Ansible idempotent Instalación de MySQL Playbook

command-line amazon-web-services

Question

Quiero configurar un servidor MySQL en AWS, usando Ansible para la gestión de la configuración. Estoy usando el AMI predeterminado de Amazon ( ami-3275ee5b ), que usa yum para la administración de paquetes.

Cuando se ejecuta la Playbook a continuación, todo va bien. Pero cuando lo ejecuto por segunda vez, la tarea Configure the root credentials falla, porque la contraseña anterior de MySQL ya no coincide, ya que se actualizó la última vez que ejecuté esta Playbook.

Esto hace que el Playbook no sea idempotente, lo que no me gusta. Quiero poder ejecutar el Playbook todas las veces que quiera.

- hosts: staging_mysql
  user: ec2-user
  sudo: yes

  tasks:
    - name: Install MySQL
      action: yum name=$item
      with_items:
        - MySQL-python
        - mysql
        - mysql-server

    - name: Start the MySQL service
      action: service name=mysqld state=started

    - name: Configure the root credentials
      action: command mysqladmin -u root -p $mysql_root_password

¿Cuál sería la mejor manera de resolver esto, lo que significa que el Playbook es idempotente? ¡Gracias por adelantado!

Answer 1

Versión de Ansible para una instalación segura de MySQL.

mysql_secure_installation.yml

- hosts: staging_mysql
  user: ec2-user
  sudo: yes

  tasks:
    - name: Install MySQL
      action: yum name={{ item }}
      with_items:
        - MySQL-python
        - mysql
        - mysql-server

    - name: Start the MySQL service
      action: service name=mysqld state=started

    # ''localhost'' needs to be the last item for idempotency, see
    # http://ansible.cc/docs/modules.html#mysql-user
    - name: update mysql root password for all root accounts
      mysql_user: name=root host={{ item }} password={{ mysql_root_password }}
      with_items:
        - "{{ ansible_hostname }}"
        - 127.0.0.1
        - ::1
        - localhost

    - name: copy .my.cnf file with root password credentials
      template: src=templates/root/my.cnf.j2 dest=/root/.my.cnf owner=root mode=0600

    - name: delete anonymous MySQL server user for $server_hostname
      action: mysql_user user="" host="{{ server_hostname }}" state="absent"

    - name: delete anonymous MySQL server user for localhost
      action: mysql_user user="" state="absent"

    - name: remove the MySQL test database
      action: mysql_db db=test state=absent

templates / root / my.cnf.j2

[client]
user=root
password={{ mysql_root_password }}

Referencias

• La respuesta original de Lorin Hochstein
• https://github.com/gaspaio/ansible-devbox/blob/master/roles/mysql/tasks/server.yml

Answer 2

Agregando a las respuestas anteriores, no quería un paso manual antes de ejecutar el comando, es decir, quiero hacer girar un nuevo servidor y simplemente ejecutar el libro de jugadas sin tener que cambiar manualmente la contraseña de root la primera vez. No creo que {{mysql_password}} funcione la primera vez, cuando la contraseña de root sea nula, porque mysql_password aún tiene que definirse en algún lugar (a menos que desee sobrescribirlo con -e).

Así que agregué una regla para hacer eso, que se ignora si falla. Esto es además de, y aparece antes, cualquiera de los otros comandos aquí.

- name: Change root user password on first run
  mysql_user: login_user=root
              login_password=''''
              name=root
              password={{ mysql_root_password }}
              priv=*.*:ALL,GRANT
              host={{ item }}
      with_items:
        - $ansible_hostname
        - 127.0.0.1
        - ::1
        - localhost
      ignore_errors: true

Answer 3

Bueno, esto fue un poco complicado. He pasado un día entero sobre esto y se me ocurrió la solución que se detalla a continuación. El punto clave es cómo Ansible instala el servidor MySQL. De los documentos del módulo mysql_user (última nota en la página):

MySQL server installs with default login_user of ‘root’ and no password. To secure this user as part of an idempotent playbook, you must create at least two tasks: the first must change the root user’s password, without providing any login_user/login_password details. The second must drop a ~/.my.cnf file containing the new root credentials. Subsequent runs of the playbook will then succeed by reading the new credentials from the file.

Ese problema con la contraseña en blanco o nulo fue una gran sorpresa.

Papel :

---

- name: Install MySQL packages
  sudo: yes
  yum: name={{ item }} state=present
  with_items:
    - mysql
    - mysql-server
    - MySQL-python


- name: Start MySQL service
  sudo: yes
  service: name=mysqld state=started enabled=true


- name: Update MySQL root password for root account
  sudo: yes
  mysql_user: name=root password={{ db_root_password }} priv=*.*:ALL,GRANT


- name: Create .my.cnf file with root password credentials
  sudo: yes
  template: src=.my.cnf.j2 dest=/root/.my.cnf owner=root group=root mode=0600
  notify:
  - restart mysql


- name: Create a database
  sudo: yes
  mysql_db: name={{ db_name }}
            collation=utf8_general_ci
            encoding=utf8
            state=present


- name: Create a database user
  sudo: yes
  mysql_user: name={{ db_user }}
              password={{ db_user_password }}
              priv="{{ db_name }}.*:ALL"
              host=localhost
              state=present

Controlador :

---

- name: restart mysql
  service: name=mysqld state=restarted

.my.cnf.j2 :

[client]
user=root
password={{ db_root_password }}

Answer 4

Es importante iniciar / reiniciar el servidor mysql antes de configurar la contraseña de root. Además, había intentado todo lo publicado en esta publicación [fecha] y descubrí que es imprescindible pasar login_password y login_user .

(es decir) Cualquier Reproducción después de configurar el user:root mysql_user user:root y password= {{ SOMEPASSWORD }} , debe conectarse usando login_password y login_user para cualquier jugada posterior.

Nota: los elementos con los with_items continuación se basan en lo que crearon los hosts predeterminados de Ansible y / MariaDB .

Ejemplo para asegurar un servidor MariaDB:

---
# ''secure_mariadb.yml''

- name: ''Ensure MariaDB server is started and enabled on boot''
  service: name={{ mariadb_service_name }} state=started enabled=yes

# localhost needs to be the last item for idempotency, see
# http://ansible.cc/docs/modules.html#mysql-user
- name: ''Update Mysql Root Password''
  mysql_user: name=root
              host={{ item }}
              password={{ root_db_password }}
              priv=*.*:ALL,GRANT
              state=present
  with_items:
    - 127.0.0.1
    - ::1
    - instance-1 # Created by MariaDB to prevent conflicts between port and sockets if multi-instances running on the same computer.
    - localhost

- name: ''Create MariaDB main configuration file''
  template: >
    src=my.cnf.j2
    dest=/etc/mysql/my.cnf
    owner=root
    group=root
    mode=0600

- name: ''Ensure anonymous users are not in the database''
  mysql_user: login_user=root 
              login_password={{ root_db_password }}
              name=''''
              host={{ item }}
              state=absent
  with_items:
    - 127.0.0.1
    - localhost

- name: ''Remove the test database''
  mysql_db: login_user=root 
            login_password={{ root_db_password }}
            name=test
            state=absent

- name: ''Reload privilege tables''
  command: ''mysql -ne "{{ item }}"''
  with_items:
    - FLUSH PRIVILEGES
  changed_when: False

- name: ''Ensure MariaDB server is started and enabled on boot''
  service: name={{ mariadb_service_name }} state=started enabled=yes


# ''End Of File''

Answer 5

Esta es una solución alternativa a la propuesta por @LorinHochStein

Una de mis limitaciones era garantizar que no se almacenaran contraseñas en archivos de texto plano en ninguna parte del servidor. Por lo tanto .my.cnf no era una propuesta práctica

Solución:

- name: update mysql root password for all root accounts from local servers
  mysql_user: login_user=root 
              login_password={{ current_password }} 
              name=root 
              host=$item 
              password={{ new_password }} 
              priv=*.*:ALL,GRANT
  with_items:
      - $ansible_hostname
      - 127.0.0.1
      - ::1
      - localhost

Y en el archivo vars

current_password: foobar
new_password: "{{ current_password }}"

Cuando no se cambia la contraseña de mysql, ejecute el libro de jugadas ansible en la línea de comandos como de costumbre.

Al cambiar la contraseña de mysql, agregue lo siguiente a la línea de comando. Especificarlo en la línea de comandos permite que el parámetro establecido en la línea de comando tenga prioridad sobre el predeterminado en el archivo vars.

$ ansible-playbook ........ --extra-vars "new_password=buzzz"

Después de ejecutar el comando, cambie el archivo vars de la siguiente manera

current_password=buzzz
new_password={{ current_password }}

Answer 6

Estoy agregando mi propia opinión sobre los diversos enfoques (centos 7).

La variable mysql_root_password debe almacenarse en una ansible-vault (mejor) o pasarla en la línea de comando (peor)

- name: "Ensure mariadb packages are installed"
  yum: name={{ item }} state="present"
  with_items:
    - mariadb
    - mariadb-server

- name: "Ensure mariadb is running and configured to start at boot"
  service: name=mariadb state=started enabled=yes

# idempotently ensure secure mariadb installation --
# - attempts to connect as root user with no password and then set the root@ mysql password for each mysql root user mode.
# - ignore_errors is true because this task will always fail on subsequent runs (as the root user password has been changed from "")
- name: Change root user password on first run, this will only succeed (and only needs to succeed) on first playbook run
  mysql_user: login_user=root
              login_password=''''
              name=root
              password={{ mysql_root_password }}
              priv=*.*:ALL,GRANT
              host={{ item }}
  with_items:
    - "{{ ansible_hostname }}"
    - 127.0.0.1
    - ::1
    - localhost
  ignore_errors: true

- name: Ensure the anonymous mysql user ""@{{ansible_hostname}} is deleted
  action: mysql_user user="" host="{{ ansible_hostname }}" state="absent" login_user=root login_password={{ mysql_root_password }}

- name: Ensure the anonymous mysql user ""@localhost is deleted
  action: mysql_user user="" state="absent" login_user=root login_password={{ sts_ad_password }}

- name: Ensure the mysql test database is deleted
  action: mysql_db db=test state=absent login_user=root login_password={{ mysql_root_password }}

Answer 7

Lo siguiente funcionará (Inserte my.cnf entre 2 llamadas a mysql_user)

- name: ''Install MySQL''
    yum: name={{ item }} state=present
    with_items:
    - MySQL-python
    - mysql
    - mysql-server
    notify:
     - restart-mysql
- name: ''Start Mysql Service''
  action: service name=mysqld state=started enabled=yes
- name: ''Update Mysql Root Password''
  mysql_user: name=root host=localhost password={{ mysql_root_password }} state=present
- name: ''Copy Conf file with root password credentials''
  template: src=../templates/my.cnf.j2 dest=/root/.my.cnf owner=root mode=0600
- name: ''Update Rest-Mysql Root Password''
  mysql_user: name=root host={{ item }} password={{ mysql_root_password }} state=present
    with_items:
    - "{{ ansible_hostname }}"
    - "{{ ansible_eth0.ipv4.address }}"
    - 127.0.0.1
    - ::1
- name: ''Delete anonymous MySQL server user from server''
  mysql_user: name="" host={{ ansible_hostname }} state="absent"

Answer 8

Para ansible 1.3+:

- name: ensure mysql local root password is zwx123
  mysql_user: check_implicit_admin=True login_user=root login_password="zwx123" name=root password="zwx123" state=present

Answer 9

Sé que esta es una vieja pregunta, pero estoy compartiendo mi manual de trabajo para aquellos que lo están buscando:

mysql.yml

---
 - name: Install the MySQL packages
   apt: name={{ item }} state=installed update_cache=yes
   with_items:
     - mysql-server-5.6
     - mysql-client-5.6
     - python-mysqldb
     - libmysqlclient-dev

 - name: Copy the configuration file (my.cnf)
   template: src=my.cnf.j2 dest=/etc/mysql/my.cnf
   notify:
     - Restart MySQL

 - name: Update MySQL root password for all root accounts
   mysql_user: name=root host={{ item }} password={{ mysql_root_pass }} state=present
   with_items:
     - "{{ ansible_hostname }}"
     - 127.0.0.1
     - ::1
     - localhost

 - name: Copy the root credentials as .my.cnf file
   template: src=root.cnf.j2 dest=~/.my.cnf mode=0600

 - name: Ensure Anonymous user(s) are not in the database
   mysql_user: name='''' host={{ item }} state=absent
   with_items:
     - localhost
     - "{{ ansible_hostname }}"

 - name: Remove the test database
   mysql_db: name=test state=absent
   notify:
     - Restart MySQL

vars.yml

---
 mysql_port: 3306 #Default is 3306, please change it if you are using non-standard
 mysql_bind_address: "127.0.0.1" #Change it to "0.0.0.0",if you want to listen everywhere
 mysql_root_pass: mypassword #MySQL Root Password

my.cnf.j2

[client]
port            = 3306
socket          = /var/run/mysqld/mysqld.sock

[mysqld_safe]
socket          = /var/run/mysqld/mysqld.sock
nice            = 0

[mysqld]
user            = mysql
pid-file        = /var/run/mysqld/mysqld.pid
socket          = /var/run/mysqld/mysqld.sock
port            = {{ mysql_port }}
basedir         = /usr
datadir         = /var/lib/mysql
tmpdir          = /tmp
lc-messages-dir = /usr/share/mysql
skip-external-locking
bind-address            = {{ mysql_bind_address }}
key_buffer              = 16M
max_allowed_packet      = 64M
thread_stack            = 192K
thread_cache_size       = 8
myisam-recover         = BACKUP
query_cache_limit       = 1M
query_cache_size        = 16M
log_error = /var/log/mysql/error.log
expire_logs_days        = 10
max_binlog_size         = 100M

[mysqldump]
quick
quote-names
max_allowed_packet      = 64M

[mysql]

[isamchk]
key_buffer              = 16M

!includedir /etc/mysql/conf.d/

root.cnf.j2

[client]
user=root
password={{ mysql_root_pass }}

Answer 10

coderwall sobre esto en coderwall , pero reproduciré la mejora de dennisjac en los comentarios de mi publicación original.

El truco para hacerlo idempotentemente es saber que el módulo mysql_user cargará un archivo ~ / .my.cnf si encuentra uno.

Primero cambio la contraseña y luego copio un archivo .my.cnf con las credenciales de la contraseña. Cuando intente ejecutarlo por segunda vez, el módulo ansible myqsl_user encontrará .my.cnf y usará la nueva contraseña.

- hosts: staging_mysql
  user: ec2-user
  sudo: yes

  tasks:
    - name: Install MySQL
      action: yum name={{ item }}
      with_items:
        - MySQL-python
        - mysql
        - mysql-server

    - name: Start the MySQL service
      action: service name=mysqld state=started

    # ''localhost'' needs to be the last item for idempotency, see
    # http://ansible.cc/docs/modules.html#mysql-user
    - name: update mysql root password for all root accounts
      mysql_user: name=root host={{ item }} password={{ mysql_root_password }} priv=*.*:ALL,GRANT
      with_items:
        - "{{ ansible_hostname }}"
        - 127.0.0.1
        - ::1
        - localhost

    - name: copy .my.cnf file with root password credentials
      template: src=templates/root/.my.cnf dest=/root/.my.cnf owner=root mode=0600

La plantilla .my.cnf se ve así:

[client]
user=root
password={{ mysql_root_password }}

Editar: se agregaron los privilegios recomendados por Dhananjay Nene en los comentarios, y se cambió la interpolación variable para usar llaves en lugar de un signo de dólar .