Co je správa konfigurací a proč na ní záleží
Správa konfigurací (Configuration Management, CM) je disciplína, která zajišťuje konzistentní, opakovatelný a auditovatelný stav serverů, kontejnerů, sítí a aplikací v celém životním cyklu. Cílem je deklarativně popsat žádoucí stav (balíčky, služby, soubory, uživatelé, oprávnění, šablony) a tento stav idempotentně vynutit v různých prostředích (dev, test, prod). Správa konfigurací minimalizuje konfigurační drift, zkracuje MTTR, zvyšuje bezpečnost a umožňuje škálování provozu bez lineárního růstu lidské práce.
Principy: deklarativní vs. imperativní, push vs. pull, agent vs. bez agenta
- Deklarativní model: popisujete cílový stav (např. služba má běžet, balíček má být nainstalován). Systém rozhodne, jak jej dosáhnout; lépe se testuje, je odolný vůči změnám a je idempotentní.
- Imperativní model: popisujete kroky (spusť tohle, pak tamto). Vhodné pro orchestrace a jednorázové úlohy, ale hůře zajišťuje idempotenci.
- Push model: řídicí uzel „tlačí“ změny na cíle (typicky Ansible).
- Pull model: agenti si periodicky „táhnou“ konfigurace ze serveru (typicky Puppet, Chef).
- Agentless vs. agent: bezagentový přístup zjednodušuje správu klientů (SSH/WinRM), agentní přístup poskytuje stabilní kanál, inventarizaci, plánování a reporting.
Architektura a komponenty Ansible, Puppet a Chef
- Ansible: bezagentový nástroj běžící nad SSH/WinRM. Klíčové prvky: inventář (statický či dynamický), moduly, playbooky, role, kolekce, šablony (Jinja2), vault pro šifrování tajemství. Orchestrace a konfigurační změny probíhají v režimu push, často integrované do CI/CD a Ansible Automation Platform/Controller.
- Puppet: agent–server architektura. Klienti (Puppet agent) si v intervalech stahují katalog ze serveru (Puppet Server), fakta shromažďuje Facter, stav a události ukládá PuppetDB. Jednotkou je manifest (jazyk Puppet), opakovatelnost zajišťují třídy a moduly. Silné v compliance a dlouhodobém udržení stavu.
- Chef: agent (Chef Client) komunikuje se Chef Serverem; definice v Ruby DSL (recepty, cookbooks), ohai sbírá fakta. Silný ekosystém nástrojů: Test Kitchen pro testování, Policyfiles pro řízení verzí a konzistence, InSpec pro compliance.
Modelování stavu: moduly, zdroje, recepty, manifesty a role
- Ansible: playbooky popisují cíle a role strukturovaně seskupují proměnné, šablony a úlohy. Moduly zajišťují idempotenci (např.
package,service,user). Proměnné lze vrstvit (group vars, host vars) a dědit; výstupy lze řetězit filtrováním a podmínkami. - Puppet: resource typy a třídy definují stav, deklarativní syntaxe minimalizuje vedlejší efekty. Modulární repozitáře s metadaty usnadňují sdílení a znovupoužitelnost, závislosti a notifikace řeší pořadí aplikace.
- Chef: recepty (recipes) a kuchařky (cookbooks) popisují zdroje; Ruby DSL poskytuje silnou expresivitu pro komplexní logiku. Role a prostředí (environments) usnadňují „promotion“ verzí.
Inventář, fakta a dynamika prostředí
- Inventarizace: statické soubory vs. dynamické zdroje (cloud API, CMDB, Kubernetes). Správné rozdělení do skupin (role, zóny, tenant) usnadňuje cílení změn.
- Fakta: systémové parametry (OS, CPU, paměť, síť) ovlivňují podmíněné aplikace stavů (Ansible facts, Facter, ohai). Ukládání faktů podporuje reporty a kapacitní plánování.
Šablonování a správa tajemství
- Šablony: generování konfiguračních souborů s proměnnými (Ansible Jinja2, Puppet EPP/ERB, Chef ERB). Důležité je oddělit data od logiky a validovat syntaxi cílových služeb.
- Tajemství: šifrovaná úložiště (Ansible Vault), hierarchický key–value store (Hiera s podporou šifrování), specializované trezory (HashiCorp Vault, Chef Vault). Správná rotace klíčů a audit je nezbytná pro compliance.
Testování: od statické validace po integrační a compliance testy
- Lint a statická analýza: kontrola stylu a antipatternů (ansible-lint, puppet-lint, cookstyle/rubocop).
- Jednotkové a integrační testy: Molecule pro Ansible (provisioner Docker/Podman/Vagrant), rspec-puppet, Test Kitchen pro Chef s ověřením nad cílovým OS.
- Compliance testy: InSpec, OpenSCAP a pravidla CIS/benchmarks vynucují bezpečnostní baseline jako kód.
CI/CD a řízení změn
Konfigurace je kód, a proto patří do verzovacího systému. Pipeline pokrývá lint, testy, build artefaktů (kolekce, moduly, cookbooks), podepisování, publikaci do repozitářů (Galaxy, Forge, Supermarket) a řízené nasazení do prostředí (canary, postupné rollouty). Schvalovací brany, code review a automatické generování dokumentace snižují riziko regresí.
Výkonnost, škálování a spolehlivost
- Paralelizace: v Ansible řízená počtem forků a strategií; u agentních platforem plánování běhů a horizontální škálování serverů.
- Kešování: cache faktů, katalogů a balíčků zrychluje běhy a snižuje zátěž repozitářů.
- Idempotence a pořadí: správná dekompozice úloh, notifikace a závislosti zabraňují race conditions.
- Observabilita: centrální logy, metriky běhů, doba konvergence, drift detekce, SLA pro konfiguraci.
Bezpečnost a compliance v praxi
- Least privilege: precizní řízení privilegovaných operací (sudo, become, runas) a RBAC v řídicích nástrojích.
- Integrita a audit: kontrolní součty, podpisy artefaktů, auditní záznamy o změnách a schváleních.
- Baseline jako kód: šablony bezpečnostních politik (CIS, STIG) zapisovat deklarativně a testovat.
Cloud, sítě, Windows a container/edge scénáře
- Cloud: moduly a zdroje pro AWS, Azure, GCP zajišťují provisioning i post-provision konfiguraci. Dynamický inventář reflektuje škálování a ephemeral nody.
- Network automation: moduly pro síťové prvky (např. ovládání přes API/SSH), idempotentní šablony konfigurací, transakční změny a validace zpětným čtením.
- Windows: WinRM, DSC a nativní moduly umožňují jednotnou správu heterogenních flotil.
- Kontejnery a edge: základní obraz budovat jako immutable, CM používat pro generování konfigurací, tajemství a bootstrap; na edge omezovat latenci a velikost závislostí.
Data a konfigurace: Hiera, proměnkové hierarchie a sémantické verzování
Oddělení kódu (logika) a dat (hodnoty) je zásadní. Hierarchické vrstvení proměnných podle prostředí, role, regionu a zákazníka zmenšuje duplikace. Sémantické verzování a zamykání závislostí (lock files) zvyšuje reprodukovatelnost.
Procesy a organizace: platform engineering a vlastnictví
- Platform engineering: správa centrální CM platformy (repozitáře, registry modulů, tajemství, runner infrastruktura) s cílem self-service pro produktové týmy.
- Doménová odpovědnost: týmy vlastní role a moduly pro své služby, sdílené knihovny spravuje centrální platforma.
- Katalog a dokumentace: auto-dokumentace rolí, příklady použití, smluvní rozhraní proměnných a výchozí hodnoty.
Porovnání Ansible, Puppet a Chef: silné a slabé stránky
- Ansible: rychlý onboarding, bez agentů, skvělé pro orchestraci a ad-hoc operace; vhodný i pro síťové prvky. Méně vhodné pro trvalý „enforcement“ bez další vrstvy plánování a reportingu.
- Puppet: silný v dlouhodobé konvergenci a compliance, pokročilý reporting přes PuppetDB; vyšší vstupní složitost a požadavek na agentní provoz.
- Chef: flexibilní DSL v Ruby, robustní ekosystém testování a compliance (InSpec); vyžaduje znalost Ruby a pečlivé řízení verzí cookbooks.
Antipatterny a jak se jim vyhnout
- Imperativní playbooky: nahrazovat deklarativními zdroji a idempotentními moduly.
- Monolitické role: tříštit na malé, znovupoužitelné moduly s jasnými vstupy a výstupy.
- Tajemství v repu: vždy šifrovat nebo odkazovat na externí trezor; auditovat přístupy.
- Snowflake servery: nepřepisovat ručně, raději znovu-provizionovat a konvergovat přes CM.
- Chybějící testy: zavést lint, unit/integrace, compliance v CI před nasazením.
Metriky úspěchu a ekonomika provozu
- Doba konvergence: čas od commitu po dosažení cílového stavu na infrastruktuře.
- Drift rate: procento uzlů s odchylkou od definované baseline.
- Change fail rate: podíl změn vyžadujících rollback; cílem je minimalizace přes testy a canary.
- Náklady na změnu: člověkohodiny na přípravu, review a nasazení; automatizace vede k poklesu.
Jak začít: implementační checklist
- Definujte cílové domény (OS, middleware, aplikace, sítě) a úroveň automatizace.
- Zvolte platformu podle potřeb: orchestraci ad-hoc změn, dlouhodobou konvergenci, compliance.
- Navrhněte strukturu repozitářů, naming a verzování modulů/rolí/cookbooks.
- Zaveďte správu tajemství a politiku rotace klíčů.
- Postavte CI/CD s lintem, testy a artefaktovými repozitáři.
- Standardizujte inventáře a dynamické zdroje (cloud, CMDB, Kubernetes).
- Změřte a sledujte metriky konvergence, driftu a chybovosti; nastavte alerty.
Shrnutí
Ansible, Puppet a Chef představují zralý ekosystém pro řízení konfigurací v moderních IT prostředích. Správná volba a kombinace těchto nástrojů umožňuje psát infrastrukturu jako kód, urychlit doručování změn, zvýšit bezpečnost a zajistit auditovatelnou shodu. Úspěch závisí na disciplinovaném modelování stavu, oddělení kódu a dat, testování v CI/CD a průběžné observabilitě – tedy na přístupu, kde je konfigurace prvotřídním softwarem.
