Travesuras
con Ansible

Sergio Guillen Mantilla

@donkeysharp

whoami_

• Desarrollador
• Flojo (por eso automatizo)
• Miembro del #r00tHouse
• Algunos pasatiempos
  • Hardware
  • Seguridad

$

Presentando...

• Configuration Management

• Despliegue de aplicaciones

• Automatización

¿Para qué me sirve Ansible?

¿Qué me gusta de Ansible?

• Simple (utiliza YAML)

- block:
  - name: Update repositories
    apt:
      update_cache: yes
      cache_valid_time: 3600

  - name: Install base packages
    apt:
      name: "{{item}}"
    with_items:
      - apt-transport-https
      - build-essential
      - git
      - vim
      - htop
      - lsof
      - dstat
      - strace
      - tmux

• Descentralizado
• Da para cualquier distro
• Permite versionar
• Hecho en Python <3
• Sistema de Templates
• FOSS

¿Qué me gusta de Ansible?

Varias formas de instalación

$ pip install ansible

$ sudo apt-get install ansible

$ sudo yum install ansible

$ git://github.com/ansible/ansible.git --recursive

Hagamos una analogía

Un programa cuenta con:

• Un Punto de Ingreso
• Entradas
• Instrucciones
• Variables
• Sub Programas (reusar código)

El Punto de Ingreso

Playbooks

• Punto de partida para ejecutar un conjunto de acciones
• Estas acciones pueden ejecutarse localmente o remotamente

---
- hosts: web
  become: True
  vars_files:
    - group_vars/variables.yml

  pre_tasks:
    - debug: msg='Starting docker setup playbook'

  post_tasks:
    - debug: msg='Finished docker setup playbook'

  tasks:
    - name: Crear archivo plano
      file:
        path: /tmp/archivillo_2
        state: touch
        mode: 0755
        owner: ansible
        group: ansible

    - name: Crear un directorio
      file:
        path: /tmp/miDirectorio
        state: directory
        mode: 0700
        owner: ansible
        group: ansible

playbook.yml

Las Entradas

Inventory

• Lista de servidores donde se ejecutarán las instrucciones
• Esta lista puede ser agrupada (web, base de datos, etc.)
• Es necesario tener acceso a estos servidores

[web]
107.170.35.179
107.170.35.123
107.170.34.214

[web:vars]
ansible_user=ansible
ansible_password=98765
ansible_become_password=98765

[load_balancer]
107.170.32.38

[load_balancer:vars]
ansible_user=ansible
ansible_password=123456
ansible_become_password=123456

inventory.yml

Las Instrucciones

Tasks

• Un task llega a ser una instrucción en Ansible
• Hace uso de alguno de los cientos módulos que ofrece Ansible
• Cumple un objetivo
  • Crear/Actualizar/borrar algo
  • Iniciar/Detener algo

Módulos Ansible

Módulos Ansible

- digital_ocean:
    state: present
    command: droplet
    id: 123
    name: mydroplet
    api_token: XXX
    size_id: 2gb
    region_id: ams2
    image_id: fedora-19-x64
    wait_timeout: 500

- name: restart service
  systemd:
    state: restarted
    daemon_reload: yes
    name: crond

- name: Mount DVD read-only
  mount:
    path: /mnt/dvd
    src: /dev/sr0
    fstype: iso9660
    opts: ro
    state: present

- user:
    name: james
    shell: /bin/bash
    groups: admins,developers
    append: yes

- copy:
    src: /srv/myfiles/foo.conf
    dest: /etc/foo.conf
    owner: foo
    group: foo
    mode: "u=rw,g=r,o=r"

- name: Install base packages
  apt:
    name: "{{item}}"
  with_items:
    - apt-transport-https
    - build-essential
    - git
    - vim

Módulos Ansible

- name: LB config file
  template:
    src: templates/config.tpl
    dest: /etc/nginx/sites-available/default
    mode: "u=rw,g=r,o=r"

upstream nodes  {
  server {{server1}}:8000;
  server {{server2}}:8000;
  server {{server3}}:8000;
}
server {
  listen 80 default_server;
  listen [::]:80 default_server;

  root /var/www/html;

  server_name _;

  location / {
    proxy_pass  http://nodes;
  }
}

---
- hosts: web
  become: True
  vars_files:
    - group_vars/variables.yml

  pre_tasks:
    - debug: msg='Starting docker setup playbook'

  post_tasks:
    - debug: msg='Finished docker setup playbook'

  tasks:
    - name: Crear archivo plano
      file:
        path: /tmp/archivillo_2
        state: touch
        mode: 0755
        owner: ansible
        group: ansible

    - name: Crear un directorio
      file:
        path: /tmp/miDirectorio
        state: directory
        mode: 0700
        owner: ansible
        group: ansible

Las Variables

Archivo de Variables

vars.yml

nombre: Sergio Gabriel
apellido: Guillen Mantilla
var1: Valor de var1
db_user: ventas
dB_password: ventas123

Estructura de un Proyecto

inventories/
  production/
    inventory.yml
    group_vars/
      all.yml
      vars.yml

  development/
    inventory.yml
    group_vars/
      all.yml
      vars.yml

roles/
  role1/
  role2/
  role3/

playbook1.yml
playbook2.yml
playbook3.yml

21 reglas de precendencia

Los Sub Programas

Roles

• Son los sub programas en un proyecto Ansible
• Deben ser lo más genéricos posibles para su reutilización
• De la misma forma tienen un conjunto de tasks
• Son llamados desde playbooks

Roles

• Los roles siguen una estructura de archivos

roles/
   common/
     files/
     templates/
     tasks/
     handlers/
     vars/
     defaults/
     meta/

  roles:
    - { role: base }
    - { role: web_base }
    - { role: lb_config, server1: "{{nodo1}}", server2: "{{nodo2}}", server3: "{{nodo3}}" }

Demo

Ansible y seguridad?

Algunas tareas

• Despliegue de entornos vulnerables
• Provisionar un entorno de pentesting
• Continuous Security