Установка Ansible и плейбук для настройки нового VPS

Что такое Ansible и зачем он для нового VPS#

Ansible это программа, которая читает ваш файл с описанием настроек и приводит сервер к этому состоянию. Сами серверы при этом создаёт кто-то другой: вы в панели, по API или Terraform. Главное свойство: идемпотентность, то есть повторный запуск не меняет то, что уже в порядке, и безопасен.

Плейбук Ansible для нового сервера: пользователь, ключ, ufw и SSH#

Инвентарь на один новый сервер. Первый прогон идёт под root, потому что другого пользователя ещё нет:

[new]
203.0.113.10 ansible_user=root

---
- name: Подготовка нового сервера
  hosts: new
  become: true
  vars:
    admin_user: deploy
    admin_key: "{{ lookup('file', '~/.ssh/id_ed25519.pub') }}"
  tasks:
    - name: Обновить пакеты
      ansible.builtin.apt:
        update_cache: true
        upgrade: dist

    - name: Поставить базовые пакеты
      ansible.builtin.apt:
        name: [ufw, fail2ban, unattended-upgrades, curl, git]
        state: present

    - name: Создать пользователя
      ansible.builtin.user:
        name: "{{ admin_user }}"
        groups: sudo
        append: true
        shell: /bin/bash

    - name: Положить ключ
      ansible.posix.authorized_key:
        user: "{{ admin_user }}"
        key: "{{ admin_key }}"

    - name: Разрешить sudo без пароля
      ansible.builtin.copy:
        dest: "/etc/sudoers.d/{{ admin_user }}"
        content: "{{ admin_user }} ALL=(ALL) NOPASSWD:ALL\n"
        mode: "0440"
        validate: /usr/sbin/visudo -cf %s

    - name: Открыть SSH, HTTP и HTTPS
      community.general.ufw:
        rule: allow
        port: "{{ item }}"
        proto: tcp
      loop: ["22", "80", "443"]

    - name: Включить файрвол
      community.general.ufw:
        state: enabled
        policy: deny

    - name: Запретить вход root и вход по паролю
      ansible.builtin.copy:
        dest: /etc/ssh/sshd_config.d/10-hardening.conf
        content: |
          PermitRootLogin no
          PasswordAuthentication no
        mode: "0644"
      notify: Перезапустить ssh

  handlers:
    - name: Перезапустить ssh
      ansible.builtin.service:
        name: ssh
        state: restarted

1. Запустите: ansible-playbook -i inventory.ini bootstrap.yml. Порт 22 плейбук оставляет открытым, а 80 и 443 готовят сервер под Nginx или Caddy.
2. Проверьте вход новым пользователем в соседнем окне: ssh deploy@203.0.113.10.
3. Смените инвентарь на ansible_user=deploy и запустите ещё раз с ключом --check --diff: все задачи должны показать ok, а не changed.

Вопросы об установке Ansible#

Что посмотреть дальше