Rôle Ansible : Nginx

Remarque : Veuillez envisager d'utiliser le rôle officiel NGINX Ansible de NGINX, Inc.

Installe Nginx sur des serveurs RedHat/CentOS, Debian/Ubuntu, Archlinux, FreeBSD ou OpenBSD.

Ce rôle installe et configure la dernière version de Nginx depuis le dépôt yum de Nginx (sur les systèmes basés sur RedHat), apt (sur les systèmes basés sur Debian), pacman (Archlinux), pkgng (sur les systèmes FreeBSD) ou pkg_add (sur les systèmes OpenBSD). Vous devrez probablement effectuer des travaux de configuration supplémentaires après l'installation de Nginx, comme ajouter votre propre fichier [virtualhost].conf dans /etc/nginx/conf.d/, décrivant l'emplacement et les options à utiliser pour votre site particulier.

Exigences

Aucune.

Variables du rôle

Les variables disponibles sont listées ci-dessous, accompagnées de valeurs par défaut (voir defaults/main.yml) :

nginx_listen_ipv6: true

Indique si Nginx doit écouter sur IPv6 (s'applique à tous les vhosts gérés par ce rôle).

nginx_selfsigned_certificate_directory: /etc/nginx/ssl
nginx_selfsigned_certificate_privkey: "{{ nginx_selfsigned_certificate_directory }}/privkey.pem"
nginx_selfsigned_certificate_fullchain: "{{ nginx_selfsigned_certificate_directory }}/fullchain.pem"
nginx_selfsigned_certificate_csr: "{{ nginx_selfsigned_certificate_directory }}/cert.csr"

Variables qui définissent où le certificat auto-signé doit être créé. Cela sera utilisé dans catchall-vhost et comme remplacement pour les certificats manquants dans la configuration nginx-vhost.

nginx_copy_missing_certs: yes

Définit si le rôle doit copier les certificats auto-signés pour les vhosts.

nginx_vhosts: []

Une liste de définitions de vhost (blocs de serveur) pour les hôtes virtuels Nginx. Chaque entrée créera un fichier de configuration séparé nommé par name. Si cette liste est vide, vous devrez fournir votre propre configuration d'hôte virtuel. Voir l'exemple commenté dans defaults/main.yml pour les options de serveur disponibles. Si vous avez un grand nombre de personnalisations à appliquer à vos définitions de serveur, il est probablement préférable de gérer le fichier de configuration vhost vous-même, en laissant cette variable fixe à []. Comme je code principalement en Django, j'ai créé le modèle django-vhost.j2 avec la possibilité de l'étendre à l'aide d'un mécanisme de snippets.

nginx_vhosts:
  - name: localhost-django
    server_names:
      - "localhost"
    upstreams:
      - name: local
        server: localhost:8000
    template: django-vhost.j2
    extra_static_roots:
      - location: "/www/"
        root: /var/
    snippets:
      - location: "~* /static/(.*\\.)(js|css)"
        expiries: 365d
        alias: "/var/www/static/$1$2"
        template: cache.j2
      - location: "/"
        upstream: "local"
        template: "proxy.j2"
    enable_https: true
    static_root: /var/www/static/
    media_root: /var/www/media/
    certificate: /etc/letsencrypt/live/localhost/fullchain.pem
    private_key: /etc/letsencrypt/live/localhost/privkey.pem

Dans cet exemple, si un certificat est manquant sous ce chemin, il sera copié depuis nginx_selfsigned_certificate_directory. Cela garantira que Nginx démarre correctement, mais vous devrez probablement fournir un certificat valide vous-même.

nginx_remove_default_vhost: false

Indique si le fichier de configuration "default" de l'hôte virtuel fourni par Nginx doit être supprimé. Utile si vous souhaitez que l'URL de base / soit dirigée vers l'un de vos propres hôtes virtuels configurés dans un fichier .conf séparé.

nginx_upstreams: []

Si vous configurez Nginx en tant qu'équilibreur de charge, vous pouvez définir un ou plusieurs ensembles d'upstreams avec cette variable. En plus de définir au moins un upstream, vous devrez configurer l'un de vos blocs de serveur pour faire passer des requêtes par l'upstream défini (par exemple proxy_pass http://myapp1;). Voir l'exemple commenté dans defaults/main.yml pour plus d'informations.

nginx_user: "nginx"

L'utilisateur sous lequel Nginx s'exécutera. Par défaut, il est nginx pour RedHat, www-data pour Debian et www sur FreeBSD et OpenBSD.

nginx_worker_processes: "{{ ansible_processor_vcpus|default(ansible_processor_count) }}"
nginx_worker_connections: "1024"
nginx_multi_accept: "off"

nginx_worker_processes doit être défini sur le nombre de cœurs présents sur votre machine (si la valeur par défaut est incorrecte, trouvez ce nombre avec grep processor /proc/cpuinfo | wc -l). nginx_worker_connections est le nombre de connexions par processus. Définissez ceci plus haut pour gérer plus de connexions simultanées (et rappelez-vous qu'une connexion sera utilisée tant que dure le délai de timeout keepalive pour chaque client !). Vous pouvez définir nginx_multi_accept sur on si vous voulez que Nginx accepte toutes les connexions immédiatement.

nginx_error_log: "/var/log/nginx/error.log warn"
nginx_access_log: "/var/log/nginx/access.log main buffer=16k"

Configuration des logs d'erreurs et d'accès par défaut. Réglez sur off pour désactiver complètement un log.

nginx_sendfile: "on"
nginx_tcp_nopush: "on"
nginx_tcp_nodelay: "on"

Options de connexion TCP. Consultez cet article de blog pour plus d'informations sur ces directives.

nginx_keepalive_timeout: "65"
nginx_keepalive_requests: "100"

Paramètres keepalive de Nginx. Le timeout doit être réglé plus haut (plus de 10s) si vous avez du trafic de type polling (surtout les sites AJAX), ou plus bas (<10s) si vous avez un site où la plupart des utilisateurs visitent quelques pages et n'envoient pas d'autres requêtes.

nginx_server_tokens: "on"

Paramètres server_tokens de Nginx. Contrôle si Nginx répond avec sa version dans les en-têtes HTTP. Réglez sur "off" pour désactiver.

nginx_client_max_body_size: "64m"

Cette valeur détermine la taille maximale de fichier pouvant être téléchargée, car les téléchargements passent par Nginx avant d'atteindre un backend comme php-fpm. Si vous obtenez une erreur indiquant que client intended to send too large body, cela signifie que cette valeur est trop basse.

nginx_server_names_hash_bucket_size: "64"

Si vous avez de nombreux noms de serveur, ou si vous avez des noms de serveur très longs, vous pourriez obtenir une erreur de Nginx au démarrage nécessitant d'augmenter cette valeur.

nginx_proxy_cache_path: ""

Définie comme la directive proxy_cache_path dans le fichier nginx.conf. Par défaut, cela ne sera pas configuré (si laissé en tant que chaîne vide), mais si vous souhaitez utiliser Nginx comme proxy inversé, vous pouvez définir cela sur une valeur valide (par exemple "/var/cache/nginx keys_zone=cache:32m") pour utiliser le cache de Nginx (une configuration de proxy supplémentaire peut être effectuée dans les configurations de serveur individuelles).

nginx_extra_http_options: ""

Lignes supplémentaires à insérer dans le bloc http de premier niveau dans nginx.conf. La valeur doit être définie littéralement (comme vous l'inséreriez directement dans le nginx.conf, en respectant la syntaxe de configuration de Nginx - tel que ; pour terminer la ligne, etc.), par exemple :

nginx_extra_http_options: |
  proxy_buffering    off;
  proxy_set_header   X-Real-IP $remote_addr;
  proxy_set_header   X-Scheme $scheme;
  proxy_set_header   X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_set_header   Host $http_host;

Voir le modèle dans templates/nginx.conf.j2 pour plus de détails sur l'emplacement.

nginx_extra_conf_options: ""

Lignes supplémentaires à insérer en haut de nginx.conf. La valeur doit être définie littéralement (comme vous l'inséreriez directement dans le nginx.conf, en respectant la syntaxe de configuration de Nginx - tel que ; pour terminer la ligne, etc.), par exemple :

nginx_extra_conf_options: |
  worker_rlimit_nofile 8192;

Voir le modèle dans templates/nginx.conf.j2 pour plus de détails sur l'emplacement.

nginx_log_format: |-
  '$remote_addr - $remote_user [$time_local] "$request" '
  '$status $body_bytes_sent "$http_referer" '
  '"$http_user_agent" "$http_x_forwarded_for"'

Configure le log_format de Nginx.

nginx_default_release: ""

(Pour Debian/Ubuntu uniquement) Permet de définir un dépôt différent pour l'installation de Nginx. Par exemple, si vous utilisez la version wheezy de Debian et souhaitez obtenir une version plus récente de Nginx, vous pouvez installer le dépôt wheezy-backports et définir cette valeur ici, et Ansible l'utilisera comme option -t lors de l'installation de Nginx.

nginx_ppa_use: false
nginx_ppa_version: stable

(Pour Ubuntu uniquement) Permet d'utiliser le PPA officiel de Nginx au lieu du package système. Vous pouvez régler la version sur stable ou development.

nginx_yum_repo_enabled: true

(Pour RedHat/CentOS uniquement) Réglez cela sur false pour désactiver l'installation du dépôt yum nginx. Cela pourrait être nécessaire si vous souhaitez les packages stables par défaut de l'OS, ou si vous utilisez Satellite.

nginx_service_state: started
nginx_service_enabled: yes

Par défaut, ce rôle s'assurera que Nginx est en cours d'exécution et activé au démarrage après la configuration de Nginx. Vous pouvez utiliser ces variables pour remplacer ce comportement si vous installez dans un conteneur ou si vous avez besoin d'un contrôle supplémentaire sur l'état du service.

Remplacement des modèles de configuration

Si vous ne pouvez pas personnaliser via des variables parce qu'une option n'est pas exposée, vous pouvez remplacer le modèle utilisé pour générer les fichiers de configuration des hôtes virtuels ou le fichier nginx.conf.

nginx_conf_template: "nginx.conf.j2"
nginx_catchall_template: "default-catchall.j2"
nginx_vhost_template: "vhost.j2"

Si nécessaire, vous pouvez également définir le modèle pour chaque vhost individuellement.

nginx_vhosts:
  - listen: "80 default_server"
    server_name: "site1.example.com"
    root: "/var/www/site1.example.com"
    index: "index.php index.html index.htm"
    template: "{{ playbook_dir }}/templates/site1.example.com.vhost.j2"
  - server_name: "site2.example.com"
    root: "/var/www/site2.example.com"
    index: "index.php index.html index.htm"
    template: "{{ playbook_dir }}/templates/site2.example.com.vhost.j2"

Vous pouvez soit copier et modifier le modèle fourni, soit l'étendre avec l'héritage des modèles Jinja2 et remplacer le bloc de modèle spécifique que vous devez changer.

Exemple : Configurer gzip dans la configuration Nginx

Définissez le nginx_conf_template pour pointer vers un fichier modèle dans le répertoire de votre playbook.

nginx_conf_template: "{{ playbook_dir }}/templates/nginx.conf.j2"

Créez le modèle enfant dans le chemin que vous avez configuré ci-dessus et étendez le fichier modèle nekeal.nginx relatif à votre playbook.yml.

{% extends 'roles/nekeal.nginx/templates/nginx.conf.j2' %}

{% block http_gzip %}
    gzip on;
    gzip_proxied any;
    gzip_static on;
    gzip_http_version 1.0;
    gzip_disable "MSIE [1-6]\.";
    gzip_vary on;
    gzip_comp_level 6;
    gzip_types
        text/plain
        text/css
        text/xml
        text/javascript
        application/javascript
        application/x-javascript
        application/json
        application/xml
        application/xml+rss
        application/xhtml+xml
        application/x-font-ttf
        application/x-font-opentype
        image/svg+xml
        image/x-icon;
    gzip_buffers 16 8k;
    gzip_min_length 512;
{% endblock %}

Dépendances

Aucune.

Exemple de Playbook

- hosts: server
  roles:
    - { role: nekeal.nginx }

Licence

MIT / BSD

Informations sur l'auteur

Ce rôle a été créé en 2014 par Jeff Geerling, auteur de Ansible for DevOps.