שירותי אוטומציה וניהול תצורה לתשתיות

אוטומציה של תשתית: Ansible, AWX, Rundeck, SaltStack

המשימה נשמעת פשוטה: לעדכן את קובץ התצורה של nginx על 200 שרתים. ביצוע ידני לוקח יומיים ומוביל בהכרח לכמה פערים בין השרתים. הצוות שלנו כותב playbook של Ansible תוך 15 דקות, מריץ אותו, ומקבל תצורה זהה על כל שרת עם שינויים שמתחייבים ל-git. אוטומציה לא רק מאיצה את התהליך—היא מבטלת את מחלקת הבעיות הנובעות מניהול ידני.

אנחנו מבצעים אוטומציה של תשתית מאז 2019—מעל 5 שנים, עם יותר מ-50 פרויקטים שהושלמו: מסטארטאפים עם 10 שרתים ועד קלאסטרים ארגוניים עם 2000 מכונות. הסטACK שלנו: Ansible, AWX, Rundeck, SaltStack. הגישה שלנו תמיד זהה: אידמפוטנטיות, ניהול גרסאות, RBAC, תיעוד. התוצאה: זמן השבתה ירד ב-80%, ומספר התקריות עקב טעות אנוש יורד פי שלושה.

למה אידמפוטנטיות היא הדרישה המרכזית לייצור?

מתחילים כותבים Ansible כמו סקריפטים של bash עם command ו-shell בכל מקום. Ansible ברמת ייצור משתמש במשימות אידמפוטנטיות עם מודולים מתאימים, ניהול משתנים, והפרדת תפקידים. אידמפוטנטיות מבטיחה שהרצה חוזרת של playbook לא תכניס שינויים מיותרים. בלעדיה, כל הרצה מסכנת את התצורה, והחזרה לאחור הופכת להגרלה.

מבנה תפקידים במקום playbook שטוח

roles/ nginx/ tasks/ main.yml install.yml configure.yml handlers/ main.yml templates/ nginx.conf.j2 vhost.conf.j2 defaults/ main.yml vars/ main.yml files/ ssl/ 

roles/ nginx/ tasks/ main.yml install.yml configure.yml handlers/ main.yml templates/ nginx.conf.j2 vhost.conf.j2 defaults/ main.yml vars/ main.yml files/ ssl/ — משתנים בעדיפות נמוכה שקל לדרוס. defaults/main.yml — משתנים בעדיפות גבוהה, שנדרסים לעיתים רחוקות. זה חשוב: ל-Ansible יש 22 רמות עדיפות למשתנים, ובלבול ביניהם הוא מקור לבאגים שקשה לאבחן.

אידמפוטנטיות היא הדרישה המרכזית

המודול vars/main.yml משנה קובץ רק אם הוא השתנה—זה נכון. template אינו אידמפוטנטי; הוא ירוץ בכל פעם. הגישה הנכונה: להשתמש במודול command: sed -i 's/old/new/' /etc/app.conf או lineinfile.

Handlers ו-notify

Nginx לא צריך להיות מופעל מחדש אם התצורה לא השתנתה:

# tasks/configure.yml - name: Deploy nginx config template: src: nginx.conf.j2 dest: /etc/nginx/nginx.conf owner: root mode: '0644' validate: 'nginx -t -c %s' notify: Reload nginx # handlers/main.yml - name: Reload nginx systemd: name: nginx state: reloaded 

replace עם # tasks/configure.yml - name: Deploy nginx config template: src: nginx.conf.j2 dest: /etc/nginx/nginx.conf owner: root mode: '0644' validate: 'nginx -t -c %s' notify: Reload nginx # handlers/main.yml - name: Reload nginx systemd: name: nginx state: reloaded בודק את התצורה לפני ההעתקה. אם האימות נכשל, המשימה לא מתבצעת, והשרת לא מקבל תצורה שבורה. ה-handler מופעל פעם אחת בסוף ה-play, גם אם מספר משימות הודיעו לו.

סודות באמצעות Ansible Vault

validate יוצר מחרוזת מוצפנת שניתן לאחסן ישירות ב-nginx -t. קובץ סיסמת Vault דרך ansible-vault encrypt_string 'секретный_пароль' --name db_password או משתנה הסביבה vars/main.yml עבור CI/CD ללא קלט אינטראקטיבי.

Inventory דינמי

עבור AWS, השתמשו בתוסף --vault-password-file:

# inventory/aws_ec2.yml plugin: amazon.aws.aws_ec2 regions: - eu-central-1 filters: tag:Environment: production instance-state-name: running keyed_groups: - key: tags.Role prefix: role - key: placement.availability_zone hostnames: - private-ip-address 

ANSIBLE_VAULT_PASSWORD_FILE יציג את מבנה הקבוצות שנוצר אוטומטית בהתבסס על תגי EC2. אין צורך לעדכן ידנית את קובץ ה-hosts כשהתשתית משתנה.

איך AWX מרחיב את Ansible עבור צוות?

הרצת aws_ec2 ממחשב נייד היא בסדר עבור מהנדס אחד. כשעשרה אנשים מריצים playbooks, יש צורך בריכוזיות: מי רץ על מה, מתי, ועם איזו תוצאה. AWX (הגרסה הפתוחה של Ansible Tower) פותר בדיוק את זה.

מה מספק Ansible מרכזי דרך AWX?

Job Templates הם playbook + inventory + credentials + extra vars. נוצרים פעם אחת, רצים כל מספר פעמים עם אותם פרמטרים או עם דריסות דרך Survey.

Survey הוא טופס עם פרמטרים שהמפעיל ממלא לפני הביצוע. לדוגמה: בחירת סביבה (staging/production), גרסת אפליקציה לפריסה, דגל # inventory/aws_ec2.yml plugin: amazon.aws.aws_ec2 regions: - eu-central-1 filters: tag:Environment: production instance-state-name: running keyed_groups: - key: tags.Role prefix: role - key: placement.availability_zone hostnames: - private-ip-address . זה מאפשר לצוות להריץ playbooks ללא גישה לקוד.

Credentials ב-AWX מאוחסנים מוצפנים ולעולם לא נחשפים למשתמש—הם משמשים רק במהלך הביצוע. מפתחות SSH, אישורי AWS, סיסמת Vault—כולם מאוחסנים ב-AWX ולא מועתקים לתחנות עבודה.

- name: Create Job Template awx.awx.job_template: name: "Deploy Application" job_type: run inventory: "Production Inventory" project: "Infrastructure" playbook: deploy.yml credentials: - "SSH Production" - "Vault Password" survey_enabled: yes survey_spec: name: "Deploy Survey" description: "" spec: - question_name: "Application version" variable: app_version type: text required: yes - question_name: "Run database migrations" variable: run_migrations type: multiplechoice choices: "yes\nno" default: "no" state: present