Criar uma máquina virtual do Windows no Azure usando o Ansible

Artigo
10/23/2023

Este artigo mostra como implantar uma VM do Windows Server 2019 no Azure com o Ansible.

Neste artigo, vai aprender a:

Criar um grupo de recursos

Criar uma rede virtual, IP público, grupo de segurança de rede e interface de rede

Implantar uma máquina virtual do Windows Server

Conectar-se à máquina virtual via WinRM

Executar um manual do Ansible para configurar o Windows IIS

Pré-requisitos

Subscrição do Azure: se não tem uma subscrição do Azure, crie uma conta gratuita antes de começar.

Entidade de serviço do Azure: crie uma entidade de serviço, anotando os seguintes valores: appId, displayName, senha e locatário.

Instale o Ansible: execute uma das seguintes opções:
- Instalar e configurar o Ansible em uma máquina virtual Linux
- Configurar o Azure Cloud Shell

Adicionar suporte ao WinRM ao Ansible

Para se comunicar pelo WinRM, o servidor de controle Ansible precisa do pacote pywinrmpython.

Execute o seguinte comando no servidor Ansible para instalar pywinrmo :

pip install "pywinrm>=0.3.0"

Para obter mais informações, consulte Gerenciamento remoto do Windows para Ansible.

Criar um grupo de recursos

Crie um playbook do Ansible com o nome azure_windows_vm.yml e copie o seguinte conteúdo para o playbook:

---
- name: Create Azure VM
  hosts: localhost
  connection: local
  tasks:

  - name: Create resource group
    azure_rm_resourcegroup:
      name: myResourceGroup
      location: eastus

Pontos principais:

Configuração hosts como localhost e connection como _local_ executa o playbook localmente no servidor Ansible.

Criar a rede virtual e a sub-rede

Adicione as seguintes tarefas ao manual do azure_windows_vm.yml Ansible para criar uma rede virtual:

  - name: Create virtual network
    azure_rm_virtualnetwork:
      resource_group: myResourceGroup
      name: vNet
      address_prefixes: "10.0.0.0/16"

  - name: Add subnet
    azure_rm_subnet:
      resource_group: myResourceGroup
      name: subnet
      address_prefix: "10.0.1.0/24"
      virtual_network: vNet

Crie um endereço IP público

Adicione as seguintes tarefas ao azure_windows_vm.yml manual para criar um endereço IP público:

  - name: Create public IP address
    azure_rm_publicipaddress:
      resource_group: myResourceGroup
      allocation_method: Static
      name: pip
    register: output_ip_address

  - name: Output public IP
    debug:
      msg: "The public IP is {{ output_ip_address.state.ip_address }}"

Pontos principais:

O módulo Ansible register é usado para armazenar a saída de azure_rm_publicipaddress uma variável chamada output_ip_address.
O debug módulo é usado para enviar o endereço IP público da VM para o console.

Criar grupo de segurança de rede e NIC

O grupo de segurança de rede define qual tráfego é permitido e não permitido para alcançar a VM.

Para abrir as portas WinRM e HTTP, adicione as seguintes tarefas ao playbook do azure_windows_vm.yml Ansible:

  - name: Create Network Security Group
    azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: networkSecurityGroup
      rules:
        - name: 'allow_rdp'
          protocol: Tcp
          destination_port_range: 3389
          access: Allow
          priority: 1001
          direction: Inbound
        - name: 'allow_web_traffic'
          protocol: Tcp
          destination_port_range:
            - 80
            - 443
          access: Allow
          priority: 1002
          direction: Inbound
        - name: 'allow_powershell_remoting'
          protocol: Tcp
          destination_port_range: 
            - 5985
            - 5986
          access: Allow
          priority: 1003
          direction: Inbound

  - name: Create a network interface
    azure_rm_networkinterface:
      name: nic
      resource_group: myResourceGroup
      virtual_network: vNet
      subnet_name: subnet
      security_group: networkSecurityGroup
      ip_configurations:
        - name: default
          public_ip_address_name: pip
          primary: True

Pontos principais:

Uma placa de interface de rede virtual conecta sua VM à rede virtual, endereço IP público e grupo de segurança.
O azure_rm_securitygroup cria um grupo de segurança de rede do Azure para permitir o tráfego do WinRM do servidor Ansible para o host remoto, permitindo a porta 5985 e 5986o .

Criar uma máquina virtual

Em seguida, crie uma máquina virtual que use todos os recursos criados nas seções anteriores deste artigo.

Adicione a seguinte tarefa ao manual do azure_windows_vm.yml Ansible:

  - name: Create VM
    azure_rm_virtualmachine:
      resource_group: myResourceGroup
      name: win-vm
      vm_size: Standard_DS1_v2
      admin_username: azureuser
      admin_password: "{{ password }}"
      network_interfaces: nic
      os_type: Windows
      image:
          offer: WindowsServer
          publisher: MicrosoftWindowsServer
          sku: 2019-Datacenter
          version: latest
    no_log: true

O admin_password valor de é uma variável Ansible que contém a senha da VM do {{ password }} Windows. Para preencher essa variável com segurança, adicione uma var_prompts entrada ao início do playbook.

- name: Create Azure VM
  hosts: localhost
  connection: local
  vars_prompt:
    - name: password
      prompt: "Enter local administrator password"
  tasks:

Pontos principais:

Evite armazenar dados confidenciais como texto sem formatação. Use var_prompts para preencher variáveis em tempo de execução. Adicionar no_log: true para impedir que as palavras-passe sejam registadas.

Configurar o ouvinte do WinRM

O Ansible usa o PowerShell para conectar e configurar hosts remotos do Windows via WinRM.

Para configurar o WinRM, adicione o seguinte ext azure_rm_virtualmachineextension:

  - name: Create VM script extension to enable HTTPS WinRM listener
    azure_rm_virtualmachineextension:
      name: winrm-extension
      resource_group: myResourceGroup
      virtual_machine_name: win-vm
      publisher: Microsoft.Compute
      virtual_machine_extension_type: CustomScriptExtension
      type_handler_version: '1.9'
      settings: '{"fileUris": ["https://raw.githubusercontent.com/ansible/ansible-documentation/devel/examples/scripts/ConfigureRemotingForAnsible.ps1"],"commandToExecute": "powershell -ExecutionPolicy Unrestricted -File ConfigureRemotingForAnsible.ps1"}'
      auto_upgrade_minor_version: true

O Ansible não pode se conectar à VM até que o WinRM esteja totalmente configurado.

Adicione as seguintes tarefas ao seu playbook para aguardar a conexão WinRM:

  - name: Get facts for one Public IP
    azure_rm_publicipaddress_info:
      resource_group: myResourceGroup
      name: pip
    register: publicipaddresses

  - name: set public ip address fact
    set_fact: publicipaddress="{{ publicipaddresses | json_query('publicipaddresses[0].ip_address')}}"

  - name: wait for the WinRM port to come online
    wait_for:
      port: 5986
      host: '{{ publicipaddress }}'
      timeout: 600

Pontos principais:

O azure_rm_virtualmachineextension módulo permite executar um script do PowerShell localmente no Windows do Azure. A execução do script PowerShell configura o ConfigureRemotingForAnsible.ps1 WinRM criando certificados autoassinados e abrindo as portas necessárias para o Ansible se conectar.
O azure_rm_publicipaddress_info módulo consulta o endereço IP público do Azure e, em seguida, set_fact armazena a saída em uma variável para o wait_for módulo usar.

Manual de procedimentos completo do Ansible de exemplo.

Esta secção apresenta o manual de procedimentos completo de exemplo do Ansible que criou ao longo deste artigo.

---
- name: Create Azure VM
  hosts: localhost
  connection: local
  vars_prompt:
    - name: password
      prompt: "Enter local administrator password"
  tasks:

  - name: Create resource group
    azure_rm_resourcegroup:
      name: myResourceGroup
      location: eastus

  - name: Create virtual network
    azure_rm_virtualnetwork:
      resource_group: myResourceGroup
      name: vNet
      address_prefixes: "10.0.0.0/16"

  - name: Add subnet
    azure_rm_subnet:
      resource_group: myResourceGroup
      name: subnet
      address_prefix: "10.0.1.0/24"
      virtual_network: vNet

  - name: Create public IP address
    azure_rm_publicipaddress:
      resource_group: myResourceGroup
      allocation_method: Static
      name: pip
    register: output_ip_address

  - name: Output public IP
    debug:
      msg: "The public IP is {{ output_ip_address.state.ip_address }}"
  
  - name: Create Network Security Group
    azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: networkSecurityGroup
      rules:
        - name: 'allow_rdp'
          protocol: Tcp
          destination_port_range: 3389
          access: Allow
          priority: 1001
          direction: Inbound
        - name: 'allow_web_traffic'
          protocol: Tcp
          destination_port_range:
            - 80
            - 443
          access: Allow
          priority: 1002
          direction: Inbound
        - name: 'allow_powershell_remoting'
          protocol: Tcp
          destination_port_range: 
            - 5985
            - 5986
          access: Allow
          priority: 1003
          direction: Inbound

  - name: Create a network interface
    azure_rm_networkinterface:
      name: nic
      resource_group: myResourceGroup
      virtual_network: vNet
      subnet_name: subnet
      security_group: networkSecurityGroup
      ip_configurations:
        - name: default
          public_ip_address_name: pip
          primary: True

  - name: Create VM
    azure_rm_virtualmachine:
      resource_group: myResourceGroup
      name: win-vm
      vm_size: Standard_DS1_v2
      admin_username: azureuser
      admin_password: "{{ password }}"
      network_interfaces: nic
      os_type: Windows
      image:
          offer: WindowsServer
          publisher: MicrosoftWindowsServer
          sku: 2019-Datacenter
          version: latest
    no_log: true

  - name: Create VM script extension to enable HTTPS WinRM listener
    azure_rm_virtualmachineextension:
      name: winrm-extension
      resource_group: myResourceGroup
      virtual_machine_name: win-vm
      publisher: Microsoft.Compute
      virtual_machine_extension_type: CustomScriptExtension
      type_handler_version: '1.9'
      settings: '{"fileUris": ["https://raw.githubusercontent.com/ansible/ansible-documentation/devel/examples/scripts/ConfigureRemotingForAnsible.ps1"],"commandToExecute": "powershell -ExecutionPolicy Unrestricted -File ConfigureRemotingForAnsible.ps1"}'
      auto_upgrade_minor_version: true

  - name: Get facts for one Public IP
    azure_rm_publicipaddress_info:
      resource_group: myResourceGroup
      name: pip
    register: publicipaddresses

  - name: set public ip address fact
    set_fact: publicipaddress="{{ publicipaddresses | json_query('publicipaddresses[0].ip_address')}}"

  - name: wait for the WinRM port to come online
    wait_for:
      port: 5986
      host: '{{ publicipaddress }}'
      timeout: 600

Conectar-se à máquina virtual do Windows

Crie um novo playbook do Ansible com o nome connect_azure_windows_vm.yml e copie o seguinte conteúdo para o playbook:

---
- hosts: all
  vars_prompt:
    - name: ansible_password
      prompt: "Enter local administrator password"
  vars:
    ansible_user: azureuser
    ansible_connection: winrm
    ansible_winrm_transport: ntlm
    ansible_winrm_server_cert_validation: ignore
  tasks:

  - name: Test connection
    win_ping:

Execute o manual do Ansible.

ansible-playbook connect_azure_windows_vm.yml -i <publicIPaddress>,

Substitua <publicIPaddress> pelo endereço da máquina virtual.

Pontos principais:

A configuração do Ansible determina como o Ansible se conecta e autentica em hosts remotos. As variáveis que você precisa definir para se conectar a um host Windows dependem do seu tipo de conexão WinRM e da opção de autenticação escolhida. Para obter mais informações, consulte Conectando-se a um host do Windows e Opções de autenticação do Windows.
Adicionar uma vírgula após o endereço IP público ignora o analisador de inventário do Ansible. Essa técnica permite que você execute playbooks sem um arquivo de inventário.

Clean up resources (Limpar recursos)

Salve o código a seguir como delete_rg.yml.

---
- hosts: localhost
  tasks:
    - name: Deleting resource group - "{{ name }}"
      azure_rm_resourcegroup:
        name: "{{ name }}"
        state: absent
      register: rg
    - debug:
        var: rg

Execute o playbook usando o comando ansible-playbook . Substitua o espaço reservado pelo nome do grupo de recursos a ser excluído. Todos os recursos dentro do grupo de recursos serão excluídos.
```
ansible-playbook delete_rg.yml --extra-vars "name=<resource_group>"
```
Pontos principais:
- Devido à variável e debug à register seção do playbook, os resultados são exibidos quando o comando é concluído.

Execute az group delete para excluir o grupo de recursos. Todos os recursos dentro do grupo de recursos serão excluídos.
```
az group delete --name <resource_group>
```
Verifique se o grupo de recursos foi excluído usando az group show.
```
az group show --name <resource_group>
```

Execute Remove-AzResourceGroup para excluir o grupo de recursos. Todos os recursos dentro do grupo de recursos serão excluídos.
```
Remove-AzResourceGroup -Name <resource_group>
```
Verifique se o grupo de recursos foi excluído usando Get-AzResourceGroup.
```
Get-AzResourceGroup -Name <resource_group>
```

Próximos passos

Ansible no Azure

Partilhar via

Criar uma máquina virtual do Windows no Azure usando o Ansible

Pré-requisitos

Adicionar suporte ao WinRM ao Ansible

Criar um grupo de recursos

Criar a rede virtual e a sub-rede

Crie um endereço IP público

Criar grupo de segurança de rede e NIC

Criar uma máquina virtual

Configurar o ouvinte do WinRM

Manual de procedimentos completo do Ansible de exemplo.

Conectar-se à máquina virtual do Windows

Clean up resources (Limpar recursos)

Próximos passos

Comentários

Recursos adicionais