Ansibleでサーバ作業を簡単に

こんにちは。機器管理/監視・システム運用チームの刑です。

アトラスでは、業務の効率化・自動化のために様々なツールを使っています。今回は、私の所属する機器管理/監視・システム運用チーム（以下、システム管理チーム）に導入している構成管理ツールAnsibleについて、社内での運用の仕組みを紹介します。

Ansibleとは

Ansible(アンシブル)は、Pythonで記述されたオープンソースの構成管理ツールです。サーバを構築する際、設定ファイルを予め用意することで、ソフトウェアのインストールやサーバ設定の修正、サービスの起動/停止、ネットワーク設定といったサーバの各種作業が自動的に実行されます。Ansibleは構成管理ツールの中でも後発製品なので、従来のツール（ChefやPuppetなど）の不足点を克服し、シンプルな設定ファイルとエージェントレスで動くようになったので、たくさんのユーザ企業が使い始めています。Ansibleの使い方などは公式ドキュメントをご参照ください。

アトラスでは去年、サーバ運用・管理上の定型作業を自動化する目的でAnsibleを導入しました。現在では、サーバの新規構築やユーザアカウントの一元管理、ミドルウェアの一括アップデートなど多くの業務をAnsibleで簡単に対応できるようにしています。まだ改善する余地がありますが、今までにできた仕組みを早速紹介していきます。

まずはAnsibleコードをGitHubで管理

AnsibleはInfrastructure as a Code理念を実践する構成管理ツールなので、ソースコード（以下、Ansibleコード）でリモートのサーバの設定と管理を行うことができます。サーバ構築作業のたびにAnsibleコードを追加作成していくため、プログラムのソースコードのように適切にバージョン管理することが必要になります。アトラスでは、すべてのAnsibleコードをGitHubで管理しています。また、作業時に本番環境と開発環境が混ざらないようにリポジトリを分けています。

作業ディレクトリ構成

Ansibleコードは主に2種類の設定ファイル（インベントリ、プレイブック）から構成されています。

• インベントリ(Inventory)：被管理ホストの情報を記述するファイル（hosts）、変数定義ファイル（group_vars, host_vars）など。
• プレイブック(Playbook)：YAMLという形式で記述される、タスク記述と実行のためのファイル。

Ansibleコードの可読性を高めるため、インベントリとプレイブックを適切に分割することが重要です。アトラスでは、次のようにAnsibleのRole機能を使って作業ディレクトリを配置しています。

• 変数定義ファイル（group_vars、host_vars）：各ホストグループごと、各ホストごとの変数定義ファイルを格納するディレクトリです。
  ホスト記述ファイル（hosts）：被管理ホストやホストグループを記述したインベントリファイルです。
• ロール実行ファイル（roleXXX.yml）：ロールディレクトリ内に定義したタスクをまとめて実行するためのプレイブックです。
• ロールディレクトリ（role/role1/、 role/role2/ など）：サーバ上に実行するタスクやアップロードしたいファイルなどを配置するためのディレクトリです。
• 作業テンプレート（role/temlate1/、 role/template2/ など）：テンプレート用のコードを格納するディレクトリです。

ロール実行ファイルとロールディレクトリだけは作業毎に作成します。こうするメリットは、インベントリファイルが共有できることと、既存のロールディレクトリをコピーして新しいタスクを作成できることです。

Ansibleでのサーバ作業例

以下、ユーザアカウント一括作成を例として、ロール実行ファイルとロールディレクトリの作成方法を紹介します。

今回、作成に必要なファイルはrole-new.yml、add_users.yml、main.ymlです。role-new.ymlはロールを実行する大元のプレイブックですので、作業ディレクトリのルートに配置します。role-newのロールディレクトリにtasks/add_users.yml、 tasks/main.ymlを作成します。

追加したいユーザの権限やユーザ名、パスワードをadd_users.ymlに設定します。パスワードは秘密情報なので、ハッシュ化した文字列を使用します。

main.ymlはロールがデフォルトで実行するプレイブックです。コードを読みやすくするため、main.ymlの中では具体的なタスク内容を書かず、読み込みたいプレイブックのみ記述します。

role-new.ymlの構成は以下のとおりです。ホスト名とロールディレクトリを指定します。

ターミナルでrole-new.ymlを実行すれば、add_users.ymlの中で記入したユーザアカウントが一括作成されます。

コードテンプレートの設計

サーバを構築する際、OSの基本設定やミドルウェア（iptables、apacheなど）のインストールはよくある作業だと思います。こういう作業はサーバごとに大きな差がないので、適切にコードテンプレートを作成すれば、毎回似たような作業をする必要がなくなります。システム管理チームは、サーバ運用管理によくある作業を定型化できるまで細分化して、コードテンプレートを作成しています。サーバ構築などの作業時には、必要なコードテンプレートを選ぶだけでプレイブックが簡単に作れます。

次の図は作ったコードテンプレートの一部です。CentOSサーバ構築時によくある作業をミドルウェア別に分割してファイルを作成しています。

コードテンプレートの中身はこんな感じです。

サーバ特有の定義値をすべて変数にしているので、該当する変数の値をインベントリファイルで指定すれば、テンプレートをそのまま実行できるようになり、コードの修正は必要ありません。

おわりに

以上、アトラスでのAnsibleの使い方について紹介しました。１年間の運用を経て、私はAnsibleの「導入が容易」「設定ファイルがシンプル」という点をすごく実感しました。社内のサーバ運用・管理業務の中で、効率化・自動化できる部分がまだたくさんあると思いますので、引き続きAnsibleを活用していきたいと思います。