parameters 选项卡,然后在 Host Group Parameters 区域中单击 Add Parameter
  3. Name 字段中,添加 Ansible 变量名称。
  4. Type 列表中,选择要验证的变量类型。
  5. Value 字段中输入 变量的值。

将变量添加为全局参数

  1. 在 Satellite Web UI 中,进入到 Configure > Global Parameters,然后点击 Create Parameter
  2. Name 字段中,添加 Ansible 变量名称。
  3. Type 列表中,选择要验证的变量类型。
  4. Value 字段中输入 变量的值。
  5. 可选:如果您不想以纯文本显示 Ansible 变量,请选择 Hidden Values 复选框,将变量的内容显示为 Satellite Web UI 中的星号。

1.6. 添加 Red Hat Enterprise Linux 系统角色

Red Hat Enterprise Linux 系统角色是远程管理 Red Hat Enterprise Linux 服务器的配置接口。您可以使用 Red Hat Enterprise Linux 系统角色在 Satellite 中添加 Ansible 角色。在 Satellite 中使用 Ansible 角色可以更快、更轻松地进行配置。

某些 Red Hat Enterprise Linux 系统角色的支持等级可能还只是一个技术预览。有关 Red Hat Enterprise Linux 系统角色支持级别和常规信息,请参阅 Red Hat Enterprise Linux 系统角色

在订阅 Extras 频道前,请参阅 Red Hat Enterprise Linux Extras 产品生命周期 文档。

流程

  1. 确保启用了以下软件仓库:

    • 在 Red Hat Enterprise Linux 8 中,确保启用了 Appstream 软件仓库:

      # subscription-manager repos --enable=rhel-8-for-x86_64-appstream-rpms

      您必须启用为您的架构指定的 Appstream 存储库。如需更多信息,请参阅 RHEL 8 软件仓库

    • 在 Red Hat Enterprise Linux 7 中,确保启用了 Extras 软件仓库:

      # subscription-manager repos --enable=rhel-7-server-extras-rpms
  2. 安装 rhel-system-roles 软件包:

    # satellite-maintain packages install rhel-system-roles

    rhel-system-roles 软件包下载到 /usr/share/ansible/roles/。您可以在导入前查看并进行修改。

  3. 在 Satellite Web UI 中,进入到 Configure > Roles,然后点击包含您要导入的角色的 Capsule。
  4. 从 Ansible 角色列表中,选中您要导入的角色的复选框,然后单击 Update

现在,您可以将 Ansible 角色分配给主机或主机组。如需更多信息,请参阅 第 2.1 节 “将 Ansible 角色分配给现有主机”

您还可以通过将它们添加到 Ansible 作业模板,将这些角色中包含的模块添加到 Ansible playbook 中。您必须在作业模板中包含 hosts:all 行。如需更多信息,请参阅 Red Hat Enterprise Linux (RHEL) 系统角色

1.7. 同步 Ansible 集合

在 Satellite 上,您可以从 Private Automation Hub、console.redhat.com 和其他 Satellite 实例同步 Ansible Collections。在同步后,Ansible Collections 将会出现在 Satellite web UI 菜单的 Content 下作为一个新的仓库类型。

流程

  1. 在 Satellite Web UI 中,进入到 Content > Products
  2. 选择所需的产品名称。
  3. Products 窗口中,选择要为其创建存储库的产品名称。
  4. 单击 Repositories 选项卡,然后单击 New Repository
  5. Name 字段中输入存储库的名称。

    Label 字段会根据名称自动填充。

  6. Type 列表中,选择 ansible collection
  7. Upstream URL 字段中,输入上游集合存储库的 URL。

    URL 可以是任何 Ansible Galaxy 端点。例如: https://console.redhat.com/api/automation-hub/

  8. 可选: 在 requirements .yml 字段中,您可以指定您要从端点同步的集合列表及其版本。

    如果没有指定集合列表,则会同步来自端点的所有内容。

    ---
    collections:
    - name: my_namespace.my_collection
      version: 1.2.3

    如需更多信息,请参阅 Galaxy 用户指南中的 从同一 requirements.yml 文件安装角色和集合

  9. 身份验证。

    1. 要从 Private Automation Hub 同步 Satellite,请在 Auth Token 字段中输入您的令牌。

      如需更多信息,请参阅连接到 Hub 中的连接私有 Automation Hub

    2. 要从 console.redhat.com 同步 Satellite,请在 Auth Token 字段中输入您的令牌,然后在 Auth URL 字段中输入您的 SSO URL。

      如需更多信息,请参阅开始使用自动化中心

    3. 要从 Satellite 同步 Satellite,请将这两个身份验证字段留空。
  10. 点击 Save
  11. 导航到 Ansible Collections 存储库。
  12. Select Action 菜单中,选择 Sync Now

1.8. 自定义 Ansible 配置

Satellite 管理 Ansible 与 Satellite 集成所需的基本 Ansible 配置。但是,您可以照常自定义其他 Ansible 配置选项。

Satellite 将基本的 Ansible 配置作为环境变量存储在 /etc/foreman-proxy/ansible.env 中。此文件由 satellite-installer 管理。

Ansible 从配置文件和胶囊提供的环境读取配置。如果您需要自定义 Ansible 配置,您可以在系统范围的 /etc/ansible/ansible.cfg 文件中,或者在 foreman-proxy 用户的主目录下的 /usr/share/foreman-proxy/.ansible.cfg 文件中这样做。请注意,如果您使用 /usr/share/foreman-proxy/.ansible.cfg,Satellite 生成的 Ansible 忽略 /etc/ansible/ansible.cfg 中的配置。

请注意,环境变量优先于 ansible.cfg 中的值,这样可确保保留 Satellite 所需的基本配置。

下表列出了由 Satellite 管理的基本 Ansible 配置选项。

表 1.1. 基本 Ansible 配置
环境变量配置密钥描述

ANSIBLE_CALLBACKS_ENABLED

callbacks_enabled

启用 Satellite 的回调;等同于 callback_whitelist 以实现跨版本兼容性

ANSIBLE_CALLBACK_WHITELIST

callback_whitelist

启用 Satellite 的回调;等同于 callbacks_enabled,用于跨版本兼容性

ANSIBLE_COLLECTIONS_PATHS

collections_paths

Ansible 集合的路径列表

ANSIBLE_HOST_KEY_CHECKING

host_key_checking

在 SSH 连接过程中禁用检查主机密钥

ANSIBLE_LOCAL_TEMP

local_tmp

Capsule 上的临时目录

ANSIBLE_ROLES_PATH

roles_path

Ansible 角色的路径列表

ANSIBLE_SSH_ARGS

ssh_args

传递给 SSH 连接的参数

其他资源

1.9. 将 Ansible Vault 与 Satellite 搭配使用

您可以使用 Ansible Vault 工具加密敏感 Ansible 数据文件,并将 Ansible 配置为使用存储在文件中的密码来访问加密的文件。

流程

  1. 如果自定义 /etc/ansible/ansible.cfg,请将配置从 /etc/ansible/ansible.cfg 复制到 /usr/share/foreman-proxy/.ansible.cfg
  2. 使用 ansible-vault 命令加密敏感文件:

    # ansible-vault encrypt /etc/ansible/roles/Role_Name/vars/main.yml

    请注意,ansible-vault 将文件权限更改为 600

  3. 更改加密文件的组和权限,以确保 foreman-proxy 用户可以读取它:

    # chgrp foreman-proxy /etc/ansible/roles/Role_Name/vars/main.yml
    # chmod 0640 /etc/ansible/roles/Role_Name/vars/main.yml
  4. 创建 /usr/share/foreman-proxy/.ansible_vault_password 文件,并在其中输入 Vault 密码。
  5. 更改 .ansible_vault_password 文件的用户和组,以确保只有 foreman-proxy 用户可以读取它:

    # chown foreman-proxy:foreman-proxy /usr/share/foreman-proxy/.ansible_vault_password
    # chmod 0400 /usr/share/foreman-proxy/.ansible_vault_password
  6. 将 Vault 密码文件的路径添加到 /usr/share/foreman-proxy/.ansible.cfg 中的 [defaults] 部分:

    [defaults]
    vault_password_file = /usr/share/foreman-proxy/.ansible_vault_password

    Vault 密码文件的路径必须是绝对的。

第 2 章 使用 Ansible 角色在客户端上自动化重复的任务

2.1. 将 Ansible 角色分配给现有主机

您可以使用 Ansible 角色来远程管理 Satellite 客户端。

先决条件

  • 确保您已配置并导入了 Ansible 角色。

流程

  1. 在 Satellite Web UI 中,进入到 Hosts > All Hosts
  2. 选择主机,再单击 Edit
  3. Ansible Roles 选项卡上,从 Available Ansible Roles 列表中选择您要添加的角色。
  4. 单击 + 图标,将角色添加到主机。您可以添加多个角色。
  5. Submit

将 Ansible 角色分配给主机后,您可以使用 Ansible 进行远程执行。更多信息请参阅 第 4.13 节 “为远程执行分发 SSH 密钥”

覆盖参数变量

Parameters 选项卡上,单击 Add Parameter,以添加您要在运行时传递给作业模板的任何参数变量。这包括您要与主机关联的所有 Ansible playbook 参数和主机参数。要将参数变量与 Ansible 作业模板搭配使用,您必须添加一个 Host 参数

2.2. 从主机中删除 Ansible 角色

使用以下步骤从主机中删除 Ansible 角色。

流程

  1. 在 Satellite Web UI 中,进入到 Hosts > All Hosts
  2. 选择主机,再单击 Edit
  3. 选择 Ansible Roles 选项卡。
  4. Assigned Ansible Roles 区域中,单击 - 图标,将角色从主机中删除。重复删除更多角色。
  5. Submit

2.3. 更改 Ansible 角色的顺序

使用以下步骤更改应用到主机的 Ansible 角色的顺序。

流程

  1. 在 Satellite Web UI 中,进入到 Hosts > All Hosts
  2. 选择主机。
  3. 选择 Ansible Roles 选项卡。
  4. Assigned Ansible Roles 区域中,您可以通过将角色拖放到首选位置来更改角色的顺序。
  5. 单击 Submit 以保存 Ansible 角色的顺序。

2.4. 在主机上运行 Ansible 角色

您可以通过 Satellite Web UI 在主机上运行 Ansible 角色。

前提条件

流程

  1. 在 Satellite Web UI 中,进入到 Hosts > All Hosts
  2. 选中包含您要运行的 Ansible 角色的主机的复选框。
  3. Select Action 列表中,选择 Run all Ansible roles

您可以在 Run Ansible roles 页面中查看 Ansible 作业的状态。要重新运行作业,请点 Rerun

2.5. 将 Ansible 角色分配到主机组

您可以使用 Ansible 角色来远程管理 Satellite 客户端。

前提条件

流程

  1. 在 Satellite Web UI 中,进入到 Configure > Host Groups
  2. 单击您要为其分配 Ansible 角色的主机组名称。
  3. Ansible Roles 选项卡上,从 Available Ansible Roles 列表中选择您要添加的角色。
  4. 单击 + 图标,将角色添加到主机组。您可以添加多个角色。
  5. Submit

2.6. 在主机组上运行 Ansible 角色

您可以通过 Satellite Web UI 在主机组上运行 Ansible 角色。

前提条件

流程

  1. 在 Satellite Web UI 中,进入到 Configure > Host Groups
  2. 从主机组的 Actions 列中的列表中,选择 Run all Ansible roles

您可以在 Run Ansible roles 页面中查看 Ansible 作业的状态。点 Rerun 重新运行作业。

2.7. 在检查模式下运行 Ansible 角色

您可以通过 Satellite Web UI 以检查模式运行 Ansible 角色。

前提条件

流程

  1. 在 Satellite Web UI 中,进入到 Hosts &gt ; All Hosts
  2. 对于您要为其启用检查模式的主机,点 Edit
  3. Parameters 选项卡中,确保主机具有名为 ansible_roles_check_mode 的参数,并将类型 boolean 设置为 true
  4. Submit

第 3 章 从 Satellite 运行 Ansible playbook

您可以通过在 Satellite 中执行远程作业,在主机或主机组上运行 Ansible playbook。

Ansible playbook 作业模板中的主机参数限制

当您在多个主机上执行 Ansible playbook 时,Satellite 呈现批处理中所有主机的 playbook,但仅使用第一个主机渲染的 playbook 在批处理中的所有主机上执行。因此,您无法使用模板控制流结构中的 host 参数修改每个主机的 playbook 行为。主机参数转换为 Ansible 变量,因此您可以使用它们来控制原生 Ansible 结构中的行为。如需更多信息,请参阅 BZ#2282275

前提条件

  • Satellite 中的 Ansible 插件已启用。
  • 配置了远程作业执行。如需更多信息,请参阅 第 4 章 配置和设置远程作业
  • 您有一个可以使用的 Ansible playbook。

流程

  1. 在 Satellite Web UI 中,进入到 Monitor > Jobs
  2. 单击 Run Job
  3. Job category 中,选择 Ansible Playbook
  4. Job template 中,选择 Ansible - Run playbook
  5. 点击 Next
  6. 选择您要在其上运行 playbook 的主机。
  7. playbook 字段中,粘贴 Ansible playbook 的内容。
  8. 按照向导完成设置远程作业。如需更多信息,请参阅 第 4.21 节 “执行远程作业”
  9. 单击 Submit,以在您的主机上运行 Ansible playbook。

其他资源

第 4 章 配置和设置远程作业

使用本节作为配置 Satellite 在远程主机上执行作业的指南。

要应用到远程主机的任何命令都必须定义为作业模板。在定义了作业模板后,您可以多次执行它。

4.1. 关于在主机上运行作业

您可以使用 shell 脚本或 Ansible 任务和 playbook 在胶囊中远程运行作业。这称为远程执行。

对于您创建的自定义 Ansible 角色或您下载的角色,您必须在胶囊基本操作系统上安装包含角色的软件包。在使用 Ansible 角色之前,您必须将角色从安装它们的 Capsule 中导入 Satellite。

通信通过胶囊服务器进行,这意味着 Satellite 服务器不需要直接访问目标主机,并可扩展来管理多个主机。更多信息请参阅 第 4.4 节 “远程执行的传输模式”

Satellite 使用 ERB 语法作业模板。如需更多信息, 请参阅管理主机中的模板编写参考

默认包括用于 shell 脚本和 Ansible 的几个作业模板。如需更多信息,请参阅管理主机中的 设置作业模板

注意

任何胶囊服务器基础操作系统都是 Satellite 服务器内部胶囊的客户端,因此本节适用于连接到 Satellite 服务器的任何类型的主机,包括胶囊。

您可以一次在多个主机上运行作业,您可以使用命令中的变量来更精细地控制您运行的作业。您可以使用主机事实和参数来填充变量值。

另外,您可以在运行命令时为模板指定自定义值。

如需更多信息 请参阅管理主机中的 执行远程作业

4.2. 远程执行工作流

当您对每个主机运行远程作业时,Satellite 都会执行以下操作来查找要使用的远程执行胶囊:

Satellite 仅搜索启用了 Ansible 功能的 Capsules。

  1. Satellite 找到选择了 远程执行 复选框的主机接口。
  2. Satellite 查找这些接口的子网。
  3. Satellite 查找分配给这些子网的远程执行胶囊。
  4. 从这一组胶囊中,Satellite 选择了具有最少数量运行的作业的胶囊。通过这样做,Satellite 可确保作业的负载在远程执行胶囊之间平衡。

如果您已启用了 Prefer registered through Capsule for remote execution,Satellite 会使用主机注册到的 Capsule 运行 REX 作业。

默认情况下,Prefer registered through Capsule for remote execution 被设置为 No。要启用它,在 Satellite web UI 中,进入到 Administer > Settings,在 Content 标签页中将 Prefer registered through Capsule for remote execution 设置为 Yes。这可确保 Satellite 根据它们注册到的胶囊对主机执行 REX 作业。

如果 Satellite 在此阶段找不到远程执行胶囊,如果 Fallback 设为 Any Capsule 设置,则 Satellite 会添加另一组 Capsules 以选择远程执行胶囊。Satellite 从分配给主机的以下类型的胶囊中选择最轻便加载的 Capsule:

  • DHCP、DNS 和 TFTP Capsules 分配给主机子网
  • 分配给主机域的 DNS Capsule
  • 分配给主机域的 realm Capsule
  • Puppet 服务器 Capsule
  • Puppet CA Capsule
  • OpenSCAP Capsule

如果 Satellite 在此阶段找不到远程执行 Capsule,如果启用了 Enable Global Capsule 设置,则 Satellite 会从主机的机构和位置中的所有 Capsule 中选择最轻量的远程执行 Capsule,以执行远程作业。

4.3. 远程执行的权限

您可以控制哪些角色可以在您的基础架构中运行哪些作业,包括他们可以的目标主机。远程执行功能提供了两个内置角色:

  • 远程执行管理器 :可以访问所有远程执行功能和功能。
  • 远程执行用户 :只能运行作业。

您可以克隆 Remote Execution User 角色,并自定义其过滤器以提高粒度。如果您使用自定义角色的 view_job_templates 权限调整过滤器,则只能根据匹配的作业模板查看和触发作业。您可以使用 view_hostsview_smart_proxies 权限来限制角色可见的主机或胶囊。

execute_template_invocation 权限是一个特殊权限,在执行作业开始前立即检查。此权限定义您可以在特定主机上运行的作业模板。这在指定权限时实现更精细的。

您可以使用 execute_jobs_on_infrastructure_hosts 权限针对作为主机注册到 Red Hat Satellite 运行远程执行作业。默认情况下,标准的 ManagerSite Manager 角色已具有这个权限。如果您使用 ManagerSite Manager 角色,或者使用带有 execute_jobs_on_infrastructure_hosts 权限的自定义角色,您可以针对注册的 Red Hat Satellite 和 Capsule 主机执行远程作业。

有关使用角色和权限的更多信息,请参阅管理 Red Hat Satellite 中的创建和管理角色

以下示例显示了 execute_template_invocation 权限的过滤器:

name = Reboot and host.name = staging.example.com
name = Reboot and host.name ~ *.staging.example.com
name = "Restart service" and host_group.name = webservers

使用本示例中的第一行将 Reboot 模板应用到选定主机。使用第二行定义一个主机池,其名称以 .staging.example.com 结尾。使用第三行将模板与主机组绑定。

注意

分配给具有这些角色的用户的权限可能会随时间变化。如果您已将一些作业调度到将来运行并且权限更改,这可能会导致执行失败,因为权限在作业执行前被立即检查。

4.4. 远程执行的传输模式

您可以将 Satellite 配置为使用两种不同的传输模式来远程作业执行。

ssh 模式的 Capsules 上,远程执行使用 SSH 服务传输作业详情。这是默认的传输模式。必须在目标主机上启用并激活 SSH 服务。远程执行胶囊必须有权访问目标主机上的 SSH 端口。除非您有其他设置,否则标准 SSH 端口为 22。

注意

如果您的 Capsule 已使用 pull-mqtt 模式,而您想要切回到 ssh 模式,请运行这个 satellite-installer 命令:

# satellite-installer --foreman-proxy-plugin-remote-execution-script-mode=ssh

pull-mqtt 模式的 Capsules 上,远程执行使用 Message Queueing Telemetry Transport (MQTT)来发布它从 Satellite 服务器接收的作业。主机订阅 Capsule 上的 MQTT 代理,以便使用 yggdrasil pull 客户端的作业通知。主机收到通知后,它会通过 HTTPS 从 Capsule 拉取作业详情,运行该作业,并将结果报告回胶囊。

要使用 pull-mqtt 模式,您必须在 Capsule 服务器上启用它,并在目标主机上配置拉取客户端。

其他资源

4.5. 配置主机以使用 Pull 客户端

对于配置为使用 pull-mqtt 模式的 Capsules,主机可以使用远程执行拉取客户端订阅远程作业。受管主机不需要 SSH 连接到其胶囊服务器。

前提条件

  • 您已将主机注册到 Satellite。
  • 主机的 Capsule 配置为使用 pull-mqtt 模式。如需更多信息,请参阅安装 Capsule 服务器 中的 为 Pull 客户端配置远程执行
  • Red Hat Satellite Client 6 存储库已在 Satellite 服务器上启用并同步,并在主机上启用。
  • 主机能够使用端口 1883 通过 MQTT 与胶囊通信。
  • 主机可以通过 HTTPS 与胶囊通信。
注意

创建 katello-pull-transport-migrate 软件包,以帮助用户通过 pull 客户端从 Katello Agent 迁移到远程执行。但是,主机上安装了 Katello Agent 并不是必须的。无论是否安装了 Katello Agent,您可以使用 katello-pull-transport-migrate

流程

  1. 在您的主机上安装 katello-pull-transport-migrate 软件包:

    • 在 Red Hat Enterprise Linux 8 和 Red Hat Enterprise Linux 9 主机上:

      # dnf install katello-pull-transport-migrate
    • 在 Red Hat Enterprise Linux 7 主机上:

      # yum install katello-pull-transport-migrate

    软件包将 foreman_ygg_workeryggdrasil 作为依赖项安装,并在主机上启用拉取模式。主机的 subscription-manager 配置和消费者证书用于在主机上配置 yggdrasil 客户端,并且启动拉取模式客户端 worker。

  2. 可选: 要验证拉取客户端是否正在运行并正确配置,请检查 yggdrasild 服务的状态:

    # systemctl status yggdrasild
  3. 可选:安装该软件包后,您可以从主机中删除 katello-agent

    警告

    如果在 Red Hat Virtualization 版本 4.4 或更高版本上安装了主机,请不要删除 katello-agent 软件包,因为删除的依赖项会破坏主机。

4.6. 创建作业模板

使用这个流程创建作业模板。要使用 CLI 而不是 Satellite Web UI,请参阅 CLI 过程

流程

  1. 在 Satellite Web UI 中,进入到 Hosts > Job templates
  2. 单击 New Job Template
  3. Template 选项卡,然后在 Name 字段中输入您的作业模板的唯一名称。
  4. 选择 Default 使模板可用于所有机构和位置。
  5. 在模板编辑器中直接创建模板,或通过单击 Import 从文本文件中上传。
  6. 可选:在 Audit Comment 字段中,添加有关更改的信息。
  7. 单击 Job 选项卡,然后在 Job category 字段中输入您自己的类别,或者从管理主机的默认 作业模板类别中列出的默认类别 中进行选择
  8. 可选:在 Description Format 字段中输入描述模板。例如,安装 package %{package_name}。您还可以在模板中使用 %{template_name}%{job_category}
  9. Provider Type 列表中,为 shell 脚本选择 SSH,为 Ansible 任务或 playbook 选择 Ansible。
  10. 可选:在 Timeout to kill 字段中,输入超时值来终止作业(如果未完成)。
  11. 可选:点击 Add Input 以定义输入参数。在执行作业时请求参数,且不必在模板中定义。例如,请参阅 Help 选项卡。
  12. 可选:点击 Foreign 输入集 来包括此作业中的其他模板。
  13. 可选:在 Effective 用户 区中,如果命令无法使用默认的 remote_execution_effective_user 设置,请配置用户。
  14. 可选:如果此模板是要包含在其他模板中的片段,点 Type 选项卡并选择 Snippet
  15. 可选:如果使用 Ansible 供应商,点 Ansible 选项卡。选择 Enable Ansible Callback 以允许主机发送用于创建配置报告的事实,并在作业完成后返回到 Satellite。
  16. Location 选项卡,并添加您要使用模板的位置。
  17. 单击 Organizations 选项卡,再添加要使用的模板组织。
  18. Submit 保存您的更改。

您可以通过在模板语法中包含其他模板来扩展和自定义模板。如需更多信息,请参阅管理主机中的模板编写参考作业模板示例和扩展

CLI 过程

  • 要使用 template-definition 文件创建作业模板,请输入以下命令:

    # hammer job-template create \
    --file "Path_to_My_Template_File" \
    --job-category "My_Category_Name" \
    --name "My_Template_Name" \
    --provider-type SSH

4.7. 根据名称导入 Ansible Playbook

您可以根据名称导入 Satellite,从 Capsule 上安装的集合导入 Ansible playbook。Satellite 从导入的 playbook 创建作业模板,并将模板放在 Ansible Playbook - 导入 的作业类别中。

如果您有自定义集合,请将其放在 /etc/ansible/collections/ansible_collections/My_Namespace/My_Collection 中。

先决条件

  • Ansible 插件已启用。
  • 您的 Satellite 帐户有一个授予 import_ansible_playbooks 权限的角色。

流程

  1. 使用以下 API 请求获取可用的 Ansible playbook:

    # curl -X GET -H 'Content-Type: application/json' https://satellite.example.com/ansible/api/v2/ansible_playbooks/fetch?proxy_id=My_capsule_ID
  2. 选择您要导入的 Ansible playbook 并记下其名称。
  3. 使用名称导入 Ansible playbook:

    # curl -X PUT -H 'Content-Type: application/json' -d '{ "playbook_names": ["My_Playbook_Name"] }' https://satellite.example.com/ansible/api/v2/ansible_playbooks/sync?proxy_id=My_capsule_ID

    导入完成后,您将在 Satellite Web UI 中收到通知。

后续步骤

4.8. 导入所有可用 Ansible Playbook

您可以从 Capsule 上安装的集合将所有可用的 Ansible playbook 导入到 Satellite。Satellite 从导入的 playbook 创建作业模板,并将模板放在 Ansible Playbook - 导入 的作业类别中。

如果您有自定义集合,请将其放在 /etc/ansible/collections/ansible_collections/My_Namespace/My_Collection 中。

先决条件

  • Ansible 插件已启用。
  • 您的 Satellite 帐户有一个授予 import_ansible_playbooks 权限的角色。

流程

  • 使用以下 API 请求导入 Ansible playbook:

    # curl -X PUT -H 'Content-Type: application/json' https://satellite.example.com/ansible/api/v2/ansible_playbooks/sync?proxy_id=My_capsule_ID

    导入完成后,您将在 Satellite Web UI 中收到通知。

后续步骤

4.9. 在 Satellite 中将 Fallback 配置为 Any Capsule 远程执行设置

您可以启用 Fallback 到 Any Capsule 设置,将 Satellite 配置为从分配给主机的胶囊列表搜索远程执行 Capsule。如果您需要在未配置子网的主机上运行远程作业,或者主机子网被分配给没有启用远程执行功能的胶囊,这将非常有用。

如果启用了 Fallback 到 Any Capsule 设置,Satellite 会添加另一组胶囊,从中选择远程执行胶囊。Satellite 还从分配给主机的所有 Capsule 集合中选择最轻量载入的 Capsule,如下所示:

  • DHCP、DNS 和 TFTP Capsules 分配给主机子网
  • 分配给主机域的 DNS Capsule
  • 分配给主机域的 realm Capsule
  • Puppet 服务器 Capsule
  • Puppet CA Capsule
  • OpenSCAP Capsule

流程

  1. 在 Satellite Web UI 中,进入到 Administer > Settings
  2. Remote Execution
  3. 将 Fallback 配置为 Any Capsule 设置。

CLI 过程

  • 在 Satellite 上输入 hammer settings set 命令,将 Fallback 配置为 Any Capsule 设置。要将值设为 true,输入以下命令:

    # hammer settings set \
    --name=remote_execution_fallback_proxy \
    --value=true

4.10. 在 Satellite 中配置全局胶囊远程执行设置

默认情况下,Satellite 会在主机的机构和位置中搜索远程执行胶囊,无论是否将胶囊分配给主机的子网。如果要将搜索限制为分配给主机子网的胶囊,您可以禁用 Enable Global Capsule 设置。

如果启用了 Enable Global Capsule 设置,Satellite 会添加另一组 Capsule 以选择远程执行胶囊。Satellite 还从主机的机构中的所有胶囊集合中选择最轻量的远程执行胶囊,以执行远程作业。

流程

  1. 在 Satellite Web UI 中,进入到 Administer > Settings
  2. Remote Execution
  3. 配置 Enable Global Capsule 设置。

CLI 过程

  • 在 Satellite 中输入 hammer settings set 命令,以配置 Enable Global Capsule 设置。要将值设为 true,输入以下命令:

    # hammer settings set \
    --name=remote_execution_global_proxy \
    --value=true

4.11. 将 Satellite 配置为使用替代目录在主机上执行远程作业

Ansible 将自己的文件放在服务器端,并放入 /tmp 目录中。如果需要,您可以选择设置不同的目录。

流程

  1. 在 Satellite 服务器或 Capsule 服务器上创建新目录:

    # mkdir /My_Remote_Working_Directory
  2. 从默认的 /tmp 目录中复制 SELinux 上下文:

    # chcon --reference=/tmp /My_Remote_Working_Directory
  3. 将您的 Satellite 服务器或 Capsule 服务器配置为使用新目录:

    # satellite-installer \
    --foreman-proxy-plugin-ansible-working-dir /My_Remote_Working_Directory

4.12. 更改权限提升方法

默认情况下,基于推送的远程执行使用 sudo 从 SSH 用户切换到在主机上执行脚本的有效用户。在某些情况下,您可能需要使用其他方法,如 sudzdo。您可以在 Satellite 设置中全局配置替代方法。

先决条件

  • 您的用户帐户分配了一个授予 view_settingsedit_settings 权限的角色。
  • 如果要将 dzdo 用于 Ansible 作业,请确保已安装了包含所需 dzdo become 插件的 community.general Ansible 集合。如需更多信息,请参阅 Ansible 文档中的安装 集合

流程

  1. 导航到 Administer > Settings
  2. 选择 Remote Execution 选项卡。
  3. Effective User Method 设置的值。
  4. 选择新值。
  5. Submit

4.13. 为远程执行分发 SSH 密钥

对于 ssh 模式中的胶囊,远程执行连接通过 SSH 进行身份验证。Capsule 中的公共 SSH 密钥必须分发到要管理的附加主机上。

确保 SSH 服务已启用并在主机上运行。配置任何基于网络的或基于主机的防火墙,以启用端口 22 的访问权限。

使用以下方法之一将公共 SSH 密钥从 Capsule 分发到目标主机:

默认情况下,Satellite 将远程执行功能的 SSH 密钥分发到从 Satellite 置备的主机。

如果主机在 Amazon Web Services 上运行,请启用密码身份验证。如需更多信息,请参阅新用户帐户

4.14. 为远程执行手动分发 SSH 密钥

要手动分发 SSH 密钥,请完成以下步骤:

流程

  • 将 SSH 公钥从 Capsule 复制到您的目标主机:

    # ssh-copy-id -i ~foreman-proxy/.ssh/id_rsa_foreman_proxy.pub root@client.example.com

    对您要管理的每个目标主机重复此步骤。

验证

  • 要确认密钥已成功复制到目标主机,请在 Capsule 上输入以下命令:

    # ssh -i ~foreman-proxy/.ssh/id_rsa_foreman_proxy root@client.example.com

4.15. 将密码添加到用于远程执行的 SSH 密钥

默认情况下,胶囊使用非密码短语保护的 SSH 密钥来在主机上执行远程作业。您可以按照以下流程使用密码短语保护 SSH 密钥。

流程

  • 在 Satellite 服务器或 Capsule 服务器上,使用 ssh-keygen 在您的 SSH 密钥中添加密码短语:

    # ssh-keygen -p -f ~foreman-proxy/.ssh/id_rsa_foreman_proxy

后续步骤

  • 现在,在主机上运行远程执行作业时,用户必须使用密码短语。

4.16. 使用 Satellite API 获取远程执行的 SSH 密钥

要使用 Satellite API 从 Capsule 下载公钥,请在每个目标主机上完成此流程。

流程

  1. 在目标主机上,创建 ~/.ssh 目录来存储 SSH 密钥:

    # mkdir ~/.ssh
  2. 从 Capsule 下载 SSH 密钥:

    # curl https://capsule.example.com:9090/ssh/pubkey >> ~/.ssh/authorized_keys
  3. ~/.ssh 目录配置权限:

    # chmod 700 ~/.ssh
  4. authorized_keys 文件配置权限:

    # chmod 600 ~/.ssh/authorized_keys

4.17. 在置备过程中将 Kickstart 模板配置为分布式 SSH 密钥

您可以在自定义 Kickstart 模板中添加 remote_execution_ssh_keys 片断,以便在置备过程中将 SSH 密钥部署到主机。Satellite 附带的 Kickstart 模板默认包含此代码片段。Satellite 在调配期间将用于远程执行的 SSH 密钥复制到系统。

流程

  • 要在新置备主机中包含公钥,请在您使用的 Kickstart 模板中添加以下片断:

    <%= snippet 'remote_execution_ssh_keys' %>

4.18. 为 Kerberos Ticket Granting Tickets 配置 keytab

使用这个流程将 Satellite 配置为使用 keytab 来获取 Kerberos 票据授予票据。如果没有设置 keytab,则必须手动检索票据。

流程

  1. 查找 foreman-proxy 用户的 ID:

    # id -u foreman-proxy
  2. 修改 umask 值,以便新文件的权限为 600

    # umask 077
  3. 为 keytab 创建目录:

    # mkdir -p "/var/kerberos/krb5/user/My_User_ID"
  4. 创建 keytab 或将现有 keytab 复制到目录中:

    # cp My_Client.keytab /var/kerberos/krb5/user/My_User_ID/client.keytab
  5. 将目录所有者更改为 foreman-proxy 用户:

    # chown -R foreman-proxy:foreman-proxy "/var/kerberos/krb5/user/My_User_ID"
  6. 确保 keytab 文件是只读的:

    # chmod -wx "/var/kerberos/krb5/user/My_User_ID/client.keytab"
  7. 恢复 SELinux 上下文:

    # restorecon -RvF /var/kerberos/krb5

4.19. 为远程执行配置 Kerberos 身份验证

您可以使用 Kerberos 身份验证在 Satellite 主机上建立用于远程执行的 SSH 连接。

前提条件

  • 在 Kerberos 服务器上注册 Satellite 服务器
  • 在 Kerberos 服务器中注册 Satellite 目标主机
  • 配置并初始化用于远程执行的 Kerberos 用户帐户
  • 确保 Satellite 上的 foreman-proxy 用户具有有效的 Kerberos 票据授予票据

流程

  1. 要为远程执行安装并启用 Kerberos 身份验证,请输入以下命令:

    # satellite-installer --scenario satellite \
    --foreman-proxy-plugin-remote-execution-script-ssh-kerberos-auth true
  2. 要编辑用于远程执行的默认用户,请在 Satellite Web UI 中进入到 Administer > Settings 并点 Remote Execution 选项卡。在 SSH User 行中,编辑第二列,并添加 Kerberos 帐户的用户名。
  3. 导航到 remote_execution_effective_user,再编辑第二列,以添加 Kerberos 帐户的用户名。

验证

4.20. 设置作业模板

Satellite 提供可用于执行作业的默认作业模板。要查看作业模板列表,请导航到 Hosts > Job templates。如果要使用没有更改的模板,请执行 管理主机 中的 执行远程作业

您可以使用默认模板作为自行开发的基础。默认作业模板被锁定以进行编辑。克隆模板并编辑克隆。

流程

  1. 要克隆模板,请在 Actions 列中选择 Clone
  2. 输入克隆的唯一名称,然后点 Submit 以保存更改。

作业模板使用嵌入式 Ruby (ERB)语法。有关编写模板的更多信息, 请参阅管理主机中的模板编写参考

Ansible 注意事项

要创建 Ansible 作业模板,请使用以下步骤和 ERB 语法,请使用 YAML 语法。使用 --- 开始模板。您可以将 Ansible playbook YAML 文件嵌入到作业模板正文中。您还可以添加 ERB 语法来自定义 YAML Ansible 模板。您还可以在 Satellite 中导入 Ansible playbook。如需更多信息, 请参阅管理主机中的 同步存储库模板

参数变量

在运行时,作业模板可以接受您为主机定义的参数变量。请注意,只有主机编辑页面中的参数在 Parameters 选项卡中看到的参数才能用作作业模板的输入参数。

4.21. 执行远程作业

您可以针对一个或多个主机执行基于作业模板的作业。

要使用 CLI 而不是 Satellite Web UI,请参阅 CLI 过程

流程

  1. 在 Satellite Web UI 中,进入到 Monitor > Jobs 并点 Run job
  2. 选择要使用的 Job categoryJob template,然后点 Next
  3. 选择您要在其上运行作业的主机。如果您没有选择任何主机,则该作业将在当前上下文中看到的所有主机上运行。

    注意

    如果要选择主机组及其所有子组,则不能选择主机组,因为该作业只会直接在该组的主机上运行,而不在子组中的主机上运行。反之,您必须选择主机组及其所有子组,或者使用此搜索查询:

    hostgroup_fullname ~ "My_Host_Group*"

    My_Host_Group 替换为顶级主机组的名称。

  4. 如果需要,为作业模板提供输入。不同的模板有不同的输入,一些模板没有任何输入。输入所有所需的输入后,点 Next
  5. 可选: 要为作业配置高级设置,请填写 高级字段。要了解更多有关高级设置的信息,请参阅 第 4.22 节 “作业向导中的 Advanced Settings”
  6. 点击 Next
  7. 作业的计划时间。

    • 要立即执行作业,请保留预先选择的 Immediate 执行
    • 要在以后执行该作业,请选择 将来的执行
    • 要定期执行作业,请选择 Recurring execution
  8. 可选:如果您选择了将来或重复执行,请选择 Query 类型,否则点 Next

    • 静态查询 意味着,作业在您提供的主机的确切列表上执行。
    • 动态查询 表示仅在执行作业前评估主机列表。如果您根据某些过滤器输入主机列表,则结果可能与您首次使用该过滤器时的不同。

    选择了查询类型后,点 Next

  9. 可选:如果您选择将来或重复执行,请提供附加详情:

    • 对于将来的执行请输入开始 日期和时间。您还可以选择 Starts before dates before time。如果作业无法在那个时间之前启动,它将被取消。
    • 对于 Recurring execution,请选择开始日期和时间、频率以及结束周期性作业的条件。您可以选择永不结束、在特定时间结束或在指定数量的重复后结束。您还可以添加 Purpose - 用于跟踪作业的特殊标签。一次只能有一个具有给定目的的活跃作业。

    输入所需信息后,点 Next

  10. 查看作业详情。您可以选择返回作业向导的任何部分,并编辑信息。
  11. 单击 Submit 以计划执行的作业。

CLI 过程

  1. 在 Satellite 中输入以下命令:

    # hammer settings set \
    --name=remote_execution_global_proxy \
    --value=false
  2. 查找您要使用的作业模板的 ID:

    # hammer job-template list
  3. 显示模板详情以查看模板所需的参数:

    # hammer job-template info --id My_Template_ID
  4. 使用自定义参数执行远程作业:

    # hammer job-invocation create \
    --inputs My_Key_1="My_Value_1",My_Key_2="My_Value_2",... \
    --job-template "My_Template_Name" \
    --search-query "My_Search_Query"

    My_Search_Query 替换为定义主机的过滤器表达式,如 "name ~ My_Pattern"。有关使用 hammer 执行远程命令的更多信息,请输入 hammer job-template --helphammer job-invocation --help

4.22. 作业向导中的 Advanced Settings

有些任务模板要求您输入高级设置。某些高级设置仅对某些作业模板可见。以下是常规高级设置列表。

SSH 用户
用于通过 SSH 连接到主机的用户。
有效用户
用于执行作业的用户。默认情况下,它是 SSH 用户。如果它与 SSH 用户(su 或 sudo)不同,具体取决于您的设置,则用于切换帐户。
Description
作业的描述模板。
终止超时
作业开始的时间(以秒为单位)后,如果作业尚未结束,则应终止该作业的时间(以秒为单位)。
选择时间
如果作业没有被客户端获取,则取消作业的时间(以秒为单位)。此设置仅适用于使用 pull-mqtt 传输的主机。
密码
如果 SSH 验证方法是密码而不是 SSH 密钥,则使用。
私钥密码短语
如果 SSH 密钥受密语保护,则使用。
有效的用户密码
如果有效用户与 ssh 用户不同,则使用。
并发级别
定义一次执行的最大作业数。这可以防止在大量主机上执行作业时过载系统资源。
时间范围
在所选秒数中分发远程执行。作业会定期启动一个,以固定间隔处理所给的时间窗。与并发级别类似,这也可能会阻止系统资源过载。
执行排序
决定在主机上执行作业的顺序。它可以按字母顺序排列,也可以随机化。

4.23. 使用 Extended Cron Lines

当使用远程执行调度 cron 作业时,您可以使用扩展 cron 行来指定作业的速度。标准 cron 行包含指定分钟、小时、月份和星期日的五个字段。例如,0 5 * * * 代表每天的上午 5 点。

Extended cron 行提供以下功能:

您可以使用 # 在一个月中指定 concrete week day

例如:

  • 0 0 * mon#1 指定月的 first Monday
  • 0 0 * * Fri#3,fri#4 specifies 3rd 和 4th Fridays of the month
  • 0 7 * * Fri#-1 指定月的最后 Friday (位于 07:00)
  • 0 7 * * Fri#L 还指定月的最后五部时间(07:00)
  • 0 23 * * mon#2,tue 指定月份的 2nd Monday 和 every Tuesday,地址为 23:00
您可以使用 % 指定每月的每半天

例如:

  • 9 0 * * Sun%2 指定其他 Sunday at 00:09
  • 0 0 * Sun%2+1 指定每个奇数周日
  • 9 0 * * Sun%2,tue%3 指定其他周日和每三十天指定
您可以使用 & amp; 指定月的日期必须与星期几匹配

例如:

  • 0 0 30 * 1& amp; 指定月 30 天,但仅在其为 Monday 时指定

4.24. 为主机调度周期性 Ansible 作业

您可以计划周期性作业来在主机上运行 Ansible 角色。

前提条件

  • 确保您有 view_foreman_tasksview_job_invocationsview_recurring_logics 权限。

流程

  1. 在 Satellite Web UI 中,进入到 Hosts > All Hosts,再选择您要在其上执行远程作业的目标主机。
  2. Ansible 选项卡上,选择 Jobs
  3. 单击 Schedule recurring job
  4. Create New Recurring Ansible Run 窗口中定义第一次运行的重复频率、开始时间和日期。
  5. Submit
  6. 可选:查看主机概述中的调度的 Ansible 作业,或导航到 Ansible > Jobs

4.25. 为主机组调度周期性 Ansible 作业

您可以调度周期性作业,以便在主机组上运行 Ansible 角色。

流程

  1. 在 Satellite Web UI 中,进入到 Configure > Host groups
  2. Actions 列中,为您要为其调度 Ansible 角色的主机组选择 Configure Ansible Job
  3. 单击 Schedule recurring job
  4. Create New Recurring Ansible Run 窗口中定义第一次运行的重复频率、开始时间和日期。
  5. Submit

4.26. 监控作业

您可以在作业运行时监控作业的进度。这有助于提供可能需要的任何故障排除。

Ansible 作业在 100 个主机的批处理上运行,因此您无法取消特定主机上运行的虚拟机。只有在 Ansible playbook 在批处理中的所有主机上运行后,作业才会完成。

流程

  1. 在 Satellite Web UI 中,进入到 Monitor > Jobs。如果您使用 Execute now 设置触发作业,则会自动显示此页面。要监控调度的作业,请导航到 Monitor > Jobs 并选择您要检查的作业运行。
  2. 在 Job 页面上,单击 Hosts 选项卡。这将显示作业运行的主机列表。
  3. Host 列中,单击要检查的主机的名称。这将显示 Commands 页面详情,您可以在其中实时监控作业执行。
  4. 您可以随时单击 Back to Job 以返回到 Job Details 页面。

CLI 过程

  1. 查找作业的 ID:

    # hammer job-invocation list
  2. 监控作业输出:

    # hammer job-invocation output \
    --host My_Host_Name \
    --id My_Job_ID
  3. 可选: 要取消作业,请输入以下命令:

    # hammer job-invocation cancel \
    --id My_Job_ID

4.27. 在 Capsule 上设置作业率限制

您可以一次限制胶囊上活动作业的最大数量,以防止性能激增。该作业从 Capsule 第一次尝试通知主机作业前,直到主机上作业完成为止。

作业速率限制仅适用于基于 mqtt 的作业。

注意

最佳活跃作业数量取决于胶囊服务器的计算资源。默认情况下,活跃作业的最大数量为无限。

流程

  • 使用 satellite-installer 设置活跃作业的最大数量:

    # satellite-installer \
    --foreman-proxy-plugin-remote-execution-script-mqtt-rate-limit MAX_JOBS_NUMBER

    例如:

    # satellite-installer \
    --foreman-proxy-plugin-remote-execution-script-mqtt-rate-limit 200

第 5 章 集成 Red Hat Satellite 和 Ansible Automation Controller

您可以集成 Red Hat Satellite 和 Ansible Automation Controller,以使用 Satellite 服务器作为 Ansible Automation Controller 的动态清单源。Ansible Automation Controller 是 Red Hat Ansible Automation Platform 的一个组件。

您还可以使用置备回调功能,从主机或 Ansible Automation Controller 在由 Satellite 管理的主机上运行 playbook。从 Satellite 服务器置备新主机时,您可以使用置备回调功能从 Ansible Automation Controller 触发 playbook 运行。playbook 在置备过程后配置主机。

5.1. 将 Satellite 服务器添加到 Ansible Automation Controller 中作为 Dynamic Inventory Item

要将 Satellite 服务器作为动态清单项目添加到 Ansible Automation Controller 中,您必须在 Ansible Automation Controller 上为 Satellite Server 用户创建一个凭证,将 Ansible Automation Controller 用户添加到凭据中,然后配置清单源。

先决条件

  • 如果您的 Satellite 部署较大,例如,管理数以千计的主机,使用非管理员用户可能会对性能造成负面影响,因为授权检查期间意外发生的时间。对于大型部署,请考虑使用 admin 用户。
  • 对于非管理员用户,您必须将 Ansible Tower Inventory Reader 角色分配给您的 Satellite 服务器用户。有关管理用户、角色和权限过滤器的更多信息,请参阅管理 Red Hat Satellite 中的创建和管理角色https://docs.redhat.com/en/documentation/red_hat_satellite/6.14/html-single/administering_red_hat_satellite/index#Creating_and_Managing_Roles_admin
  • 您必须在同一网络或子网上托管 Satellite 服务器和 Ansible Automation Controller。

流程

  1. 在 Ansible Automation Controller Web UI 中,为您的 Satellite 创建凭证。有关创建凭证的更多信息,请参阅 自动化控制器用户指南中的 添加新 凭证和 Red Hat Satellite 凭证

    表 5.1. Satellite 凭证
    凭证类型Red Hat Satellite 6

    Satellite URL

    https://satellite.example.com

    用户名

    Satellite 用户与集成角色的用户名。

    密码

    Satellite 用户的密码。

  2. 将 Ansible Automation Controller 用户添加到新凭据。有关将用户添加到凭证的更多信息,请参阅 自动化控制器用户指南中的 凭证入门
  3. 添加新清单。如需更多信息,请参阅 自动化控制器用户指南中的添加新清单http://docs.ansible.com/automation-controller/latest/html/userguide/inventories.html#add-a-new-inventory
  4. 在新清单中,添加 Satellite 服务器作为清单源,指定以下清单源选项:如需更多信息,请参阅 自动化控制器用户指南中的添加源https://docs.ansible.com/automation-controller/latest/html/userguide/inventories.html#add-source

    表 5.2. 清单源选项
    Red Hat Satellite 6

    凭证

    为 Satellite 服务器创建的凭据。

    覆盖

    选择

    覆盖变量

    选择

    启动时更新

    选择

    缓存超时

    90

  5. 确保您同步您添加的源。

5.2. 为主机配置置备回调

在 Satellite 中创建主机时,您可以使用 Ansible Automation Controller 运行 playbook 来配置新创建的主机。这在 Ansible Automation Controller 中称为 置备回调

置备回调功能会触发从 Ansible Automation Controller 运行 playbook,作为置备过程的一部分。playbook 在置备过程后配置主机。

有关置备回调的更多信息,请参阅 自动化控制器用户指南中的 部署回调

在 Satellite 服务器中,Kickstart DefaultKickstart Default Finish 模板包括三个片断:

  1. ansible_provisioning_callback
  2. ansible_tower_callback_script
  3. ansible_tower_callback_service

您可以将参数添加到主机或主机组,以提供这些片断可用于在新创建的主机上运行 Ansible playbook 的凭据。

先决条件

在配置置备回调前,您必须将 Satellite 添加为 Ansible Automation Controller 中的动态清单。如需更多信息,请参阅 集成 Satellite 和 Ansible Automation Controller

在 Ansible Automation Controller web UI 中,您必须完成以下任务:

  1. 为您的新主机创建机器凭证。确保您在计划分配给您在 Satellite 中创建的主机的凭据中输入相同的密码。如需更多信息,请参阅 自动化控制器用户指南中的 添加新凭据
  2. 创建一个项目。有关更多信息,请参阅 Ansible Automation Controller 用户指南中的 项目。
  3. 将作业模板添加到您的项目。如需更多信息,请参阅 自动化控制器用户指南中的 作业模板
  4. 在作业模板中,您必须启用置备回调,生成主机配置密钥,并记录作业模板的 template_ID。有关作业模板的更多信息,请参阅 自动化控制器用户指南中的 作业模板

流程

  1. 在 Satellite Web UI 中,进入到 Configure > Host Group
  2. 创建主机组或编辑现有主机组。
  3. 在主机组窗口中,单击 参数 选项卡。
  4. 单击 Add Parameter
  5. 为每个新参数输入以下信息:

    表 5.3. 主机参数
    名称Description

    ansible_tower_provisioning

    true

    启用部署回调。

    ansible_tower_fqdn

    controller.example.com

    Ansible Automation Controller 的完全限定域名(FQDN)。不要添加 https,因为这由 Satellite 附加。

    ansible_job_template_id

    template_ID

    您可以在模板的 URL 中找到的置备模板的 ID: /templates/job_template/5

    ansible_host_config_key

    config_KEY

    作业模板在 Ansible Automation Controller 中生成的主机配置密钥。

  6. Submit
  7. 使用主机组创建主机。
  8. 在新主机上,输入以下命令启动 ansible-callback 服务:

    # systemctl start ansible-callback
  9. 在新主机上,输入以下命令输出 ansible-callback 服务的状态:

    # systemctl status ansible-callback

    如果命令返回以下输出,则会正确配置置备回调:

    SAT_host systemd[1]: Started Provisioning callback to Ansible Automation Controller...

手动置备回调

  • 您可以使用主机的置备回调 URL 和主机配置密钥来调用 Ansible Automation Controller:

    # curl -k -s --data curl --insecure --data host_config_key=my_config_key \
    https://controller.example.com/api/v2/job_templates/8/callback/

    在进入置备回调 URL 时,请确保使用 https

这会触发针对主机的模板中指定的 playbook 运行。

第 6 章 作业模板示例和扩展

使用本节作为参考来帮助修改、自定义和扩展作业模板以满足您的要求。

6.1. 自定义作业模板

在创建作业模板时,您可以在模板编辑器字段中包含现有模板。这样,您可以组合模板,或者从一般模板中创建更具体的模板。

以下模板组合了默认模板,以在客户端上安装和启动 nginx 服务:

<%= render_template 'Package Action - SSH Default', :action => 'install', :package => 'nginx' %>
<%= render_template 'Service Action - SSH Default', :action => 'start', :service_name => 'nginx' %>

以上模板直接指定渲染模板的参数值。也可以使用 input () 方法,允许用户在作业执行时为呈现的模板定义输入。例如,您可以使用以下语法:

<%= render_template 'Package Action - SSH Default', :action => 'install', :package => input("package") %>

使用上述模板,您必须从渲染的模板导入参数定义。为此,请导航到 Jobs 选项卡,单击 Add Foreign Input Set,然后从 Target template 列表中选择 rendered template。您可以导入所有参数,或者指定逗号分隔的列表。

6.2. 默认作业模板类别

作业模板类别Description

软件包

用于执行软件包相关操作的模板。默认包括安装、更新和删除操作。

puppet

用于在目标主机上运行 Puppet 的模板。

power

用于执行电源相关操作的模板。默认包括重启和关闭操作。

命令

在远程主机上执行自定义命令的模板。

服务

用于执行服务相关操作的模板。默认包括 start、stop、restart 和 status 操作。

Katello

用于执行内容相关操作的模板。这些模板主要与 Satellite Web UI 的不同部分使用(例如,用于内容主机的批量操作 UI),但可以单独用于执行勘误安装等操作。

6.3. restorecon 模板示例

本例演示了如何创建名为 Run Command - restorecon 的模板,该模板为目标主机上所选目录中所有文件恢复默认的 SELinux 上下文。

流程

  1. 在 Satellite Web UI 中,进入到 Hosts > Job templates
  2. 单击 New Job Template
  3. Name 字段中输入 Run Command - restorecon。选择 Default 使模板可供所有机构使用。在模板编辑器中添加以下文本:

    restorecon -RvF <%= input("directory") %>

    & lt;%= input ("directory")% > 字符串在作业调用过程中被用户定义的目录替代。

  4. Job 选项卡中,将 Job category 设置为 Commands
  5. 单击 Add Input 以允许作业自定义。在 Name 字段中输入 目录。输入名称必须与模板编辑器中指定的值匹配。
  6. Required,以便在没有用户指定的参数的情况下无法执行命令。
  7. Input type 列表中选择 User input。输入在作业调用期间要显示的描述,如 Target directory for restorecon
  8. Submit。如需更多信息,请参阅管理主机中的 在多个主机上执行 restorecon 模板

6.4. 渲染 restorecon 模板

本例演示了如何创建从 Example restorecon Template 中创建的 Run command - restorecon 模板派生出的模板。此模板在在作业执行时不需要用户输入,它将在目标主机上的 /home/ 目录下的所有文件中恢复 SELinux 上下文。

创建新模板,如 设置作业模板 中所述,并在模板编辑器中指定以下字符串:

<%= render_template("Run Command - restorecon", :directory => "/home") %>

6.5. 在多个主机上执行 restorecon 模板

本例演示了如何在多个主机上基于 示例 restorecon 模板中创建的模板运行作业。作业在 /home/ 目录下的所有文件中恢复 SELinux 上下文。

流程

  1. 在 Satellite Web UI 中,进入到 Monitor > Jobs 并点 Run job
  2. 选择 Commands as Job category and Run Command - restorecon as Job template,再单击 Next
  3. 选择您要在其上运行作业的主机。如果您没有选择任何主机,则该作业将在当前上下文中看到的所有主机上运行。
  4. 目录 字段中,提供一个目录,如 /home,然后单击 Next
  5. 可选: 要为作业配置高级设置,请填写 高级字段。要了解更多有关高级设置的信息,请参阅 第 4.22 节 “作业向导中的 Advanced Settings”。当您输入高级设置或不需要时,点 Next
  6. 作业的计划时间。

    • 要立即执行作业,请保留预先选择的 Immediate 执行
    • 要在以后执行该作业,请选择 将来的执行
    • 要定期执行作业,请选择 Recurring execution
  7. 可选:如果您选择了将来或重复执行,请选择 Query 类型,否则点 Next

    • 静态查询 意味着,作业会在您提供的确切主机列表上执行。
    • 动态查询 表示仅在执行作业前评估主机列表。如果您根据某些过滤器输入主机列表,则结果可能与您首次使用该过滤器时的不同。

      选择了查询类型后,点 Next

  8. 可选:如果您选择将来或重复执行,请提供附加详情:

    • 对于将来的执行请输入开始 日期和时间。您还可以选择 Starts before dates before time。如果作业无法在那个时间之前启动,它将被取消。
    • 对于 Recurring execution,请选择结束周期性作业的开始日期和时间、频率和条件。您可以选择永不结束、在特定时间结束或在指定数量的重复后结束。您还可以添加 Purpose - 用于跟踪作业的特殊标签。一次只能有一个具有给定目的的活跃作业。

      输入所需信息后,点 Next

  9. 查看作业详情。您可以选择返回作业向导的任何部分,并编辑信息。
  10. 单击 Submit 以计划执行的作业。

6.6. 在模板中包括电源操作

本例演示了如何为执行电源操作(如重启)设置作业模板。此流程可防止 Satellite 在重启时将断开连接异常解释为错误,因此远程执行作业可以正常工作。

创建新模板,如 设置作业模板 中所述,并在模板编辑器中指定以下字符串:

<%= render_template("Power Action - SSH Default", :action => "restart") %>

法律通告

Copyright © 2024 Red Hat, Inc.
The text of and illustrations in this document are licensed by Red Hat under a Creative Commons Attribution–Share Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at http://creativecommons.org/licenses/by-sa/3.0/. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version.
Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law.
Red Hat, Red Hat Enterprise Linux, the Shadowman logo, the Red Hat logo, JBoss, OpenShift, Fedora, the Infinity logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.
Linux® is the registered trademark of Linus Torvalds in the United States and other countries.
Java® is a registered trademark of Oracle and/or its affiliates.
XFS® is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries.
MySQL® is a registered trademark of MySQL AB in the United States, the European Union and other countries.
Node.js® is an official trademark of Joyent. Red Hat is not formally related to or endorsed by the official Joyent Node.js open source or commercial project.
The OpenStack® Word Mark and OpenStack logo are either registered trademarks/service marks or trademarks/service marks of the OpenStack Foundation, in the United States and other countries and are used with the OpenStack Foundation's permission. We are not affiliated with, endorsed or sponsored by the OpenStack Foundation, or the OpenStack community.
All other trademarks are the property of their respective owners.
Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.