Ansible 部署证书

pip3 install docker

# request_cert.py

# 调用 cmcli 命令，其中-t为OPEN API Token，-a为账户ID
cmd = 'cmcli enroll -u https://api.certcloud.cn \
-t {token} \
-a {account_id} --app-info "CertCloud-Ansible '


# 执行cmcli的命令
def get_cert(cmd):
    process = subprocess.run(cmd, shell=True)
    code = process.returncode
    while code == 403:
        process = subprocess.run(cmd, shell=True)
        code = process.returncode
    return process


def request():
    module = AnsibleModule(argument_spec=dict(
        domain_num=dict(required=True, type='int'),
        validity=dict(required=True, type='int'), # 证书有效天数，填 1~365
        domain=dict(required=True, type='str') # 申请的域名
    ))
    debug_msg = [module.params['domain_num']]

    basic_domain = module.params['domain']

    threads = [] # 每个域名证书都会开启一个线程申请，可以按照具体情况分配

    for a in range(1, module.params['domain_num']+1):
        domain = str(a)+basic_domain

        # 这里将 key-file 私钥，cert-file 证书都命名为当前申请的域名
        request_cmd = cmd + \
            "--key-file ./certs/{0}.key --cert-file ./certs/{0}.crt --cn {0} \
                --validity {1}".format(
                domain, module.params['validity'])
        debug_msg.append(request_cmd)

        t = threading.Thread(target=get_cert, args=[request_cmd])
        threads.append(t)
        t.start()

    for t in threads:
        t.join(timeout=60)
    module.exit_json(changed=True, meta=debug_msg)

if __name__ == "__main__":
    request()

# play.yml

# 以下申请证书的过程可以在本地进行，然后部署到远程主机上
- hosts: local
  tasks:
    - name: 准备阶段 - 清空证书文件夹
      file: path={{certs_dir}} state=absent #配置好本地申请的
      tags: request
    - name: 准备阶段 - 创建空的文件夹
      file: path={{certs_dir}} state=directory
      tags: request

    - name: 请求200张证书
      request_cert: # 这里调用我们上面写好的模块
        # 下面的变量，都配置在 hosts 的变量中
        domain: "{{domain}}"
        domain_num: "{{instance_num}}"
        validity: "{{validity}}"
      tags: [request,certs]
      loop_control: 
        label: "申请证书"

# 以下将申请好的证书发送到需要部署证书的主机群
- hosts: Remote 

  tasks:
    - name: 同步证书文件
      become: yes
      become_user: root
      synchronize:
        src: "{{certs_dir}}"
        dest: "{{remote_certs_dir}}"
      tags: request


    # 将 nginx 的容器中的配置改成申请的证书文件
    - name: 在200台服务器上更新200张证书
      shell: "docker exec {{ item }}{{ domain }}-nginx /bin/bash -c 
      'sed -i s?domain?certs/{{ item }}{{ domain }}?g /etc/nginx/nginx.conf &&
      nginx -s reload'" 
      with_sequence: start=1 end={{ instance_num }}
      tags: [replace, request]
      # 以下 async,poll 可选，结合下文 mitogen 插件加快部署速度
      async: 180
      poll: 0
      loop_control: 
        label: "为 https://{{ item }}{{ domain }}:{{item|int+https_port}} 部署证书"

    # 可选，等待证书更新。
    - name: 等待证书更新
      wait_for:
        timeout: 10
      tags: [replace, request]

    # 可选，起一定数量的服务器供实验
    - name: 准备Web服务器
      docker_container:
        name: "{{ item }}{{ domain }}-nginx"
        state: started
        published_ports:
          - "{{item|int+https_port}}:443"
        # 这里给容器里的 Nginx 配置了一些证书的地址，方便替换，可以自行准备需要的容器。
        image: nginx:1.19.1-demo 
        # 这里使用 volume 映射，让所有容器共用一个宿主机文件夹，方便所有容器共用。
        volumes:
          - "{{remote_certs_dir}}/certs:/etc/nginx/certs"
      with_sequence: start=1 end={{ instance_num }}
      tags: create_containers
      async: 180
      poll: 0
      loop_control: 
        label: "创建 https://{{ item }}{{ domain }}:{{item|int+https_port}} 站点"

pip3 install mitogen