Витязь на распутье: Ansible, Chef, Salt

Я выбрал из ansible и salt, выбрал ansible потому что работает без агента.

Используй рекуррентный expect, будь мужиком. ^___~

через ssh сессию с ключами ? Пфу ...

Тебе схема с агентом больше нравится?

ansible вестимо.

Ansible

Salt умеет без агента тоже.

Между Ansible vs Salt вероятно надо выбирать руководствуясь простым принципом - чей конфиг понравится больше, тот и брать.

Взял Ansible и не жалею.

что из предложенного самое отлаженное и трутовое

Все варианты. А LAMP можно вообще bash-скриптом развернуть.

🙃ansible самый самый.

Почему не рассматриваешь cfengine?

Из всех перепробованных вариантов только ansible прижился.

Дистрибутив с нужными параметрами ставится через штатный механизм preseed/kickstart.

Всё что сверху - накатывается через одну из 100500 систем управления конфигураций.

Скопировать уже установленное - clonezilla.

P.S. Если у тебя меньше 20 машин - забей на это дело, проще накатить руками. Реально, тема обширная, время потраченное на неё при мелких объёмах или редком использовании не окупается.

Я для себя выбрал salt. Причины - работа как с агентом (очень полезно, когда есть клиенты за NAT или хитрыми файрволлами, на которых почти всё запрещено), так и просто over SSH (хотя это реализовано менее удобно, чем в ansible). Плюс очень легко дописывать собственный код на питоне. Chef и puppet не рассматривал, так как оба написаны на ruby, изучение которого лично для себя я считаю абсолютно бесполезным.

Базовую систему с salt и минимальными настройками ставлю через cobbler/kickstart с самописными шаблонами.

LAMP можно вообще одной строкой apt-get install развернуть. Разве-что mysql по умолчанию требует задать пароль рута при установке.

Вопрос по сабжу, что из предложенного самое отлаженное и трутовое

Ничего. По моему наблюдению, пользователи этого шлака, напоминают туповатых домохозяек обменивающихся 100500-м рецептом тошнотворных пирожков.

Чтобы не быть голословным циником - посчитай, в скольких рецептах ты найдешь
1. - нормально настроенный файрвол (имеется ввиду не тупая блокировка портов)
2. - нормально настроенный selinux?
3. - нормально настроенный аудит?

Сразу скажу, таких - единицы и то, большинство их авторов уже не страдают такой херней.

Это добро есть смысл юзать только на большом числе хостов с ограниченным числом ролей/задач.

Puppet - это не про «быстро развернуть минимальный стек». Довольно сложная, но в то же время навороченная штука. Использовать строго при желании научиться этому всему.

Salt - уже проще, но документация на офсайте слишком размана, сложно воспринимается, багов в багтрекере раза в 2 больше чем в ansible (хотя, может и не показатель).

Ansible - самое простое, остановил выбор на нём. Сразу скажу, особой стабильности от него ждать тоже не стоит - в новом релизе регулярно ломают старые модули, которые ранее работали. Много багов в багтрекере висят годами. Но в целом - вполне логичная, понятная и простая штука.

Потому что не знаю, что это :-)

ОК, спасибо за ответ.

После 2 лет с chef, только ansible. chef просто ужасен, жрёт ресурсы, кукбуки полный шлак, провижен ломается несколько раз в месяц, даже с фризом кукбуков.

Хорошо, господа, всем спасибо за ответы.

Теперь имею представление, что к чему.

Между Ansible vs Salt вероятно надо выбирать руководствуясь простым принципом - чей конфиг понравится больше, тот и брать.

Субъективно, по Salt'у документации/примеров меньше ощутимо.
Agentless в своё время зарешал.

А докерфайлы ты видел?!

особой стабильности от него ждать тоже не стоит

По-этому я до сих пор сижу на 1.9, хватает полностью. Пару раз выхватывал проблем когда обновление даже на релиз (то есть не до последнего коммита из гита) ломает половину плейбуков (не что-то начало работать иначе а именно что поломалось), так что даже на относительно стабильную двойку пока не вижу смысла обновляться. Плюс они (разработчики Ansible) любят терять патчи (то есть какая-то фича, которую вмержили в разрабатываемую ветку, может не попасть в релиз, или попасть но быть выпиленной в следующем релизе просто потому что ее профукали при очередном мерже). В общем тут как никогда актуально «работает - не трогай».

Почитай на официальном сайте.

Ничего. По моему наблюдению, пользователи этого шлака, напоминают туповатых домохозяек обменивающихся 100500-м рецептом тошнотворных пирожков.

Чтобы не быть голословным циником - посчитай, в скольких рецептах ты найдешь
1. - нормально настроенный файрвол (имеется ввиду не тупая блокировка портов)
2. - нормально настроенный selinux?
3. - нормально настроенный аудит?

Сразу скажу, таких - единицы и то, большинство их авторов уже не страдают такой херней.

А что, кто-то серьёзно использует готовые рецепты/кукбуки/формулы/как_бы_ещё_разработчики_это_не_назвали? Я всегда считал, что они существуют только для того, чтобы можно было подсмотреть как сделано и стащить нужные куски к себе.

А что, кто-то серьёзно использует готовые рецепты/кукбуки/формулы/как_бы_ещё_разработчики_это_не_назвали? Я всегда считал, что они существуют только для того, чтобы можно было подсмотреть как сделано и стащить нужные куски к себе.

В том же ansible куча народу прописывает себе установку ролей из galaxy и реп на гитхабе.

ansible - порождение yamlа головного мозга.

В том же ansible куча народу прописывает себе установку ролей из galaxy и реп на гитхабе.

Это такая вариация на тему curl https://github.com/... | /bin/sh =).

Я всегда считал, что они существуют только для того, чтобы можно было подсмотреть как сделано и стащить нужные куски к себе.

Я тоже, пока не попробовал. В конце-концов уперся в то что здоровущие взаимозависимые рецепты в (декларативных моделях) все равно приходится обмазывать немалыми кусками баша, а в шефе рубать адскую простыню на рубях, которую и переиспользовать то можно только в редких случаях, при условии, что напарник рубист и выполняет весьма схожий деплой. Так что ИМХО тут не автоматизация, а снижение порога вхождения, с дерьмовыми последствиями.

Мне не с чем особо сравнивать, но на ~500 хостов я использую puppet 3 и foreman, ноды и на windows и на linux. Жрёт ресурсы - да, тяжеловесные файлы раздавать надо не с него - это ад и мучение, проблемы с большим количеством манифестов с exec/package под винду есть, но не сильно критичные. Тем не менее уже особо не представляю жизнь без него. Многие вещи делаются через него очень просто. Простой пример - раскатать везде кастомный vnc, работающий через рипитер с выводом id в факты с отображение через веб форму по каждой ноде отдельно через поиск foreman'а, после незамысловатой настройки добавить в манифесты значение id ноды и включить установку vnc в групповом манифесте и всё это занимает модуль на ~10 строк, манифест на ~40 строк, и по одной строке в конфиг каждой ноды, если хочешь статическое значение. Я через puppet по сути устанавливаю программы, поднимаю сервисы, контролирую версии, логины/пароли/ключи, спецсофт ставлю, делаю обновления, вношу изменения в реестр, в фаерволы, да и почти во что угодно. Да и ставлю и на серверные ноды и на клиентские. В любом случае лучше потратить время и накатать в паппете шаблоны, чем потом всё ставить руками и контролировать хз как.

Так или иначе при большом количестве хостов надо использовать какое-либо аналогичное решение. И желательно, чтобы это не было реализовано невнятными скриптами без внятного контроля.

Но есть одно «НО»... по сути это единая точка отказа и утечки для всей инфраструктуры.