Ansibleでの構成管理の課題

Question

構成管理の課題

AnsibleでOS/MWの構成管理をしており、既存のサーバの設定を完全に管理したいのですが。
インフラ/アプリは別の人間がやっている前提でファイルの変更を全て追っていくことは可能でしょうか？

例えば極端な例ですが以下のような場合httpd. の変更も取り込みたいし
XXXXX.confの変更も構成管理対象としたい。

インフラ側 Ansible で管理しているファイル

• httpd.conf

インフラが引き渡し後にアプリが変更するファイル

• httpd.conf
• XXXXX.conf
• XXXXX.conf

できれば、インフラ側で自動で変更を追って管理していきたい。
アプリ側で何の設定ファイルを変更したのかヒアリングできれば
インフラ側で管理できるが、ファイル数が増えた場合に追従が手間となる。
申告漏れが発生した場合、追従できないリスクもある。

アプリ/インフラで管理範囲を分担するのもありだが、
構成管理といった観点ではずれが生じる。

Comments

[urbainleverrier]

インフラ側でデフォルト値とplaybookを用意してあげてアプリ側でデフォルト値をいじるというのでは対応できませんか？

[gsr]

@tktkt

基本的にアプリ側は Ansible を触ったことがない人しかいない為
今から学習させるのは少し考えどころです。

基本的に Ansible はインフラ側しか触らない場合はどうしたらよいでしょか。
Ansible で設定していない範囲のファイルとかも自動で終えるような仕組みがないものなのか。(gitみたいな感じ)

[urbainleverrier]

あまりお勧めできないですが、ansibleのcopyモジュールを使ってうまいことファイルの変更検知できませんか？
checksumとかvalidateとかです。
やったことがないので、身勝手ですが。

[gsr]

@urbainleverrier

回答ありがとうございます。

copy module は Ansible 上に構成管理対象のファイルがある前提かと思います。
その為、例えば Ansible での構築時に触っていないファイルが存在し、あとから
アプリが変更を加えた場合そのファイルは構成管理で追従できない認識です。

そういった観点でいうと私の当初の質問とやりたいことがずれてしまいます。

Answer 1

「完全に」がどのレベルかにもよると思います。
httpdのようにパスがわかっている場合は、不明なファイルはすべて消すplaybookをチェックモードで流すことで追加ファイルの検出はできそうです。
ただ、自由にプログラムを入れられる環境を管理しようとすると全ファイルを見ることになるでしょうから、現実的ではないと思います。

アプリ/インフラもAnsibleに取り込むのが良いかと思います。