RHCE über die EX294: eine reine Ansible-Prüfung

sudo dnf install -y ansible-core
ansible --version

# Auf jedem verwalteten Knoten denselben Automatisierungsnutzer
sudo useradd -m devops
echo 'devops ALL=(ALL) NOPASSWD: ALL' | sudo tee /etc/sudoers.d/devops
sudo chmod 0440 /etc/sudoers.d/devops
sudo visudo -c                              # Syntaxprüfung, sonst sperrst du dich aus

# Vom Steuerknoten aus Schlüssel verteilen
ssh-keygen -t ed25519 -N '' -f ~/.ssh/id_ed25519
for h in node1 node2 node3 node4; do ssh-copy-id devops@$h; done

[defaults]
inventory         = ./inventory
remote_user       = devops
host_key_checking = False
roles_path        = ./roles
collections_path  = ./collections
callback_result_format = yaml

[privilege_escalation]
become          = True
become_method   = sudo
become_user     = root
become_ask_pass = False

[dev]
node1

[prod]
node[2:3]

[balancers]
node4

[webservers:children]
dev
prod

[webservers:vars]
http_port=80

ansible --version | grep 'config file'
ansible all -m ansible.builtin.ping
ansible all -m ansible.builtin.setup -a 'filter=ansible_default_ipv4'
ansible webservers --list-hosts

ansible-doc -l | grep -i firewall
ansible-doc -s ansible.posix.firewalld       # nur die Optionen, ohne Prosa
ansible-doc ansible.builtin.user | tail -60  # Beispiele stehen am Ende
ansible-galaxy collection list               # was ist überhaupt installiert?

ansible-playbook site.yml --syntax-check
ansible-playbook site.yml --check --diff
ansible-playbook site.yml                    # erster Lauf
ansible-playbook site.yml                    # zweiter Lauf: changed=0 ist das Ziel

- name: Zertifikat nur einmal erzeugen
  ansible.builtin.command:
    cmd: /usr/local/bin/mkcert.sh
    creates: /etc/pki/tls/certs/app.pem

- name: Zustand prüfen, ohne changed zu melden
  ansible.builtin.command: systemctl is-enabled nginx
  register: nginx_enabled
  changed_when: false
  failed_when: nginx_enabled.rc not in [0, 1]

- name: Umbau mit Rückweg
  block:
    - name: Neue Konfiguration ausrollen
      ansible.builtin.template:
        src: app.conf.j2
        dest: /etc/app/app.conf
        owner: root
        mode: '0644'
    - name: Dienst neu starten
      ansible.builtin.service:
        name: app
        state: restarted
  rescue:
    - name: Alte Konfiguration zurücklegen
      ansible.builtin.copy:
        src: /etc/app/app.conf.bak
        dest: /etc/app/app.conf
        remote_src: true
  always:
    - name: Dienst muss laufen
      ansible.builtin.service:
        name: app
        state: started

ansible-vault create group_vars/prod/vault.yml
ansible-vault encrypt_string 'GeheimesPasswort' --name 'vault_db_password'
ansible-vault view group_vars/prod/vault.yml
ansible-vault rekey group_vars/prod/vault.yml

echo 'meinvaultpasswort' > ~/.vault-pass && chmod 600 ~/.vault-pass
ansible-playbook site.yml --vault-password-file ~/.vault-pass
# Dauerhaft in ansible.cfg:  vault_password_file = ~/.vault-pass

ansible-galaxy init roles/webserver
find roles/webserver -maxdepth 2 -type d

# Mitgelieferte Systemrollen auf RHEL / Rocky / Alma
sudo dnf install -y rhel-system-roles
ls /usr/share/ansible/roles/
ls /usr/share/doc/rhel-system-roles/timesync/

# Debian / Ubuntu und alles ohne RHEL-Paket
ansible-galaxy collection install fedora.linux_system_roles

# Alle Knoten neu starten
ansible all -b -m ansible.builtin.reboot

# Überlebt der gebaute Zustand den Reboot?
ansible all -b -m ansible.builtin.shell -a 'systemctl --failed --no-legend'
ansible all -b -m ansible.builtin.shell -a 'findmnt --verify'
ansible all -b -m ansible.builtin.shell -a 'firewall-cmd --list-all'

# Und noch einmal alles durchlaufen lassen
ansible-playbook site.yml