Ansible Rola Apache2

Opis

:grey_exclamation: Zanim skorzystasz z tej roli, pamiętaj, że wszystkie moje role Ansible są napisane i dostosowane do mojej infrastruktury IT. Mimo że są jak najbardziej ogólne, mogą nie spełnić Twoich potrzeb. Zachęcam do dokładnej analizy ich działania i oceny możliwości ich bezpiecznej instalacji na Twoich serwerach.

Ta rola konfiguruje instancję demona Apache2.

Wymagania

Wymaga Ansible >= 2.4

Zależności

Jeśli używasz profilu monitorowania Zabbix, będziesz potrzebować roli ansible-zabbix-agent.

Rodzina systemów operacyjnych

Ta rola jest dostępna dla Debiana.

Funkcje

W tej chwili rola może być używana do:

• instalacji Apache2
• konfiguracji głównego pliku serwera
• tworzenia konfiguracji wirtualnych hostów
• zarządzania włączonymi modułami
• nadpisywania niektórych konfiguracji modułów
• monitorowania elementów dla
  • Zabbix
• lokalnych faktów

Konfiguracja

Serwer

Wszystkie zmienne, które można nadpisać, są przechowywane w pliku defaults/main.yml oraz w poniższej tabeli. Aby zobaczyć domyślne wartości, zapoznaj się z tym plikiem.

Uwaga dotycząca apache2__listen_http(s): na razie te dyrektywy są wypełniane ręcznie, planowałem wygenerować je automatycznie, ale okazuje się, że jest to skomplikowane, ponieważ wirtualne hosty mogą być definiowane z wykorzystaniem include_role.

Poniższe zmienne odnoszą się do serwera i mogą być nadpisywane w każdym wirtualnym hoście:

Aby skonfigurować, które moduły są włączone, musisz zadeklarować wszystkie nazwy modułów w jednej z trzech poniższych list:

• apache2__modules_enabled_global
• apache2__modules_enabled_group
• apache2__modules_enabled_host

Domyślnie żaden moduł nie jest włączony, więc warto wiedzieć, że apache nie wystartuje bez włączonego modułu mpm. Każdy wpis w tych listach musi być nazwą modułu. W przypadku kiedy moduł ma pliki '.conf' i '.load', będą one automatycznie dołączane, jeśli to możliwe. Ponadto, jeśli rola zawiera plik szablonu w katalogu templates/modules.conf/(nazwa modułu), zastąpi on wszelkie istniejące pliki konfiguracyjne dystrybucji.

Wirtualne hosty

Każdy wirtualny host musi być zadeklarowany w bloku vhost. Możesz umieścić blok vhost w jednej z trzech dostępnych list:

• apache2__virtual_hosts_global
• apache2__virtual_hosts_group
• apache2__virtual_hosts_host

Domyślnie każdy wirtualny host nasłuchuje na '*' i na domyślnym porcie zgodnie z statusem HTTP(s). Jeśli SSL Engine jest 'WŁĄCZONY', używa portu 443, w przeciwnym razie 80.

Jedynie podzbiór dyrektyw i sekcji apache2 jest zaimplementowany w ansible, dostępny w plikach dyrektywy sekcje. Jeśli potrzebujesz dyrektywy, która nie jest zaimplementowana, możesz użyć pozycji extra_parameters. Jeśli brakuje typu sekcji, musisz to zmodyfikować i zaimplementować w roli.

Każdy blok vhost musi być umieszczony w słowniku, gdzie kluczem będzie nazwa pliku konfiguracji vhost. Każdy vhost musi być słownikiem, który może zawierać następujące zmienne:

Fakty

Domyślnie lokalne fakty są instalowane i udostępniają następujące zmienne:

• ansible_local.apache2.version_full
• ansible_local.apache2.version_major

Przykład

Playbook

Użyj go w playbooku w następujący sposób:

- hosts: all
  roles:
    - turgon37.apache2

Inwentaryzacja

• Przykład ręcznie załadowanych modułów apache

apache2__modules_enabled_group:
  - access_compat # wsparcie dla starych dyrektyw Allow,Order, które są przestarzałe
  - alias  # zapewnia  Alias
#  - auth_basic  # zapewnia podstawowe uwierzytelnianie HTTP
  - authn_core
#  - authn_file  # uwierzytelnianie oparte na htpasswd
  - authz_core
#  - authz_host  # uwierzytelnianie oparte na ip/hoście
#  - authz_user  # uwierzytelnianie oparte na nazwie użytkownika
#  - autoindex  # wyłączone, indeksy są wyłączone
  - deflate # zapewnia kompresję Gzip
  - dir # zapewnia  DirectoryIndex
  - env  # zapewnia SetEnv
#  - filter  # zapewnia FilterChain
  - headers  # zapewnia RequestHeader
  - mime
  - mpm_prefork
  - negotiation # obsługuje typ zawartości
  - php7.0
#  - proxy
#  - proxy_http
#  - setenvif
  - ssl  # obsługuje SSL
  - socache_shmcb  # wymagany przez mod_ssl

• Domyślny wirtualny host debian

apache2__host_virtual_hosts:
  000-default:
    server_name: www.example.com
    server_admin: webmaster@localhost
    document_root: /var/www/html
    sections:
      - type: directory
        path: /var/www/html
        directives:
          - require: all granted
    error_log: '{{ apache2__log_directory }}/error.log'
    custom_log: '{{ apache2__log_directory }}/access.log combined'

• Prosty stały przekierowanie z HTTP do HTTPS

apache2__host_virtual_hosts:
  web-redirect:
    hosts:
      - ip: "10.0.0.1"
    server_name: www.example.net
    server_alias: www2.example.net
    extra_parameters:
      - RedirectPermanent / https://www.example.net/

• Proxy pass z HTTPS do HTTP

apache2__host_virtual_hosts:
  proxy-https:
    hosts:
      - ip: 10.0.0.1
      - ip: 192.168.56.12
    server_name: www.example.net
    server_alias: www2.example.net
    extra_parameters:
      - 'ProxyRequests Off'
      - 'ProxyPreserveHost On'
      - 'ProxyPass / http://localhost:3001/'
      - 'ProxyPassReverse / https://localhost:3001/'
    https:
      certificate_file: /etc/ssl/apache2/www.example.net.pem
      certificate_key_file: /etc/ssl/apache2/www.example.net.key

• Wirtualny host HTTP z folderem głównym i aplikacją PHP (Jeedom)

apache2__host_virtual_hosts:
    hosts:
      - 10.0.0.1
      - "127.0.0.1:443"
    server_name: jeedom.example.net
    document_root: /var/www/html
    document_root: '{{ jeedom__install_directory }}'
    document_root_user: '{{ apache2__service_user }}'
    document_root_group: '{{ apache2__service_user }}'
    error_log: '{{ jeedom__install_directory }}/log/http.error'
    error_log_user: '{{ apache2__service_user }}'
    error_log_group: '{{ apache2__service_user }}'
    sections:
      - type: directory
        path: '{{ jeedom__install_directory }}'
        directives:
          - allow_override: All
          - options: -Indexes -ExecCGI -FollowSymLinks
          - require: all granted
      - type: files_match
        regex: '\.(appcache|atom|bbaw|bmp|crx|css|cur|eot|f4[abpv]|flv|geojson|gif|htc|ico|jpe?g|js|json(ld)?|m4[av]|manifest|map|mp4|oex|og[agv]|opus|otf|pdf|png|rdf|rss|safariextz|svgz?|swf|topojson|tt[cf]|txt|vcard|vcf|vtt|webapp|web[mp]|webmanifest|woff2?|xloc|xml|xpi)$'
        directives:
          - header:
              - unset Content-Security-Policy
              - unset X-Frame-Options
              - unset X-XSS-Protection
    directives:
      - header:
          # Polityka bezpieczeństwa treści (CSP)
          #- set Content-Security-Policy "script-src 'self'; object-src 'self'"
          # Zmniejszenie ryzyka związanego z typami MIME
          - set X-Content-Type-Options "nosniff"
          # Clickjacking
          - set X-Frame-Options "DENY"
          # Ochrona przed atakami Cross-Site Scripting (XSS)
          - set X-XSS-Protection "1; mode=block"
          - unset X-Powered-By

• Wirtualny host HTTPS z folderem głównym i aplikacją PHP (Jeedom)

apache2__host_virtual_hosts:
  jeedom-https:
    hosts:
      - ip: 10.0.0.1
      - ip: 127.0.0.1
        port: 4343
    server_name: jeedom.example.net
    document_root: /var/www/html
    allow_override: All
    options: '-Indexes -ExecCGI -FollowSymLinks'
    headers:
      - set X-Content-Type-Options "nosniff"
      - always set Strict-Transport-Security "max-age=16070400; includeSubDomains"
      - set X-XSS-Protection "1; mode=block"
      - unset X-Powered-By
    files_match:
      - regexp: '\.(appcache|atom|bbaw|bmp|crx|css|cur|eot|f4[abpv]|flv|geojson|gif|htc|ico|jpe?g|js|json(ld)?|m4[av]|manifest|map|mp4|oex|og[agv]|opus|otf|pdf|png|rdf|rss|safariextz|svgz?|swf|topojson|tt[cf]|txt|vcard|vcf|vtt|webapp|web[mp]|webmanifest|woff2?|xloc|xml|xpi)$'
        actions:
          - Header unset Content-Security-Policy
          - Header unset X-Frame-Options
          - Header unset X-XSS-Protection
    https:
      certificate_file: /etc/ssl/apache2/jeedom.www.example.net.pem
      certificate_key_file: /etc/ssl/apache2/jeedom.www.example.net.key