mod

2023-09-05 10:53:16 +03:00
parent 122bfd4f1b
commit 721ec2232b
11 changed files with 24 additions and 29 deletions
--- a/ansible/02_deploy_primary_dc.yml
+++ b/ansible/02_deploy_primary_dc.yml
@@ -0,0 +1,107 @@
+---
+
+- name: Разворачивание контроллера домена
+  hosts: dctest1
+  vars_files:
+    - ./vars/vars.yml
+    - ./vars/mutable_vars.yml
+
+  tasks:
+  - name: Проверка соответствия ОС
+    ansible.builtin.fail:
+      msg: Операционная система должна быть Альт
+    when: ansible_os_family != "Altlinux"
+
+  - name: Проверка наличия развёрнутого домена на хосте {{ ansible_hostname }}
+    ansible.builtin.shell: "samba-tool domain info {{ ansible_default_ipv4.address }}"
+    register: samba_tool_result
+    ignore_errors: yes
+    
+  - name: Если на хосте развёрнут домен, выполнение прерывается
+    ansible.builtin.fail:
+      msg: На хосте {{ ansible_hostname }} обнаружен развёрнутый домен. Прерываю выполнение
+    when:
+      - samba_tool_result.failed == false
+
+  - name: Обновление системы
+    apt_rpm:
+      update_cache: true
+      dist_upgrade: true
+      clean: true
+  
+  - name: Назначение корректного имени хоста
+    ansible.builtin.hostname:
+      name: "{{ inventory_hostname }}.{{ dc_details.realm }}"
+      use: systemd
+
+  - name: Установка пакетов {{ packages }}
+    apt_rpm:
+      package: "{{ item }}"
+      state: present
+      update_cache: yes
+    loop: "{{ packages }}"
+  
+  - name: Разрешить подключение клиентов для синхронизации времени
+    ansible.builtin.lineinfile:
+      path: /etc/chrony.conf
+      line: allow all
+      create: yes
+  
+  - name: Включение службы синхронизации времени chrony
+    ansible.builtin.systemd:
+      name: chronyd
+      enabled: true
+      state: restarted
+      masked: false
+
+  - name: Отключение служб, которые будут конфликтовать с контроллером
+    ansible.builtin.systemd:
+      name: "{{ item }}"
+      enabled: false
+      state: stopped
+    loop: "{{ stop_daemons }}"
+    ignore_errors: yes
+
+  - name: Удалить старую конфигурацию Samba
+    ansible.builtin.file:
+      path: "{{ item }}"
+      state: absent
+      force: true
+    loop: "{{ old_config_to_remove }}"
+
+  - name: Создать каталог для хранения групповых политик
+    ansible.builtin.file:
+      path: "{{ gp_folder }}"
+      state: directory
+      mode: '0755'
+
+  - name: Настройка резолвера на 127.0.0.1
+    ansible.builtin.lineinfile:
+      path: /etc/resolvconf.conf
+      regexp: '^name_servers'
+      line: name_servers=127.0.0.1
+  
+  - name: Обновление конфигурации резолвера
+    ansible.builtin.shell: "resolvconf -u"
+
+  - name: Разворачивание первого контроллера домена
+    ansible.builtin.shell: |
+      samba-tool domain provision --realm={{ dc_details.realm }} --domain={{ dc_details.domain }} \
+        --adminpass='{{ dc_details.adminpass }}' --dns-backend=SAMBA_INTERNAL \
+        --option="dns forwarder={{ dc_details.dns_forwarder }}" --server-role=dc --use-rfc2307
+    register: dc_provision_output
+  - ansible.builtin.debug:
+      msg: dc_provision_output.stdout_lines
+  
+  - name: Включение службы {{ samba_service }}
+    ansible.builtin.systemd:
+      name: "{{ samba_service }}"
+      enabled: true
+      state: restarted
+      masked: false
+
+  - name: Копирование конфигурации Kerberos
+    ansible.builtin.copy:
+      remote_src: true
+      src: /var/lib/samba/private/krb5.conf
+      dest: /etc/krb5.conf
--- a/ansible/03_check_dc.yml
+++ b/ansible/03_check_dc.yml
@@ -0,0 +1,61 @@
+---
+
+- name: Проверка состояния контроллера домена
+  hosts: dctest1
+  vars_files:
+    - ./vars/vars.yml
+    - ./vars/mutable_vars.yml
+
+  tasks:
+  - name: Проверка наличия развёрнутого домена на хосте {{ ansible_hostname }}
+    ansible.builtin.shell: "samba-tool domain info {{ ansible_default_ipv4.address }}"
+    register: samba_tool_result
+
+  - name: Информация о домене
+    ansible.builtin.debug:
+      var: samba_tool_result.stdout_lines
+  
+  - name: Получение настройки резолвера
+    ansible.builtin.shell: "cat /etc/resolv.conf"
+    register: resolv_conf_result
+  - name: Вывод /etc/resolv.conf
+    ansible.builtin.debug:
+      var: resolv_conf_result.stdout_lines
+
+  - name: Записи служб DNS. Kerberos
+    ansible.builtin.shell: "host -t SRV _kerberos._udp.{{ dc_details.realm }}"
+    register: srv_kerberos
+  - name: SRV запись Kerberos
+    ansible.builtin.debug:
+      var: srv_kerberos.stdout_lines
+  
+  - name: Записи служб DNS. LDAP
+    ansible.builtin.shell: "host -t SRV _ldap._tcp.{{ dc_details.realm }}"
+    register: srv_ldap
+  - name: SRV запись LDAP
+    ansible.builtin.debug:
+      var: srv_ldap.stdout_lines
+  
+  - name: Записи служб DNS. A запись
+    ansible.builtin.shell: "host {{ ansible_hostname }}.{{ dc_details.realm }}"
+    register: a_line
+  - name: A запись домена
+    ansible.builtin.debug:
+      var: a_line.stdout_lines
+
+  - name: Проверка возможности авторизации Kerberos
+    ansible.builtin.expect:
+      command: "kinit {{ dc_details.admin }}"
+      responses:
+        # "Password for {{ dc_details.admin }}@{{ dc_details.realm_u }}:": "{{ dc_details.adminpass }}"
+        "Password for .*:": "{{ dc_details.adminpass }}"
+      echo: true
+      timeout: 5
+    no_log: true
+
+  - name: Текущие билеты Kerberos
+    ansible.builtin.shell: "klist"
+    register: klist
+  - name: Вывод билета Kerberos
+    ansible.builtin.debug:
+      var: klist.stdout_lines
--- a/ansible/04_add_samba_users.yml
+++ b/ansible/04_add_samba_users.yml
@@ -0,0 +1,40 @@
+---
+
+- name: Создание пользователей контроллера домена
+  hosts: dctest1
+  vars:
+    - samba_user_mode: create
+  vars_files:
+    - ./vars/samba_users.yml
+
+  tasks:
+  - name: Пользователи в домене Samba
+    ansible.builtin.command: samba-tool user list
+    register: user_list
+  - name: Список пользователей
+    ansible.builtin.debug:
+      var: user_list.stdout_lines
+
+  - name: Создаются пользователи домена
+    ansible.builtin.command: |
+      samba-tool user {{ samba_user_mode }} \
+        {{ item.username }} {{ item.password }} \
+        --login-shell=/bin/bash \
+        --gecos='{{ item.fname }} {{ item.sname }}' \
+        --given-name={{ item.fname }} --surname={{ item.sname }}
+    loop: "{{ samba_users }}"
+    when: (not item.username in user_list.stdout_lines) and (samba_user_mode != 'delete')
+    no_log: true
+  
+  - name: Удаляются пользователи домена
+    ansible.builtin.command: samba-tool user {{ samba_user_mode }} {{ item.username }}
+    loop: "{{ samba_users }}"
+    when: samba_user_mode == 'delete'
+    register: status
+    ignore_errors: true
+    no_log: true
+  - debug:
+      msg: "{{ status.results[1].stderr_lines }}"
+    when: samba_user_mode == 'delete'
+
+
--- a/ansible/05_add_samba_clients.yml
+++ b/ansible/05_add_samba_clients.yml
@@ -0,0 +1,67 @@
+---
+
+- name: Добавление компьютеров в контроллер
+  hosts: testws
+  vars_files:
+    - ./vars/vars.yml
+    - ./vars/mutable_vars.yml
+
+  tasks:
+  - name: Проверка того, что узел не является членом домена
+    ansible.builtin.shell: net ads testjoin
+    register: testjoin
+    ignore_errors: yes
+  - name: Результат проверки
+    ansible.builtin.debug:
+      var: testjoin.stdout_lines
+    failed_when: testjoin.rc == 0
+  
+  - name: Обновление системы
+    apt_rpm:
+      update_cache: true
+      dist_upgrade: true
+      clean: true
+  
+  - name: Назначение корректного имени хоста
+    ansible.builtin.hostname:
+      name: "{{ inventory_hostname }}.{{ dc_details.realm }}"
+      use: systemd
+
+  - name: Настройка резолвера на контроллеры домена - {{ dc_details.dc1_ip }}, {{ dc_details.dc2_ip }}
+    ansible.builtin.lineinfile:
+      path: /etc/resolvconf.conf
+      regexp: '^name_servers'
+      line: name_servers="{{ dc_details.dc1_ip }} {{ dc_details.dc2_ip }}"
+  
+  # - name: Настройка резолвера доменную зону - {{ dc_details.realm }}
+  #   ansible.builtin.lineinfile:
+  #     path: /etc/resolvconf.conf
+  #     regexp: '^search_domains'
+  #     line: search_domains={{ dc_details.realm }}
+  
+  - name: Обновление конфигурации резолвера
+    ansible.builtin.shell: "resolvconf -u"
+
+  - name: Установка клиентского пакета Samba {{ samba_client_package }}
+    apt_rpm:
+      package: "{{ samba_client_package }}"
+      state: present
+      update_cache: yes
+
+  - name: Ввод в домен
+    ansible.builtin.shell: |
+      system-auth write ad {{ dc_details.realm }} {{ inventory_hostname }} {{ dc_details.domain }} \
+        '{{ dc_details.admin }}' '{{ dc_details.adminpass }}'
+    register: add_to_domain
+  - name: Итог ввода
+    ansible.builtin.debug:
+      var: add_to_domain.stdout_lines
+
+  - name: Проверка ввода в домен
+    ansible.builtin.shell: net ads testjoin
+    register: testjoin
+    failed_when: testjoin.rc != 0
+  
+  - name: Перезагрузка узла после добваления в домен
+    ansible.builtin.reboot:
+      reboot_timeout: 3600
--- a/ansible/06_deploy_second_dc.yml
+++ b/ansible/06_deploy_second_dc.yml
@@ -0,0 +1,125 @@
+---
+
+- name: Разворачивание контроллера домена
+  hosts: dctest2
+  vars_files:
+    - ./vars/vars.yml
+    - ./vars/mutable_vars.yml
+
+  tasks:
+  - name: Проверка соответствия ОС
+    ansible.builtin.fail:
+      msg: Операционная система должна быть Альт
+    when: ansible_os_family != "Altlinux"
+
+  - name: Проверка наличия развёрнутого домена на хосте {{ ansible_hostname }}
+    ansible.builtin.shell: "samba-tool domain info {{ ansible_default_ipv4.address }}"
+    register: samba_tool_result
+    ignore_errors: yes
+    
+  - name: Если на хосте развёрнут домен, выполнение прерывается
+    ansible.builtin.fail:
+      msg: На хосте {{ ansible_hostname }} обнаружен развёрнутый домен. Прерываю выполнение
+    when:
+      - samba_tool_result.failed == false
+
+  - name: Обновление системы
+    apt_rpm:
+      update_cache: true
+      dist_upgrade: true
+      clean: true
+  
+  - name: Назначение корректного имени хоста
+    ansible.builtin.hostname:
+      name: "{{ inventory_hostname }}.{{ dc_details.realm }}"
+      use: systemd
+
+  - name: Установка пакетов {{ packages }}
+    apt_rpm:
+      package: "{{ item }}"
+      state: present
+      update_cache: yes
+    loop: "{{ packages }}"
+  
+  - name: Разрешить подключение клиентов для синхронизации времени
+    ansible.builtin.lineinfile:
+      path: /etc/chrony.conf
+      line: allow all
+      create: yes
+
+  - name: Настройка синхронизации времени с контроллером домена - {{ dc_details.dc_ip }}
+    ansible.builtin.lineinfile:
+      path: /etc/resolvconf.conf
+      regexp: '^server .*'
+      line: server {{ dc_details.dc_ip }}
+  
+  - name: Перезапуск службы синхронизации времени
+    ansible.builtin.systemd:
+      name: "{{ sync_time_daemon }}"
+      enabled: true
+      state: restarted
+      masked: false
+
+  - name: Отключение служб, которые будут конфликтовать с контроллером
+    ansible.builtin.systemd:
+      name: "{{ item }}"
+      enabled: false
+      state: stopped
+    loop: "{{ stop_daemons }}"
+    ignore_errors: yes
+
+  - name: Удалить старую конфигурацию Samba
+    ansible.builtin.file:
+      path: "{{ item }}"
+      state: absent
+      force: true
+    loop: "{{ old_config_to_remove }}"
+
+  - name: Создать каталог для хранения групповых политик
+    ansible.builtin.file:
+      path: "{{ gp_folder }}"
+      state: directory
+      mode: '0755'
+
+  - name: Настройка резолвера на контроллер домена - {{ dc_details.dc_ip }}
+    ansible.builtin.lineinfile:
+      path: /etc/resolvconf.conf
+      regexp: '^name_servers'
+      line: name_servers={{ dc_details.dc_ip }}
+  
+  # - name: Настройка резолвера доменную зону - {{ dc_details.realm }}
+  #   ansible.builtin.lineinfile:
+  #     path: /etc/resolvconf.conf
+  #     regexp: '^search_domains'
+  #     line: search_domains={{ dc_details.realm }}
+
+  ################################################################################################
+
+  # !!! Как обратится к первому контроллеру,чтобы добавить в DNS запись о втором контроллере? !!!!
+
+  ################################################################################################
+  
+  - name: Обновление конфигурации резолвера
+    ansible.builtin.shell: "resolvconf -u"
+
+  - name: Разворачивание первого контроллера домена
+    ansible.builtin.shell: |
+      samba-tool domain provision --realm={{ dc_details.realm }} --domain={{ dc_details.domain }} \
+        --adminpass='{{ dc_details.adminpass }}' --dns-backend=SAMBA_INTERNAL \
+        --option="dns forwarder={{ dc_details.dns_forwarder }}" --server-role=dc --use-rfc2307
+    register: dc_provision_output
+  - ansible.builtin.debug:
+      msg: dc_provision_output.stdout_lines
+  
+  - name: Включение службы {{ samba_service }}
+    ansible.builtin.systemd:
+      name: "{{ samba_service }}"
+      enabled: true
+      state: restarted
+      masked: false
+
+  - name: Копирование конфигурации Kerberos
+    ansible.builtin.copy:
+      remote_src: true
+      src: /var/lib/samba/private/krb5.conf
+      dest: /etc/krb5.conf
--- a/ansible/hosts.ini
+++ b/ansible/hosts.ini
@@ -1,2 +1,17 @@
 [proxmox]
 pve ansible_host=10.1.1.10 ansible_user=root
+
+[dc]
+alts1 ansible_host=10.1.1.11 ansible_user=root
+alts2 ansible_host=10.1.1.12 ansible_user=root
+
+[nas]
+alts3 ansible_host=10.1.1.13 ansible_user=root
+
+[test]
+dctest1 ansible_host=192.168.13.139 ansible_user=root
+dctest2 ansible_host=192.168.13.155 ansible_user=root
+
+[testws]
+altws ansible_host=192.168.13.152 ansible_user=root
+altkws ansible_host=192.168.13.153 ansible_user=root
--- a/ansible/vars/mutable_vars.yml
+++ b/ansible/vars/mutable_vars.yml
@@ -0,0 +1,9 @@
+dc_details:
+  dc1_ip: 192.168.13.139
+  dc2_ip: 192.168.13.155
+  realm: alt.lan
+  realm_u: ALT.LAN
+  domain: alt
+  admin: Administrator
+  adminpass: P@ssw0rd
+  dns_forwarder: 77.88.8.8
--- a/ansible/vars/samba_users.yml
+++ b/ansible/vars/samba_users.yml
@@ -0,0 +1,10 @@
+samba_users:
+  - username: ivanov
+    password: P@ssw0rd
+    fname: Иван
+    sname: Иванов
+  
+  - username: petrov
+    password: P@ssw0rd
+    fname: Пётр
+    sname: Петров
--- a/ansible/vars/vars.yml
+++ b/ansible/vars/vars.yml
@@ -0,0 +1,29 @@
+# Переменные для настройки контроллера домена
+packages:
+  - task-samba-dc
+  - chrony
+  - bind-utils
+  - python3-module-pexpect
+
+stop_daemons:
+  - smb
+  - nmb
+  - krb5kdc
+  - slapd
+  - bind
+
+old_config_to_remove:
+  - /etc/samba/smb.conf
+  - /var/lib/samba
+  - /var/cache/samba
+
+folder_for_gp:
+  - /var/lib/samba/sysvol
+
+gp_folder: /var/lib/samba/sysvol
+
+samba_service: samba
+
+# Переменные для настройки компьютеров-клиентов домена
+sync_time_daemon: chronyd
+samba_client_package: task-auth-ad-sssd