Napredna automatizacija u Windowsu sa PowerShell DSC i Ansible

Informatec Digital » Resursi » Napredna automatizacija u Windowsu sa PowerShell DSC i Ansible

Ako radite s Windows infrastrukturom i termini poput PowerShell-a, DSC-a, Ansible-a i automatizacije zvuče vam poznato , vjerovatno već znate da njihovo efikasno kombinovanje može potpuno transformisati način na koji upravljate serverima. Prelazak sa ručnih klikova u Windows čarobnjaku na potpuno deklarativnu i ponovljivu konfiguraciju čini svu razliku između stalnog gašenja požara i potpuno kontrolisanog okruženja.

U ovom članku ćemo detaljnije istražiti kako PowerShell konfiguracija željenog stanja (DSC) i Ansible se uklapaju zajedno Za upravljanje Windowsom (i Linuxom) u velikim razmjerima, kakvu ulogu igraju tehnologije poput WinRM-a, Azure Automation-a, Terraform-a ili cloud-init-a i kako možete iskoristiti postojeće DSC resurse iz Ansible-a zahvaljujući modulu? win_dscVidjet ćete praktične primjere, slučajeve upotrebe iz stvarnog svijeta i kriterije za odlučivanje kada koristiti izvorni DSC, Ansible module ili druge pristupe automatizaciji.

Pregled: Automatizacija Windowsa pomoću PowerShell-a, DSC-a i Ansible-a

PowerShell i Ansible dijele isti cilj : automatizirati konfiguraciju i administraciju vaših sistema na ponovljiv način. Razlika leži u njihovom pristupu. DSC je platforma za upravljanje konfiguracijom integrirana u PowerShell, snažno fokusirana na Windows (iako može raditi s Linuxom putem OMI-ja), dok je Ansible višenamjenski, višeplatformski mehanizam za automatizaciju dizajniran za orkestriranje hibridnih i heterogenih infrastruktura s jedne tačke.

Pomoću Red Hat Ansible Automation Platforme možete automatizirati Windows servere bez instaliranja dodatnih agenata, koristeći WinRM ili OpenSSH kao kanale za povezivanje i koristeći DSC resurse, Ansible module i PowerShell skripte. Sve je ovo organizirano kroz YAML playbooks , gdje definirate stanje koje svaki host treba dostići, i na Windowsu i na Linuxu.

S druge strane, PowerShell Desired State Configuration nudi stotine specijaliziranih resursa za konfigurisanje gotovo bilo koje Windows komponente: servisa, sistemskih funkcija, IIS-a, SQL Servera, Active Directoryja, registra, datoteka itd. Ovi resursi obuhvataju logiku provjere i primjene željenog stanja, tako da samo trebate deklarirati "kako želite da mašina bude".

Ključno je to što iz Ansible-a možete koristiti te DSC resurse direktno kroz modul. ansible.windows.win_dscKombinujući orkestracijske mogućnosti Ansible-a sa dubinom konfiguracije specifičnom za Windows koju nudi DSC. Na ovaj način postižete Najbolje od oba svijeta bez dupliranja napora.

WinRM i udaljeni pristup Windowsu za Ansible

Da bi Ansible mogao upravljati Windows serverima, bitno je razumjeti kako WinRM (Windows Remote Management) funkcionira . WinRM je Microsoftova ugrađena tehnologija za udaljenu administraciju zasnovana na HTTP/HTTPS-u i to je standardni kanal koji Ansible koristi za izvršavanje zadataka na Windows mašinama.

Prvi korak je ispravno konfiguriranje WinRM-a na ciljnim hostovima i kontrolnom čvoru na kojem se Ansible pokreće. To uključuje podešavanje autentifikacije, šifriranja, dozvola i često rad s funkcijama poput neinteraktivne prijave, gdje se naredbe izdaju bez aktivne korisničke sesije. Ovo neinteraktivno okruženje sesije komplicira zadatke kao što su ažuriranja Windowsa ili scenariji dvosmjerne autentifikacije , gdje trebate pristupiti drugom udaljenom resursu (na primjer, dijeljenju na drugom serveru).

Prednost korištenja Red Hat Ansible Automation Platforme je u tome što vam omogućava centralno i sigurno kodiranje akreditiva i mehanizama autentifikacije , čime se apstrahuje rješavanje ovih složenih slučajeva. Nadalje, platforma može koristiti i OpenSSH za pristup Windows Serveru , što postaje sve uobičajenije s modernim verzijama Windowsa.

U praksi, kombinovanje WinRM-a, Ansible-ovog upravljanja akreditivima i DSC mogućnosti omogućava vam izgradnju robusnih tokova automatizacije koji rade bez nadzora, čak i u okruženjima sa visokim sigurnosnim ograničenjima.

PowerShell DSC: Deklarativna platforma za konfiguraciju

PowerShell Desired State Configuration je deklarativna platforma za upravljanje konfiguracijom integrirana u Windows. Pomoću DSC-a definirate, u kodu, kako bi mašina trebala biti konfigurirana: koje uloge i funkcije trebaju biti instalirane, koje usluge trebaju biti aktivne, koji parametri registra, koje datoteke ili direktoriji trebaju postojati i tako dalje.

DSC konfiguracije opisuju željeno stanje za skup čvorova. Svaka upravljana mašina pokreće Lokalni upravitelj konfiguracije (LCM) , što je mehanizam koji čita ove konfiguracije, provjerava stvarno stanje i primjenjuje potrebne promjene. Osim toga, možete postaviti pull server koji centralizuje konfiguracije i s kojeg čvorovi ažuriraju i izvještavaju o usklađenosti.

DSC nije ograničen samo na Windows: putem Open Management Infrastructure ( OMI ) servera, može raditi i sa Linux mašinama . Međutim, ono što zaista pokazuje je u Windows okruženjima, gdje je zajednica razvila ogromnu kolekciju specijaliziranih resursa za zadatke raznolike poput konfigurisanja IIS-a, SQL Servera ili Active Directoryja.

Jedna od velikih prednosti DSC-a je ta što se fokusira na rezultat, a ne na korake . Deklarišete stanje (na primjer, "ova funkcija mora biti prisutna, ova usluga pokrenuta, ova vrijednost registra konfigurisana") i mehanizam se brine da stigne do tamo, provjeravajući i ispravljajući ako nešto odstupa tokom vremena.

Kako se Ansible uklapa u DSC: modul win_dsc i orkestracija

U teoriji, DSC biste mogli koristiti izolovano, ali u praksi je mnogo korisniji kada se kombinuje sa Ansible-om kao orkestracijskim slojem . Ansible se bavi inventarom, urednim izvršavanjem zadataka, koordinacijom između sistema i integracijom sa CI/CD kanalima, dok DSC pruža specifične resurse za manipulisanje unutrašnjim radom Windowsa.

Modul ansible.windows.win_dsc To je most između dva svijeta. Ovaj modul poziva DSC klasa resursa na ciljnom Windows hostu. U playbooku trebate definirati samo:

• naziv_resursa: naziv DSC resursa koji želite koristiti (na primjer, File, WindowsFeature, Service, Registry, xWebsite, Itd).
• Preostali parametri, koji direktno odgovaraju svojstva DSC resursa (npr. DestinationPath, Ensure, Name, State, Itd).

Kada Ansible izvrši zadatak, on prevodi te parametre u privremenu DSC konfiguraciju, primjenjuje je na host i prikuplja rezultat (uključujući i da li je došlo do ikakvih promjena). Ovo vam omogućava da ponovo koristite cijeli DSC katalog resursa bez potrebe za pisanjem posebnih Ansible modula za svaki slučaj.

U nastavku, tok izvršavanja prati dosljedan obrazac: Ansible šalje zadatak putem WinRM-a, Windows sistem generira DSC konfiguraciju na osnovu parametara, DSC mehanizam prvo poziva Test-TargetResource da provjeri trenutni status i, ako otkrije razlike, izvršava Set-TargetResource da primijeni promjene. Ansible prima izvještaj koji pokazuje da li je nešto izmijenjeno i sve relevantne poruke za otklanjanje grešaka.

Ovo spajanje je posebno snažno kada se kombinuje Ansible izvorni moduli za Windows (as win_file, win_service, win_regedit, win_psmoduleitd.) s DSC resursima za ona područja gdje DSC nudi finije opcije ili veću funkcionalnu pokrivenost.

Vrste DSC svojstava i kako ih mapirati u Ansibleu

Svaki DSC resurs definira skup svojstava sa dobro specificiran tip (string, boolean, nizovi, složeni PowerShell tipovi, itd.). Kada radite iz Ansible-a, morate prevesti ta svojstva u YAML sintaksa Održavanje ispravnog tipa. Modul win_dsc Obavlja dosta automatske konverzije, ali vrijedi znati neke ključne slučajeve.

Za jednostavne tipove kao što su o , mapiranje je jednostavno: nizovi pod navodnicima i mala slova logičkih vrijednosti u YAML stilu (true, false), izbjegavajući pisanje $true o $false kao što biste to učinili u PowerShellu. Za svojstva tipa , uobičajena stvar je korištenje ISO 8601 format (npr. "2019-02-22T13:57:31Z") i provjerite da li je vrijednost serijalizirana kao niz znakova tako što ćete je staviti u navodnike.

Svojstva tipa Oni su poseban slučaj. Budući da se ovaj tip ne može direktno serijalizirati u JSON, Ansible koristi konvenciju: definirate dva parametra odvojena sufiksom. _username y _password (npr. Credential_username y Credential_passwordModul generiše objekat. PSCredential na udaljenom hostu na osnovu te dvije vrijednosti.

Za tipove Ovo predstavlja rječnike zasnovane na prilagođenoj klasi resursa; u YAML-u se izražavaju kao mapa ključ-vrijednost. Trebali biste pregledati dokumentaciju resursa (obično u datoteci). <nombre_recurso>.schema.mof) da biste znali koji su ključevi dozvoljeni i kojeg je tipa svaki od njih. U praksi su definirani kao ugniježđeni rječnici unutar modula win_dsc.

Konačno, svojstva tipa i nizovi (], ]itd.) predstavljeni su kao rječnici ili YAML liste. Za nizove se preporučuje korištenje autentična YAML lista a ne niz sa vrijednostima odvojenim zarezima, jer se time izbjegava ručno parsiranje i smanjuje vjerovatnoća suptilnih grešaka.

Praktični primjeri korištenja DSC-a iz Ansible-a

Nakon što savladate osnovnu strukturu modula win_dscMožete kombinovati resurse za izgradnju vrlo sveobuhvatne priručnike za konfiguracijuNeki uobičajeni scenariji koji dobro funkcionišu sa DSC-om su:

• Upravljanje datotekama i direktorijima sa resursom Filekreiranje struktura foldera, postavljanje konfiguracijskih datoteka sa određenim sadržajem, osiguravanje da određeni elementi postoje ili su uklonjeni.
• Instaliranje Windows uloga i funkcija con WindowsFeatureIIS, .NET Framework, Telnet klijent, alati za administraciju, itd.
• Kontrola usluge sa resursom Service: status (pokrenuto/zaustavljeno), tip pokretanja (automatski, ručni), servisni račun itd.
• Postavke registra con Registrysigurnosne vrijednosti, vrijeme čekanja, parametri protokola, jačanje sistema.
• Napredne postavke IIS-a sa modulima kao što su xWebAdministration i resursa xWebsite, xWebAppPool, Itd

U svim ovim slučajevima, Ansible jednostavno opisuje parametre DSC resursa, dok DSC motor je odgovoran za provjeru i primjenu država. Nadalje, počevši od Ansiblea 2.8, modul win_dsc Automatski provjerava parametre u odnosu na definiciju resursa: ako koristite netačan naziv svojstva, ostavite obavezno polje praznim ili proslijedite vrijednost izvan raspona, zadatak će propasti s jasnom greškom.

Ako pokrenete Ansible sa visok nivo opširnosti (na primjer, -vvv)Izlaz će uključivati ​​detaljne informacije u invocation.module_args o korištenim i dostupnim opcijama, što je vrlo korisno i za otklanjanje grešaka i za otkrivanje koja polja možete konfigurirati u svakom resursu.

Također imajte na umu da možete koristiti parametar PsDscRunAsCredential Ovo omogućava DSC resursu da se pokreće kao drugi korisnik u odnosu na sistem. Ovo je veoma korisno za pristup registracijskom skupu. HKEY_CURRENT_USER korisnika s kojim je Ansible povezan ili za scenarije u kojima vam je potreban određeni sigurnosni kontekst.

Prilagođeni DSC resursi i PowerShell galerija

DSC resursi integrirani u Windows pokrivaju mnoge potrebe, ali prava snaga dolazi kada koristite resurse objavljene u PowerShell galeriji ili pakete trećih strana. Postoje moduli za sve: Active Directory, SQL Server, napredni IIS, sigurnosne politike i još mnogo toga.

Dostupne resurse možete otkriti pomoću cmdleta Find-DscResource ili direktnim pregledavanjem PowerShell galerije. Nakon što ste identificirali modul koji vas zanima (na primjer, xWebAdministration o SqlServerDsc), imate nekoliko načina da ga instalirate na svoje hostove:

• Ručna instalacija sa Install-Module iz PowerShella na ciljnom serveru.
• Korištenje Ansible modula win_psmodule za automatizaciju instalacije iz PowerShell galerije.
• Preuzmite unaprijed i kopirajte ručno na servere koji nemaju pristup internetu, spremanjem modula u direktorij uključen u PSModulePath (npr. C:\Program Files\WindowsPowerShell\Modules).

Prilikom rada u nepovezanim okruženjima, uobičajena strategija je korištenje servera s pristupom internetu za sačuvajte modul sa Save-Module u lokalnoj putanji, a zatim kopirajte taj direktorij na produkcijske mašine. Nakon toga, konfigurirajte PSModulePath Također se može podesiti pomoću Ansiblea, na primjer, pomoću modula win_pathtako da PowerShell može detektovati te resurse bez ručne intervencije.

Nakon instalacije, modul win_dsc može pozvati bilo koji resurs iz tih paketa jednostavno navođenje imena u resource_nameOvo otvara vrata ponovnoj upotrebi dobro uspostavljenih rješenja, kao što su Active Directory DSC moduli, za zadatke poput kreiranje korisnika, organizacijskih jedinica, grupa ili konfiguriranje politikasve se upravlja iz vaših priručnika.

Nadalje, postoji čak i PowerShell modul koji vam omogućava automatsko generiranje Ansible modula iz DSC resursa . Ideja je pregledati DSC resurs, kreirati Ansible modul koji mapira njegove parametre jedan po jedan i koristiti ga kao da je standardni modul. Ovi generatori mogu preuzeti resurse iz PowerShell galerije i kreirati desetine modula koji dodatno proširuju Windows ekosistem automatizacije pomoću Ansiblea.

Izvan DSC-a i Ansiblea: ostali alati za automatizaciju u Azureu

Ako vaša infrastruktura radi (ili će raditi) na Azureu, vrijedi obratiti pažnju na druge alate koji nadopunjuju PowerShell DSC i Ansible . Nije stvar u odabiru samo jednog, već u razumijevanju kako se oni uklapaju u cjelokupni lanac: kreiranje infrastrukture, konfiguracija sistema, implementacija aplikacija i tekuće operacije.

U domenu "infrastrukture kao koda", rješenja poput Terraforma ili Azureovih izvornih jezika (ARM predlošci i Bicep) omogućavaju vam definiranje mreža, virtualnih mašina, pohrane i upravljanih usluga korištenjem deklarativnih datoteka. Terraform koristi vlastiti HCL jezik, dok Bicep pojednostavljuje sintaksu starijih ARM predložaka, ali svi se dobro integriraju u CI/CD cjevovode i mogu se kombinirati s Ansibleom za konfigurisanje virtualnih mašina nakon što su kreirane.

Za fazu početna konfiguracija Linux mašinaAzure podržava cloud-initkoji izvršava skripte i konfigurira korisnike, pakete ili konfiguracijske datoteke pri prvom pokretanju. Datoteke #cloud-config, obično kodirani u base64, nezavisni su od distribucije i oslanjaju se na vlastiti upravitelj paketa svake distribucije bez potrebe za brigom.

U području operativne automatizacije , Azure Automation igra zanimljivu ulogu. Koristi runbook-ove (obično PowerShell ili Python skripte) koji se mogu izvršavati na zahtjev ili prema rasporedu, kako na Azure resursima tako i u lokalnim okruženjima koristeći Hybrid Runbook Worker. Nadalje, nudi upravljanu DSC uslugu koja vam omogućava objavljivanje konfiguracija i praćenje usklađenosti na skupu mašina.

Konačno, CI/CD i alati za upravljanje životnim ciklusom aplikacija poput Azure DevOps, Jenkins, Chef, Puppet i Packer upotpunjuju ekosistem. Svaki od njih pokriva dio slagalice: od kompajliranja i testiranja koda do generiranja prilagođenih slika mašina ili osiguravanja usklađenosti s propisima putem automatiziranog testiranja.

Upravljanje ažuriranjima, paketima i aplikacijama za Windows

Jedan od najvažnijih zadataka za svaki sistemski tim je ažuriranje Windowsa zakrpama i ažuriranjima . Microsoft nudi Windows Update, a u mnogim korporativnim okruženjima i Microsoft Configuration Manager (SCCM) za upravljanje implementacijom. Međutim, kada se pojave višestruka ponovna pokretanja, kratki rokovi za održavanje ili složeni zahtjevi za orkestraciju, ovi mehanizmi mogu zakazati ili se pokazati nepouzdanima.

Ansible Automation Platform olakšava kontrolirano izvršavanje ažuriranja , integrirajući se s Windows Updateom i automatski upravljajući potrebnim ponovnim pokretanjima, tako da jedan zadatak može instalirati desetine ili stotine zakrpa, a istovremeno održavati kontrolu nad konačnim stanjem čvorova.

Što se tiče instalacije aplikacija, Windowsu nedostaje objedinjeni izvorni upravitelj paketa poput onih koji se nalaze u Linux distribucijama. Microsoft Store nije dizajniran za automatizirano masovno instaliranje: nedostaju mu zreli CLI alati i uveliko se oslanja na grafički interfejs, što otežava korištenje u automatiziranim procesima.

Da bi se riješilo ovo ograničenje, Ansible integrira module koji omogućavaju osnovno upravljanje paketima u Windowsu i, prije svega, vrlo dobro funkcionira s rješenjima poput Chocolatey ili Winget u Windowsu , pružajući idempotentni pristup sličan klasičnom upravitelju paketa. Kombiniranjem Chocolatey, DSC i Ansible playbookova, možete standardizirati softverske kataloge za servere ili VDI uz vrlo malo ručnog napora.

Ako ovome dodate korištenje DSC resursa za provođenje konfiguracija registra, usluga i politika povezanih s ovim aplikacijama, postižete sveobuhvatnu automatizaciju životnog ciklusa softvera u vašim Windows okruženjima, od početne instalacije do konfiguracija osiguranja i periodičnih ažuriranja.

Obuka, najbolje prakse i usvajanje u Windows timovima

U mnogim IT timovima koji koriste isključivo Windows, početna tačka je i dalje administracija zasnovana na klikovima u grafičkoj konzoli i čarobnjacima. Uobičajeno je imati desetine ili stotine virtuelnih mašina koje rade na VMware-u ili Hyper-V-u, gdje se proces kreiranja servera obavlja ručno. Prelazak na automatizaciju obično dolazi kada se neko u timu umori od ponavljanja istih zadataka i počne pisati PowerShell skripte.

U ovom kontekstu, postavlja se razumno pitanje: „Da li da nastavim koristiti PowerShell samostalno, pređem na DSC, postavim Ansible... ili uradim sve odjednom?“ Najpragmatičniji odgovor je obično kombinovanje istih: iskoristiti postojeće znanje o PowerShellu i DSC-u i istovremeno uvesti Ansible kao sloj za orkestraciju kako bi se dobile mogućnosti standardizacije i integracije s drugim platformama.

Postoje specifični kursevi za Windows administratore koji počinju od nule u Ansibleu i fokusiraju se upravo na ovo: kako konfigurirati Windows sisteme za upravljanje pomoću Ansiblea, kako napisati efikasne playbookove, kako integrirati Ansible Tower ili AWX za pokretanje automatizacije iz centraliziranog i sigurnog web sučelja i kako ponovno upotrijebiti DSC kod iz ovih playbookova kako se ne bi bacio već obavljeni posao.

U praksi, mnogi timovi usvajaju evolucijsku strategiju: počevši od automatizacije jednostavnih zadataka (servisi, uloge, instalacija PowerShell modula), nastavljajući s DSC resursima za repetitivne konfiguracije (IIS, AD, SQL, sigurnosne politike) i postepeno integrirajući automatizaciju u proces isporuke aplikacija i ponavljajuće operativne zadatke.

Također je važno definirati smjernice za stil, kontrolu izvornog koda i testiranje playbookova i DSC konfiguracija, tako da automatizacija postane prava "infrastruktura kao kod", a ne samo šačica labavih skripti bez kontrole verzija ili revizija.

Kombinacijom PowerShell DSC-a, Ansible modula, WinRM-a, Chocolatey-a i Azure alata , stvara se robustan ekosistem gdje kreiranje mašina, detaljna konfiguracija, implementacija aplikacija i tekuće održavanje više ne zavise od ručnih RDP sesija. Rezultat je konzistentnije, auditibilnije i reproducibilnije okruženje gdje se promjene automatski dokumentiraju u kodu, a ljudske greške su drastično smanjene.