Η National Environmental Satellite Data Information Service (NESDIS) μείωσε το κόστος διαχείρισης διαμόρφωσης για το Red Hat Enterprise Linux (RHEL) κατά 35% με τη μετάβαση από το Puppet Enterprise στο Ansible Tower. Σε αυτό το βίντεο "πώς το κάναμε", ο μηχανικός συστημάτων Michael Rau εξηγεί την περίπτωση αυτής της μετεγκατάστασης, μοιράζοντας χρήσιμες συμβουλές και διδάγματα από τη μετάβαση από το ένα SCM στο άλλο.
Από αυτό το βίντεο θα μάθετε:
- πώς να δικαιολογήσει στη διοίκηση τη σκοπιμότητα της μετάβασης από Puppet Enterprise σε Ansible Tower.
- ποιες στρατηγικές να χρησιμοποιηθούν για να γίνει η μετάβαση όσο το δυνατόν πιο ομαλή.
- συμβουλές για τη διακωδικοποίηση του PE στο Ansible Playbook.
- Συστάσεις για βέλτιστη εγκατάσταση του Ansible Tower.
Γεια σε όλους, με λένε Michael Rau, είμαι Ανώτερος Μηχανικός Συστημάτων στην ActioNet, η οποία εργάζεται για την υπηρεσία NESDIS της Εθνικής Υπηρεσίας Ωκεανών και Ατμόσφαιρας (NOAA). Σήμερα θα μιλήσουμε για το κόψιμο χορδών - τη δική μου εμπειρία μετανάστευσης από την Puppet Enterprise στον Ansible Tower. Το θέμα αυτής της παρουσίασης είναι να «ρίξω μια ματιά στις ουλές μου» που έμειναν αφότου έκανα αυτή τη μετάβαση νωρίτερα μέσα στο έτος. Θέλω να μοιραστώ όσα έμαθα μέσα από αυτή τη διαδικασία. Έτσι, όταν αναλαμβάνετε κάτι τέτοιο, χρησιμοποιώντας την εμπειρία μου, μπορείτε να κάνετε τη μετάβαση χωρίς καμία επιπλέον δουλειά.
Βλέπετε παρόμοιες διαφάνειες στην αρχή κάθε παρουσίασης στο Ansible Fest. Αυτή η διαφάνεια περιγράφει το ιστορικό της αυτοματοποίησης της εταιρείας μου. Δεν είμαι νέος σε αυτό γιατί χρησιμοποιώ το Puppet/Puppet Enterprise από το 2007. Άρχισα να δουλεύω με την Ansible το 2016 και, όπως πολλοί άλλοι χρήστες αυτού του προϊόντος, με τράβηξε η δυνατότητα "κόλπας" χρησιμοποιώντας τη γραμμή εντολών και απλά σενάρια (βιβλίοι). Στα τέλη του 2017, προσέγγισα τη διοίκησή μου σχετικά με τους ισχυρούς λόγους για να μετακομίσω στο Ansible Tower. Σε ένα λεπτό θα σας πω για τους λόγους που με ώθησαν να κάνω αυτό το βήμα. Αφού έλαβα τη συγκατάθεση της διοίκησης, χρειάστηκαν αρκετοί ακόμη μήνες για να ολοκληρωθεί το σχέδιο και έκανα τη μετάβαση τον Ιανουάριο-Φεβρουάριο του τρέχοντος έτους. Έτσι, εγκαταλείψαμε εντελώς το Puppet υπέρ του Ansible, και είναι υπέροχο.
Αυτό που με ελκύει περισσότερο για το Ansible είναι η ικανότητα να γράφω και να χρησιμοποιώ ρόλους και βιβλία. Οι ρόλοι είναι εξαιρετικοί για τη δημιουργία διαφορετικών αλλά συναφών εργασιών και την τοποθέτηση όλων των δεδομένων που σχετίζονται με αυτές τις εργασίες σε ένα μέρος. Ένα playbook είναι μια σύνταξη YAML, ένα αρχείο σεναρίου που περιγράφει ενέργειες για έναν ή περισσότερους κεντρικούς υπολογιστές. Ενημερώνω τους χρήστες για αυτές τις δυνατότητες, κυρίως τους προγραμματιστές λογισμικού. Το Ansible Tower σάς δίνει τη δυνατότητα να πείτε, "όχι, δεν έχετε πρόσβαση σε κέλυφος, αλλά σας δίνω τη δυνατότητα να εκτελέσετε όλες τις διαδικασίες του Tower και να επανεκκινήσετε την υπηρεσία όταν τη χρειάζεστε." Θα σας πω για το εργασιακό περιβάλλον και τον εξοπλισμό που χρησιμοποιούμε.
Αυτό είναι ένα ομοσπονδιακό LAN, 7 φυσικοί ιστότοποι συνδεδεμένοι μέσω cloud MPLS, 140 διακομιστές RHEL, το 99% των οποίων είναι εικονικοί (vSphere), υλικό SuperMicro, αποθήκευση δικτύου NexentaStore, ένα σύνολο μεταγωγέων Cisco, Arista και Cumulus και ενοποιημένη διαχείριση απειλών Fortinet UTM εργαλεία σε κάθε ιστότοπο.
Το ομοσπονδιακό δίκτυο σημαίνει ότι πρέπει να χρησιμοποιήσω όλα τα μέτρα ασφάλειας πληροφοριών που προβλέπονται από το νόμο. Θα πρέπει να έχετε κατά νου ότι το Puppet Enterprise δεν υποστηρίζει το μεγαλύτερο μέρος του υλικού που χρησιμοποιούμε. Αναγκαζόμαστε να χρησιμοποιήσουμε υλικό προϋπολογισμού επειδή οι κρατικές υπηρεσίες αντιμετωπίζουν προβλήματα με τη χρηματοδότηση αυτού του στοιχείου εξόδων. Γι' αυτό αγοράζουμε υλικό SuperMicro και συναρμολογούμε τον εξοπλισμό μας από μεμονωμένα εξαρτήματα, η συντήρηση των οποίων είναι εγγυημένη από κρατικές συμβάσεις. Χρησιμοποιούμε Linux και αυτός είναι ένας από τους σημαντικούς λόγους για τη μετάβαση στο Ansible.
Η ιστορία μας με το Puppet είναι η εξής.
Το 2007, είχαμε ένα μικρό δίκτυο 20-25 κόμβων, στο οποίο αναπτύξαμε το Puppet. Βασικά, αυτοί οι κόμβοι ήταν απλώς «κουτιά» του RedHat. Το 2010, ξεκινήσαμε να χρησιμοποιούμε τη διεπαφή ιστού Puppet Dashboard για 45 κόμβους. Καθώς το δίκτυο συνέχισε να επεκτείνεται, μεταφερθήκαμε στο PE 2014 το 3.3, κάνοντας μια πλήρη μετάβαση με μια επανεγγραφή δήλωσης για 75 κόμβους. Αυτό έπρεπε να γίνει γιατί στους Puppet αρέσει να αλλάζουν τους κανόνες του παιχνιδιού και σε αυτή την περίπτωση άλλαξαν εντελώς τη γλώσσα. Ένα χρόνο αργότερα, όταν έληξε η υποστήριξη για την έκδοση 3 του Puppet Enterprise, αναγκαστήκαμε να μεταφερθούμε στο PE 2015.2. Έπρεπε να ξαναγράψουμε ξανά το μανιφέστο για τους νέους διακομιστές και να αγοράσουμε μια άδεια χρήσης με αποθεματικό 100 κόμβων, αν και εκείνη την εποχή είχαμε μόνο 85 κόμβους.
Έχουν περάσει μόνο 2 χρόνια και χρειάστηκε να κάνουμε ξανά πολλή δουλειά για να μεταφερθούμε στη νέα έκδοση PE 2016.4. Αγοράσαμε μια άδεια για 300 κόμβους, έχοντας μόνο 130. Χρειάστηκε και πάλι να κάνουμε σημαντικές αλλαγές στο μανιφέστο επειδή η νέα έκδοση της γλώσσας είχε διαφορετική σύνταξη από τη γλώσσα της έκδοσης του 2015. Ως αποτέλεσμα, το SCM μας άλλαξε από τον έλεγχο έκδοσης SVN στο Bitbucket (Git). Αυτή ήταν η «σχέση» μας με την Puppet.
Έτσι, έπρεπε να εξηγήσω στη διοίκηση γιατί έπρεπε να μεταφερθούμε σε διαφορετικό SCM χρησιμοποιώντας τα ακόλουθα επιχειρήματα. Το πρώτο είναι η υψηλή τιμή της υπηρεσίας. Μίλησα με τα παιδιά στο RedHat και μου είπαν ότι το κόστος λειτουργίας ενός δικτύου 300 κόμβων με το Ansible Tower είναι το μισό κόστος του Puppet Enterprise. Εάν αγοράσετε επίσης Ansible Engine, το κόστος θα είναι περίπου το ίδιο, αλλά θα έχετε πολύ περισσότερες δυνατότητες από το PE. Δεδομένου ότι είμαστε μια κρατική εταιρεία που χρηματοδοτείται από τον ομοσπονδιακό προϋπολογισμό, αυτό είναι ένα αρκετά ισχυρό επιχείρημα.
Το δεύτερο επιχείρημα είναι η πολυχρηστικότητα. Το Puppet υποστηρίζει μόνο υλικό που διαθέτει Puppet agent. Αυτό σημαίνει ότι πρέπει να εγκατασταθεί ένας πράκτορας σε όλους τους διακόπτες και πρέπει να είναι η πιο πρόσφατη έκδοση. Και αν μερικοί από τους διακόπτες σας υποστηρίζουν μια έκδοση και κάποιοι υποστηρίζουν μια άλλη, θα χρειαστεί να εγκαταστήσετε μια νέα έκδοση του παράγοντα PE σε αυτούς, ώστε να μπορούν όλοι να λειτουργούν στο ίδιο σύστημα SCM.
Το σύστημα Ansible Tower λειτουργεί διαφορετικά επειδή δεν διαθέτει πράκτορες, αλλά διαθέτει μονάδες που υποστηρίζουν τους διακόπτες Cisco και όλους τους άλλους διακόπτες. Αυτό το SCM υποστηρίζει Qubes OS, Linux και 4.NET UTM. Το Ansible Tower υποστηρίζει επίσης ελεγκτές αποθήκευσης δικτύου NexentaStore που βασίζονται στον πυρήνα Illumos, ένα λειτουργικό σύστημα ανοιχτού κώδικα που βασίζεται σε Unix. Αυτή είναι πολύ μικρή υποστήριξη, αλλά το Ansible Tower το κάνει ούτως ή άλλως.
Το τρίτο επιχείρημα, που είναι πολύ σημαντικό τόσο για μένα όσο και για τη διοίκησή μας, είναι η ευκολία χρήσης. Πέρασα 10 χρόνια για να κατακτήσω τις ενότητες Puppet και τον κώδικα δήλωσης, αλλά έμαθα το Ansible μέσα σε μια εβδομάδα γιατί αυτό το SCM είναι πολύ πιο εύκολο να δουλέψεις. Εάν εκτελείτε εκτελέσιμα αρχεία, φυσικά, εκτός και αν το κάνετε άσκοπα, τότε έξυπνοι και ανταποκρινόμενοι χειριστές συνεργάζονται μαζί τους. Τα βιβλία παιχνιδιού που βασίζονται στο YAML είναι εύκολα στην εκμάθηση και γρήγορη χρήση. Όσοι δεν έχουν ακούσει ποτέ πριν για το YAML μπορούν απλά να διαβάσουν τα σενάρια και να καταλάβουν εύκολα πώς λειτουργεί.
Για να είμαι ειλικρινής, το Puppet κάνει τη δουλειά σας ως προγραμματιστή πολύ πιο δύσκολη επειδή βασίζεται στη χρήση του Puppet Master. Είναι το μόνο μηχάνημα που επιτρέπεται να επικοινωνεί με πράκτορες Puppet. Εάν έχετε κάνει οποιεσδήποτε αλλαγές στο μανιφέστο και θέλετε να δοκιμάσετε τον κώδικά σας, πρέπει να ξαναγράψετε τον κώδικα για το Puppet Master, δηλαδή να διαμορφώσετε το αρχείο Puppet Master /etc/hosts ώστε να συνδέσει όλους τους πελάτες και να ξεκινήσει την υπηρεσία Puppet Server. Μόνο μετά από αυτό θα μπορείτε να δοκιμάσετε τη λειτουργία του εξοπλισμού δικτύου σε έναν κεντρικό υπολογιστή. Αυτή είναι μια αρκετά επώδυνη διαδικασία.
Όλα είναι πολύ πιο απλά στο Ansible. Το μόνο που χρειάζεται να κάνετε είναι να αναπτύξετε κώδικα για ένα μηχάνημα που μπορεί να επικοινωνεί μέσω SSH με τον υπό δοκιμή κεντρικό υπολογιστή. Αυτό είναι πολύ πιο εύκολο να δουλέψεις.
Το επόμενο μεγάλο πλεονέκτημα του Ansible Tower είναι η δυνατότητα αξιοποίησης του υπάρχοντος συστήματος υποστήριξης και διατήρησης της υπάρχουσας διαμόρφωσης υλικού. Αυτό το SCM χρησιμοποιεί όλες τις διαθέσιμες πληροφορίες σχετικά με την υποδομή και το υλικό σας, τις εικονικές μηχανές, τους διακομιστές κ.λπ. χωρίς πρόσθετα βήματα. Μπορεί να μιλήσει με τους διακομιστές RH Satellite, εάν έχετε, και σας προσφέρει ενσωματώσεις που δεν θα αποκτήσετε ποτέ με το Puppet.
Ένα άλλο σημαντικό πράγμα είναι ο λεπτομερής έλεγχος. Γνωρίζετε ότι το Puppet είναι ένα αρθρωτό σύστημα, είναι μια εφαρμογή πελάτη-διακομιστή, επομένως πρέπει να ορίσετε τις υπάρχουσες πτυχές όλων των μηχανημάτων σας σε ένα μακρύ μανιφέστο. Σε αυτήν την περίπτωση, η κατάσταση κάθε μεμονωμένου στοιχείου του συστήματος πρέπει να ελέγχεται κάθε μισή ώρα - αυτή είναι η προεπιλεγμένη περίοδος. Έτσι λειτουργεί το Puppet.
Ο Πύργος σε σώζει από αυτό. Μπορείτε να εκτελέσετε μια ποικιλία διαδικασιών σε μια ποικιλία εξοπλισμού χωρίς περιορισμούς, μπορείτε να κάνετε βασικές εργασίες, να εκτελέσετε άλλες σημαντικές διεργασίες, να δημιουργήσετε ένα σύστημα ασφαλείας και να εργαστείτε με βάσεις δεδομένων. Μπορείτε να κάνετε ό,τι είναι δύσκολο στο Puppet Enterprise. Έτσι, εάν το ρυθμίσατε σε έναν κεντρικό υπολογιστή, θα χρειαστεί χρόνος για να εφαρμοστούν οι αλλαγές στους υπόλοιπους κεντρικούς υπολογιστές. Στο Ansible, όλες οι αλλαγές ισχύουν ταυτόχρονα.
Τέλος, ας δούμε τη μονάδα ασφαλείας. Το Ansible Tower το υλοποιεί απλά εκπληκτικά, με μεγάλη ακρίβεια και φροντίδα. Μπορείτε να παραχωρήσετε στους χρήστες πρόσβαση σε συγκεκριμένες υπηρεσίες ή σε συγκεκριμένους κεντρικούς υπολογιστές. Αυτό το κάνω με τους υπαλλήλους μου που έχουν συνηθίσει να εργάζονται στα Windows, περιορίζοντας την πρόσβασή τους στο κέλυφος του Linux. Διασφαλίζω ότι έχουν πρόσβαση στον Πύργο, ώστε να μπορούν να κάνουν μόνο τη δουλειά και να τρέχουν μόνο τις υπηρεσίες που τους αφορούν.
Ας δούμε τα πράγματα που πρέπει να κάνετε εκ των προτέρων για να διευκολύνετε τη μετάβασή σας στον Πύργο Ansible. Πρώτα απ 'όλα, πρέπει να προετοιμάσετε τον εξοπλισμό σας. Εάν ορισμένα στοιχεία της υποδομής σας δεν βρίσκονται ήδη στη βάση δεδομένων, πρέπει να τα προσθέσετε εκεί. Υπάρχουν συστήματα που δεν αλλάζουν τα χαρακτηριστικά τους και επομένως δεν βρίσκονται στη βάση δεδομένων Puppet, αλλά αν δεν τα προσθέσετε εκεί πριν μετακομίσετε στο Tower, θα χάσετε μια σειρά από πλεονεκτήματα. Αυτή μπορεί να είναι μια «βρώμικη», προκαταρκτική βάση δεδομένων, αλλά θα πρέπει να περιέχει πληροφορίες για όλο τον εξοπλισμό που διαθέτετε. Επομένως, θα πρέπει να γράψετε ένα δυναμικό σενάριο υλικού που θα ωθήσει αυτόματα όλες τις αλλαγές υποδομής στη βάση δεδομένων και, στη συνέχεια, το Ansible θα γνωρίζει ποιοι κεντρικοί υπολογιστές θα πρέπει να υπάρχουν στο νέο σύστημα. Δεν θα χρειαστεί να πείτε σε αυτό το SCM ποιους κεντρικούς υπολογιστές προσθέσατε και ποιοι οικοδεσπότες δεν υπάρχουν πλέον, γιατί θα τα γνωρίζει όλα αυτά αυτόματα. Όσο περισσότερα δεδομένα υπάρχουν στη βάση δεδομένων, τόσο πιο χρήσιμο και ευέλικτο θα είναι το Ansible. Λειτουργεί σαν να διαβάζει απλώς τον γραμμωτό κώδικα κατάστασης υλικού από μια βάση δεδομένων.
Αφιερώστε λίγο χρόνο για να εξοικειωθείτε με τη γραμμή εντολών στο Ansible. Εκτελέστε ορισμένες προσαρμοσμένες εντολές για να δοκιμάσετε το σενάριο υλικού, γράψτε και εκτελέστε μερικά απλά αλλά χρήσιμα σενάρια βιβλίων αναπαραγωγής, χρησιμοποιήστε πρότυπα Jinja2 όπου χρειάζεται. Δοκιμάστε να γράψετε έναν ρόλο και ένα σενάριο για μια σύνθετη διαδικασία πολλαπλών βημάτων χρησιμοποιώντας μια κοινή, συνήθως συναντώμενη διαμόρφωση υλικού. Παίξτε με αυτά τα πράγματα, δοκιμάστε πώς λειτουργεί. Με αυτόν τον τρόπο θα μάθετε πώς να χρησιμοποιείτε τα εργαλεία δημιουργίας βιβλιοθήκης που χρησιμοποιούνται στο Tower. Έχω ήδη πει ότι μου πήρε περίπου 3 μήνες για να προετοιμαστώ για τη μετάβαση. Νομίζω ότι με βάση την εμπειρία μου, θα μπορέσετε να το κάνετε πιο γρήγορα. Μην θεωρείτε αυτόν τον χρόνο χαμένο, γιατί αργότερα θα ζήσετε όλα τα οφέλη της δουλειάς που έχετε κάνει.
Στη συνέχεια, πρέπει να αποφασίσετε τι περιμένετε από το Ansible Tower, τι ακριβώς πρέπει να κάνει αυτό το σύστημα για εσάς.
Χρειάζεται να αναπτύξετε το σύστημα σε γυμνό υλικό, σε γυμνές εικονικές μηχανές; Ή θέλετε να διατηρήσετε τις αρχικές συνθήκες λειτουργίας και τις ρυθμίσεις του υπάρχοντος εξοπλισμού; Αυτή είναι μια πολύ σημαντική πτυχή για τις δημόσιες εταιρείες, επομένως πρέπει να είστε σίγουροι ότι θα μπορείτε να μετεγκαταστήσετε και να αναπτύξετε το Ansible στην υπάρχουσα διαμόρφωσή σας. Προσδιορίστε τις συνήθεις διοικητικές διαδικασίες που θέλετε να αυτοματοποιήσετε. Μάθετε εάν πρέπει να αναπτύξετε συγκεκριμένες εφαρμογές και υπηρεσίες στο νέο σύστημα. Κάντε μια λίστα με αυτά που θέλετε να κάνετε και δώστε προτεραιότητα.
Στη συνέχεια, ξεκινήστε να γράφετε κώδικα σεναρίου και ρόλους που θα επιτρέψουν τις εργασίες που σκοπεύετε να ολοκληρώσετε. Συνδυάστε τα σε Έργα, μια λογική συλλογή σχετικών βιβλίων. Κάθε έργο θα ανήκει σε ξεχωριστό αποθετήριο Git ή σε διαφορετικό αποθετήριο ανάλογα με τον διαχειριστή κώδικα που χρησιμοποιείτε. Μπορείτε να διαχειριστείτε σενάρια βιβλίων και καταλόγους βιβλίων παιχνιδιών τοποθετώντας τα με μη αυτόματο τρόπο στο Project Base Path στον διακομιστή Tower ή τοποθετώντας το βιβλίο αναπαραγωγής σε οποιοδήποτε σύστημα διαχείρισης πηγαίου κώδικα (SCM) που υποστηρίζεται από το Tower, συμπεριλαμβανομένων των Git, Subversion, Mercurial και Red Hat Insights. Μέσα σε ένα Project μπορείτε να τοποθετήσετε όσα σενάρια θέλετε. Για παράδειγμα, δημιούργησα ένα βασικό Project στο οποίο τοποθέτησα ένα σενάριο για τα βασικά στοιχεία του RedHat, ένα σενάριο για τον πυρήνα του Linux και σενάρια για τις υπόλοιπες γραμμές βάσης. Έτσι, σε ένα έργο υπήρχε μια ποικιλία ρόλων και σεναρίων που διαχειρίζονταν από ένα αποθετήριο Git.
Η εκτέλεση όλων αυτών των πραγμάτων μέσω της γραμμής εντολών είναι ένας καλός τρόπος για να ελέγξετε τη λειτουργικότητά τους. Αυτό θα σας προετοιμάσει για την εγκατάσταση του Tower.
Ας μιλήσουμε λίγο για τη διακωδικοποίηση του μανιφέστου Puppet, γιατί πέρασα πολύ χρόνο σε αυτό μέχρι να καταλάβω τι πραγματικά έπρεπε να γίνει.
Όπως είπα προηγουμένως, το Puppet αποθηκεύει όλες τις ρυθμίσεις και τις επιλογές υλικού σε ένα μακρύ μανιφέστο και αυτό το μανιφέστο αποθηκεύει όλα όσα θα έπρεπε να κάνει αυτό το SCM. Όταν κάνετε τη μετάβαση, δεν χρειάζεται να στριμώξετε όλες τις εργασίες σας σε μια λίστα, αντίθετα, σκεφτείτε τη δομή του νέου συστήματος: ρόλους, σενάρια, ετικέτες, ομάδες και τι πρέπει να πάνε εκεί. Ορισμένα από τα στοιχεία αυτόνομου δικτύου θα πρέπει να ομαδοποιηθούν σε ομάδες για τις οποίες μπορούν να δημιουργηθούν σενάρια. Πιο πολύπλοκα στοιχεία υποδομής που περιλαμβάνουν μεγάλο αριθμό πόρων, συμπεριλαμβανομένων αυτόνομων κλάσεων, μπορούν να συνδυαστούν σε ρόλους. Πριν από τη μετανάστευση, πρέπει να αποφασίσετε για αυτό. Εάν δημιουργείτε μεγάλους ρόλους ή σενάρια που δεν ταιριάζουν σε μία οθόνη, θα πρέπει να χρησιμοποιήσετε ετικέτες για να μπορέσετε να καταγράψετε συγκεκριμένα μέρη της υποδομής.
18:00
Μερικές διαφημίσεις 🙂
Σας ευχαριστούμε που μείνατε μαζί μας. Σας αρέσουν τα άρθρα μας; Θέλετε να δείτε πιο ενδιαφέρον περιεχόμενο; Υποστηρίξτε μας κάνοντας μια παραγγελία ή προτείνοντας σε φίλους, , ένα μοναδικό ανάλογο διακομιστών εισαγωγικού επιπέδου, το οποίο εφευρέθηκε από εμάς για εσάς: (διατίθεται με RAID1 και RAID10, έως 24 πυρήνες και έως 40 GB DDR4).
Το Dell R730xd 2 φορές φθηνότερο στο κέντρο δεδομένων Equinix Tier IV στο Άμστερνταμ; Μόνο εδώ στην Ολλανδία! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - από 99$! Διαβάστε σχετικά
Πηγή: www.habr.com