Pokročilá automatizácia vo Windowse s PowerShell DSC a Ansible

Informatec Digital » Zdroje » Pokročilá automatizácia vo Windowse s PowerShell DSC a Ansible

Ak pracujete s infraštruktúrou Windows a pojmy ako PowerShell, DSC, Ansible a automatizácia vám znejú povedome , pravdepodobne už viete, že ich efektívna kombinácia môže úplne zmeniť spôsob, akým spravujete servery. Prechod od manuálnych kliknutí v sprievodcovi Windowsom k plne deklaratívnej a opakovateľnej konfigurácii predstavuje zásadný rozdiel medzi neustálym hasením požiarov a plne kontrolovaným prostredím.

V tomto článku sa hlbšie ponoríme do toho, ako Konfigurácia požadovaného stavu PowerShellu (DSC) a Ansible sa k sebe hodia Akú úlohu zohrávajú technológie ako WinRM, Azure Automation, Terraform alebo cloud-init pri správe Windowsu (a Linuxu) vo veľkom meradle a ako môžete vďaka modulu využiť existujúce zdroje DSC od Ansible? win_dscUvidíte praktické príklady, prípady použitia z reálneho sveta a kritériá pre rozhodovanie o tom, kedy použiť natívny DSC, moduly Ansible alebo iné automatizačné prístupy.

Prehľad: Automatizácia systému Windows pomocou PowerShellu, DSC a Ansible

PowerShell a Ansible zdieľajú rovnaký cieľ : automatizovať konfiguráciu a správu vašich systémov reprodukovateľným spôsobom. Rozdiel spočíva v ich prístupe. DSC je platforma na správu konfigurácie integrovaná do PowerShellu, silne zameraná na Windows (hoci môže fungovať aj s Linuxom prostredníctvom OMI), zatiaľ čo Ansible je viacúčelový, multiplatformový automatizačný engine určený na orchestráciu hybridných a heterogénnych infraštruktúr z jedného miesta.

S platformou Red Hat Ansible Automation Platform môžete automatizovať servery Windows bez inštalácie ďalších agentov, využívať WinRM alebo OpenSSH ako pripojovacie kanály a využívať zdroje DSC, moduly Ansible a skripty PowerShell. Toto všetko je organizované prostredníctvom YAML playbookov , kde definujete stav, ktorý by mal každý hostiteľ dosiahnuť, a to v systéme Windows aj Linux.

Konfigurácia požadovaného stavu PowerShellu na druhej strane ponúka stovky špecializovaných zdrojov na konfiguráciu takmer všetkých súčastí systému Windows: služieb, systémových funkcií, IIS, SQL Servera, služby Active Directory, registra, súborov atď. Tieto zdroje zahŕňajú logiku kontroly a použitia požadovaného stavu, takže stačí deklarovať „ako chcete, aby bol počítač“.

Kľúčové je, že z Ansible môžete tieto DSC zdroje používať priamo prostredníctvom modulu ansible.windows.win_dscKombináciou orchestračnej sily Ansible s hĺbkou konfigurácie špecifickou pre Windows, ktorú ponúka DSC. Týmto spôsobom dosiahnete To najlepšie z oboch svetov bez duplicitného úsilia.

WinRM a vzdialený prístup k Windowsu pre Ansible

Aby Ansible mohol spravovať servery so systémom Windows, je nevyhnutné pochopiť, ako funguje WinRM (Windows Remote Management) . WinRM je vstavaná technológia spoločnosti Microsoft pre vzdialenú správu založená na protokole HTTP/HTTPS a je to štandardný kanál, ktorý Ansible používa na vykonávanie úloh na počítačoch so systémom Windows.

Prvým krokom je správna konfigurácia WinRM na cieľových hostiteľoch a riadiacom uzle, kde beží Ansible. To zahŕňa úpravu overovania, šifrovania, oprávnení a často aj riešenie funkcií, ako je neinteraktívne prihlásenie, kde sa príkazy vydávajú bez aktívnej relácie používateľa. Toto neinteraktívne prostredie relácie komplikuje úlohy, ako sú aktualizácie systému Windows alebo scenáre obojsmerného overovania , kde potrebujete prístup k druhému vzdialenému zdroju (napríklad zdieľanému priečinku na inom serveri).

Výhodou používania platformy Red Hat Ansible Automation Platform je, že umožňuje centrálne a bezpečne kódovať poverenia a mechanizmy autentifikácie , čím sa abstrahuje riešenie týchto zložitých prípadov. Platforma navyše dokáže na prístup k serveru Windows Server použiť aj OpenSSH , čo sa v moderných verziách systému Windows stáva čoraz bežnejším.

V praxi vám kombinácia WinRM, správy poverení Ansible a funkcií DSC umožňuje vytvárať robustné automatizované toky , ktoré bežia bez dozoru, a to aj v prostrediach s vysokými bezpečnostnými obmedzeniami.

PowerShell DSC: Deklaratívna konfiguračná platforma

Konfigurácia požadovaného stavu v PowerShelle je deklaratívna platforma na správu konfigurácie integrovaná do systému Windows. Pomocou DSC definujete v kóde, ako má byť počítač nakonfigurovaný: ktoré roly a funkcie by mali byť nainštalované, ktoré služby by mali byť aktívne, ktoré parametre registra, ktoré súbory alebo adresáre by mali existovať atď.

Konfigurácie DSC opisujú požadovaný stav pre skupinu uzlov. Každý spravovaný počítač spúšťa lokálneho správcu konfigurácie (LCM) , čo je nástroj, ktorý číta tieto konfigurácie, kontroluje skutočný stav a aplikuje potrebné zmeny. Okrem toho môžete nastaviť pull server , ktorý centralizuje konfigurácie a z ktorého uzly aktualizujú a hlásia súlad s predpismi.

DSC nie je obmedzený len na Windows: prostredníctvom servera Open Management Infrastructure ( OMI ) môže fungovať aj so systémom Linux . Skutočne však vyniká v prostrediach Windows, kde komunita vyvinula rozsiahlu kolekciu špecializovaných zdrojov pre úlohy od konfigurácie IIS, SQL Servera až po Active Directory.

Jednou z veľkých výhod DSC je, že sa zameriava na výsledok, nie na kroky . Deklarujete stav (napríklad „táto funkcia musí byť prítomná, táto služba musí byť spustená, táto hodnota registra musí byť nakonfigurovaná“) a engine sa postará o dosiahnutie tohto stavu, kontroluje a opravuje prípadné odchýlky v priebehu času.

Ako Ansible zapadá do DSC: modul win_dsc a orchestrácia

Teoreticky by ste mohli DSC používať izolovane, ale v praxi je oveľa užitočnejší v kombinácii s Ansible ako orchestračnou vrstvou . Ansible sa stará o inventarizáciu, riadené vykonávanie úloh, koordináciu medzi systémami a integráciu s kanálmi CI/CD, zatiaľ čo DSC poskytuje špecifické zdroje na manipuláciu s vnútorným fungovaním systému Windows.

Modul ansible.windows.win_dsc Je to most medzi oboma svetmi. Tento modul vyvoláva Trieda zdrojov DSC na cieľovom hostiteľovi so systémom Windows. V playbooku stačí definovať:

• názov_zdroja: názov zdroja DSC, ktorý chcete použiť (napríklad File, WindowsFeature, Service, Registry, xWebsite, Atď).
• Zvyšné parametre, ktoré priamo zodpovedajú vlastnosti zdroja DSC (napríklad DestinationPath, Ensure, Name, State, Atď).

Keď Ansible vykoná úlohu, preloží tieto parametre do dočasnej konfigurácie DSC, použije ju na hostiteľa a zhromaždí výsledok (vrátane toho, či došlo k nejakým zmenám). To vám umožňuje opätovne použiť celý katalóg zdrojov DSC bez toho, aby ste museli pre každý prípad písať špecifické moduly Ansible.

V nasledujúcom texte sa tok vykonávania riadi konzistentným vzorom: Ansible odošle úlohu cez WinRM, systém Windows vygeneruje konfiguráciu DSC na základe parametrov, DSC engine najprv zavolá Test-TargetResource skontrolovať aktuálny stav a ak zistí rozdiely, vykoná Set-TargetResource aplikovať zmeny. Ansible dostane správu s informáciou o tom, či bolo niečo upravené, a všetky relevantné správy na ladenie.

Toto spojenie je obzvlášť silné, keď kombinujete Natívne moduly Ansible pre Windows (as win_file, win_service, win_regedit, win_psmoduleatď.) so zdrojmi DSC pre tie oblasti, kde DSC ponúka lepšie možnosti alebo väčšie funkčné pokrytie.

Typy vlastností DSC a ako ich namapovať v Ansible

Každý zdroj DSC definuje sadu vlastností s dobre špecifikovaný typ (reťazec, boolovská hodnota, polia, komplexné typy PowerShell atď.). Pri práci z Ansible musíte tieto vlastnosti preložiť do Syntax YAML Udržiavanie správneho typu. Modul win_dsc Vykonáva veľa automatickej konverzie, ale stojí za to poznať niektoré kľúčové prípady.

Pre jednoduché typy ako napr. o , mapovanie je priamočiare: reťazce v úvodzovkách a malé booleovské hodnoty v štýle YAML (true, false), vyhýbanie sa písaniu $true o $false ako by ste to urobili v PowerShelle. Pre vlastnosti typu , obvyklé je použiť Formát ISO 8601 (napríklad "2019-02-22T13:57:31Z") a uistite sa, že hodnota je serializovaná ako reťazec, a to tak, že ju uzatvoríte do úvodzoviek.

Vlastnosti typu Sú špeciálnym prípadom. Keďže tento typ nemožno priamo serializovať do JSON, Ansible používa konvenciu: definujete dva parametre oddelené príponou. _username y _password (napríklad Credential_username y Credential_passwordModul generuje objekt. PSCredential na vzdialenom hostiteľovi na základe týchto dvoch hodnôt.

Pre typy Tieto predstavujú slovníky založené na vlastnej triede zdrojov; v YAML sú vyjadrené ako mapa kľúč-hodnota. Mali by ste si preštudovať dokumentáciu k zdrojom (zvyčajne v súbore). <nombre_recurso>.schema.mof) aby ste vedeli, ktoré kľúče sú povolené a akého typu každý z nich je. V praxi sú definované ako vnorené slovníky v rámci modulu win_dsc.

Nakoniec, vlastnosti typu a polia (], ]atď.) sú reprezentované ako slovníky alebo zoznamy YAML. Pre polia sa odporúča použiť autentický zoznam YAML a nie reťazec s hodnotami oddelenými čiarkami, pretože sa tým zabráni manuálnej analýze a zníži sa pravdepodobnosť jemných chýb.

Praktické príklady použitia DSC od Ansible

Keď zvládnete základnú štruktúru modulu win_dscMôžete kombinovať zdroje na stavbu veľmi komplexné konfiguračné príručkyNiektoré bežné scenáre, ktoré dobre fungujú s DSC, sú:

• Správa súborov a adresárov so zdrojom Filevytváranie štruktúr priečinkov, nasadenie konfiguračných súborov so špecifickým obsahom, zabezpečenie existencie alebo odstránenia určitých prvkov.
• Inštalácia rolí a funkcií systému Windows s WindowsFeatureIIS, .NET Framework, Telnet klient, nástroje na správu atď.
• Kontrola servisu so zdrojom Service: stav (spustené/zastavené), typ spustenia (automatické, manuálne), servisný účet atď.
• Nastavenia registra s Registrybezpečnostné hodnoty, čakacie doby, parametre protokolu, posilnenie systému.
• Rozšírené nastavenia IIS s modulmi ako napr. xWebAdministration a zdroje xWebsite, xWebAppPool, Atď

Vo všetkých týchto prípadoch Ansible jednoducho popisuje parametre zdroja DSC, zatiaľ čo Motor DSC je zodpovedný za kontrolu a aplikáciu štát. Okrem toho, počnúc verziou Ansible 2.8, modul win_dsc Automaticky overuje parametre oproti definícii zdroja: ak použijete nesprávny názov vlastnosti, necháte povinné pole prázdne alebo zadáte hodnotu mimo rozsahu, úloha zlyhá s jasnou chybou.

Ak spustíte Ansible s vysoká úroveň výrečnosti (napríklad -vvv)Výstup bude obsahovať podrobné informácie v invocation.module_args o použitých možnostiach a tých, ktoré boli dostupné, čo je veľmi užitočné ako pre ladenie, tak aj pre objavenie polí, ktoré môžete v každom zdroji konfigurovať.

Tiež si všimnite, že môžete použiť parameter PsDscRunAsCredential Toto umožňuje zdroju DSC spustiť sa pod iným používateľom ako systém. Toto je veľmi užitočné pre prístup k registračnému úľu. HKEY_CURRENT_USER používateľa, ku ktorému je Ansible pripojený, alebo v scenároch, kde potrebujete špecifický bezpečnostný kontext.

Vlastné zdroje DSC a galéria PowerShellu

Zdroje DSC integrované v systéme Windows pokrývajú mnoho potrieb, ale skutočná sila sa prejaví pri použití zdrojov publikovaných v galérii PowerShell alebo balíkov tretích strán. Existujú moduly pre všetko: Active Directory, SQL Server, pokročilé služby IIS, bezpečnostné politiky a ďalšie.

Dostupné zdroje môžete zistiť pomocou cmdletu Find-DscResource alebo priamym prehliadaním galérie PowerShell. Keď identifikujete modul, o ktorý máte záujem (napríklad xWebAdministration o SqlServerDsc), máte niekoľko spôsobov, ako ho nainštalovať na svoje hostiteľské počítače:

• Manuálna inštalácia s Install-Module z PowerShellu na cieľovom serveri.
• Používanie modulu Ansible win_psmodule automatizovať inštaláciu z galérie PowerShell.
• Stiahnite si vopred a skopírujte ručne na servery, ktoré nemajú prístup na internet, uložením modulu do adresára, ktorý je súčasťou PSModulePath (napríklad C:\Program Files\WindowsPowerShell\Modules).

Pri práci v odpojenom prostredí je bežnou stratégiou použitie servera s prístupom na internet uložte modul pomocou Save-Module v lokálnej ceste a potom skopírujte tento adresár do produkčných počítačov. Potom nakonfigurujte PSModulePath Dá sa to upraviť aj pomocou Ansible, napríklad pomocou modulu win_pathaby PowerShell mohol tieto zdroje zistiť bez manuálneho zásahu.

Po nainštalovaní modulu win_dsc môže vyvolať ľubovoľný zdroj z týchto balíkov jednoducho uviesť meno resource_nameTo otvára dvere k opätovnému použitiu osvedčených riešení, ako sú moduly Active Directory DSC, pre úlohy ako vytvárať používateľov, organizačné jednotky, skupiny alebo konfigurovať politikyvšetko spravované z vašich herných plánov.

Okrem toho existuje dokonca aj modul PowerShell, ktorý umožňuje automaticky generovať moduly Ansible zo zdrojov DSC . Cieľom je skontrolovať zdroj DSC, vytvoriť modul Ansible, ktorý mapuje jeho parametre jeden po druhom, a používať ho, akoby išlo o štandardný modul. Tieto generátory dokážu stiahnuť zdroje z galérie PowerShell a vytvoriť desiatky modulov, ktoré ďalej rozširujú ekosystém automatizácie Windowsu pomocou Ansible.

Viac ako DSC a Ansible: ďalšie automatizačné nástroje v Azure

Ak vaša infraštruktúra beží (alebo bude bežať) na Azure, oplatí sa sledovať aj ďalšie nástroje, ktoré dopĺňajú PowerShell DSC a Ansible . Nejde o výber len jedného, ​​ale o pochopenie toho, ako zapadajú do celkového reťazca: vytváranie infraštruktúry, konfigurácia systému, nasadenie aplikácií a prebiehajúca prevádzka.

V oblasti „infraštruktúry ako kódu“ umožňujú riešenia ako Terraform alebo natívne jazyky Azure (ARM Templates a Bicep) definovať siete, virtuálne počítače, úložiská a spravované služby pomocou deklaratívnych súborov. Terraform používa vlastný jazyk HCL, zatiaľ čo Bicep zjednodušuje syntax starších ARM šablón, ale všetky sa dobre integrujú do CI/CD pipeline a možno ich kombinovať s Ansible na konfiguráciu virtuálnych počítačov po ich vytvorení.

Pre fázu počiatočná konfigurácia počítačov so systémom LinuxAzure podporuje cloud-initktorý spúšťa skripty a konfiguruje používateľov, balíky alebo konfiguračné súbory pri prvom spustení. Súbory #cloud-config, zvyčajne kódované v base64, sú nezávislé od distribúcie a spoliehajú sa na vlastného správcu balíkov každej distribúcie bez toho, aby ste sa museli obávať.

V oblasti operačnej automatizácie hrá zaujímavú úlohu Azure Automation. Používa runbooky (zvyčajne skripty PowerShell alebo Python), ktoré je možné spúšťať na požiadanie alebo podľa plánu, a to ako na zdrojoch Azure, tak aj v lokálnych prostrediach pomocou Hybrid Runbook Worker. Okrem toho ponúka spravovanú službu DSC , ktorá umožňuje publikovať konfigurácie a monitorovať súlad s predpismi naprieč skupinou počítačov.

Nakoniec, ekosystém dopĺňajú nástroje CI/CD a správy životného cyklu aplikácií, ako napríklad Azure DevOps, Jenkins, Chef, Puppet a Packer . Každý z nich pokrýva jednu časť skladačky: od kompilácie a testovania kódu až po generovanie vlastných obrazov počítačov alebo zabezpečenie súladu s predpismi prostredníctvom automatizovaného testovania.

Aktualizácie, balíky a správa aplikácií systému Windows

Jednou z najdôležitejších úloh každého systémového tímu je udržiavanie systému Windows v aktuálnom stave pomocou záplat a aktualizácií . Spoločnosť Microsoft ponúka službu Windows Update a v mnohých podnikových prostrediach aj Microsoft Configuration Manager (SCCM) na správu nasadenia. Keď však do hry vstupujú viaceré reštarty, krátke časové okná údržby alebo zložité požiadavky na orchestráciu, tieto mechanizmy môžu zlyhať alebo sa ukázať ako nespoľahlivé.

Platforma Ansible Automation umožňuje kontrolované vykonávanie aktualizácií , integruje sa so službou Windows Update a automaticky spravuje potrebné reštarty, takže jedna úloha dokáže nainštalovať desiatky alebo stovky záplat a zároveň si zachovať kontrolu nad konečným stavom uzlov.

Pokiaľ ide o inštaláciu aplikácií, systému Windows chýba jednotný natívny správca balíkov , aký sa nachádza v distribúciách Linuxu. Obchod Microsoft Store nie je určený na automatizované hromadné nasadenie: chýbajú mu vyspelé nástroje CLI a vo veľkej miere sa spolieha na grafické rozhranie, čo sťažuje jeho použitie v automatizovaných procesoch.

Aby sa toto obmedzenie vyriešilo, Ansible integruje moduly, ktoré umožňujú základnú správu balíkov v systéme Windows a predovšetkým veľmi dobre spolupracuje s riešeniami ako Chocolatey alebo Winget v systéme Windows , čím poskytuje idempotentný prístup podobný klasickému správcovi balíkov. Kombináciou playbookov Chocolatey, DSC a Ansible môžete štandardizovať softvérové ​​katalógy pre servery alebo VDI s veľmi malým manuálnym úsilím.

Ak k tomu pridáte použitie zdrojov DSC na vynucovanie konfigurácií registra, služieb a politík súvisiacich s týmito aplikáciami, dosiahnete komplexnú automatizáciu životného cyklu softvéru vo vašich prostrediach Windows, od počiatočnej inštalácie až po konfigurácie sprísňovania a pravidelné aktualizácie.

Školenia, osvedčené postupy a zavádzanie v tímoch systému Windows

V mnohých IT tímoch, ktoré pracujú výlučne s Windowsom, je východiskovým bodom stále administrácia založená na kliknutiach v grafickej konzole a sprievodcoch. Je bežné, že na VMware alebo Hyper-V bežia desiatky alebo stovky virtuálnych počítačov, kde sa proces vytvárania servera vykonáva manuálne. Prechod na automatizáciu zvyčajne nastáva, keď sa niekto v tíme unaví opakovaním tých istých úloh a začne písať PowerShell skripty.

V tejto súvislosti vyvstáva rozumná otázka: „Mám naďalej používať PowerShell samostatne, prejsť na DSC, nastaviť Ansible... alebo to urobiť všetko naraz?“ Najpragmatickejšou odpoveďou je zvyčajne ich kombinácia: využitie existujúcich znalostí PowerShellu a DSC a zároveň zavedenie Ansible ako orchestračnej vrstvy, aby sa získali možnosti štandardizácie a integrácie s inými platformami.

Existujú špecifické kurzy pre administrátorov Windowsu , ktoré začínajú od nuly v Ansible a zameriavajú sa presne na toto: ako nakonfigurovať systémy Windows na správu pomocou Ansible, ako písať efektívne playbooky, ako integrovať Ansible Tower alebo AWX na spúšťanie automatizácií z centralizovaného a zabezpečeného webového rozhrania a ako opätovne použiť kód DSC z týchto playbookov, aby sa nevyhodila už vykonaná práca.

V praxi mnoho tímov prijíma evolučnú stratégiu: začínajú automatizáciou jednoduchých úloh (služby, role, inštalácia modulov PowerShell), pokračujú zdrojmi DSC pre opakujúce sa konfigurácie (IIS, AD, SQL, bezpečnostné politiky) a postupne integrujú automatizáciu do procesu doručovania aplikácií a opakujúcich sa prevádzkových úloh.

Je tiež dôležité definovať štýlové pravidlá, kontrolu zdrojového kódu a testovanie playbookov a konfigurácií DSC, aby sa automatizácia stala skutočnou „infraštruktúrou ako kódom“ a nie len hŕstkou voľných skriptov bez kontroly verzií alebo revízií.

Kombináciou PowerShell DSC, modulov Ansible, WinRM, Chocolatey a nástrojov Azure sa vytvára robustný ekosystém, v ktorom sa vytváranie počítačov, podrobná konfigurácia, nasadzovanie aplikácií a priebežná údržba už nespoliehajú na manuálne relácie RDP. Výsledkom je konzistentnejšie, auditovateľnejšie a reprodukovateľnejšie prostredie, kde sa zmeny automaticky dokumentujú v kóde a ľudské chyby sa drasticky znižujú.