Criar uma máquina virtual do Windows no Azure usando o Ansible

Artigo
10/23/2023

Este artigo mostra como implantar uma VM do Windows Server 2019 no Azure com o Ansible.

Neste artigo, você aprenderá como:

Criar um grupos de recursos

Criar uma rede virtual, um IP público, um grupo de segurança de rede e um adaptador de rede

Implantar uma máquina virtual do Windows Server

Conectar-se à máquina virtual por meio do WinRM

Executar um guia estratégico do Ansible para configurar o IIS do Windows

Pré-requisitos

Assinatura do Azure: caso você não tenha uma assinatura do Azure, crie uma conta gratuita antes de começar.

Entidade de serviço do Azure: crie uma entidade de serviço anotando os seguintes valores: appId, displayName, password e tenant.

Instalar o Ansible: escolha uma das seguintes opções:
- Instalar e configurar o Ansible em uma máquina virtual do Linux
- Configurar o Azure Cloud Shell

Adicionar o suporte do WinRM ao Ansible

Para se comunicar pelo WinRM, o servidor de controle do Ansible precisa do pacote pywinrm do Python.

Execute o seguinte comando no servidor do Ansible para instalar o pywinrm:

pip install "pywinrm>=0.3.0"

Para obter mais informações, confira Gerenciamento Remoto do Windows para Ansible.

Criar um grupos de recursos

Crie um guia estratégico do Ansible chamado azure_windows_vm.yml e copie o seguinte conteúdo para o guia estratégico:

---
- name: Create Azure VM
  hosts: localhost
  connection: local
  tasks:

  - name: Create resource group
    azure_rm_resourcegroup:
      name: myResourceGroup
      location: eastus

Pontos principais:

Configuração hosts como localhost e connection como _local_ executa o playbook localmente no servidor Ansible.

Criar a rede virtual e a sub-rede

Adicione as seguintes tarefas ao manual do azure_windows_vm.yml Ansible para criar uma rede virtual:

  - name: Create virtual network
    azure_rm_virtualnetwork:
      resource_group: myResourceGroup
      name: vNet
      address_prefixes: "10.0.0.0/16"

  - name: Add subnet
    azure_rm_subnet:
      resource_group: myResourceGroup
      name: subnet
      address_prefix: "10.0.1.0/24"
      virtual_network: vNet

Criar um endereço IP público

Adicione as seguintes tarefas ao azure_windows_vm.yml manual para criar um endereço IP público:

  - name: Create public IP address
    azure_rm_publicipaddress:
      resource_group: myResourceGroup
      allocation_method: Static
      name: pip
    register: output_ip_address

  - name: Output public IP
    debug:
      msg: "The public IP is {{ output_ip_address.state.ip_address }}"

Pontos principais:

O módulo register do Ansible é usado para armazenar a saída de azure_rm_publicipaddress em uma variável chamada output_ip_address.
O debug módulo é usado para gerar a saída do endereço IP público da VM para o console.

Criar um grupo de segurança de rede e uma NIC

O grupo de segurança de rede define qual tráfego tem e não tem permissão para acessar a VM.

Para abrir as portas do WinRM e HTTP, adicione as seguintes tarefas ao guia estratégico azure_windows_vm.yml do Ansible:

  - name: Create Network Security Group
    azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: networkSecurityGroup
      rules:
        - name: 'allow_rdp'
          protocol: Tcp
          destination_port_range: 3389
          access: Allow
          priority: 1001
          direction: Inbound
        - name: 'allow_web_traffic'
          protocol: Tcp
          destination_port_range:
            - 80
            - 443
          access: Allow
          priority: 1002
          direction: Inbound
        - name: 'allow_powershell_remoting'
          protocol: Tcp
          destination_port_range: 
            - 5985
            - 5986
          access: Allow
          priority: 1003
          direction: Inbound

  - name: Create a network interface
    azure_rm_networkinterface:
      name: nic
      resource_group: myResourceGroup
      virtual_network: vNet
      subnet_name: subnet
      security_group: networkSecurityGroup
      ip_configurations:
        - name: default
          public_ip_address_name: pip
          primary: True

Pontos principais:

Um adaptador de rede virtual conecta sua VM à respectiva rede virtual, ao endereço IP público e ao grupo de segurança.
O azure_rm_securitygroup cria um grupo de segurança de rede do Azure para permitir o tráfego do WinRM do servidor do Ansible para o host remoto permitindo as portas 5985 e 5986.

Criar uma máquina virtual

A seguir, crie uma máquina virtual que usa todos os recursos que você criou nas seções anteriores deste artigo.

Adicione a seguinte tarefa ao guia estratégico azure_windows_vm.yml do Ansible:

  - name: Create VM
    azure_rm_virtualmachine:
      resource_group: myResourceGroup
      name: win-vm
      vm_size: Standard_DS1_v2
      admin_username: azureuser
      admin_password: "{{ password }}"
      network_interfaces: nic
      os_type: Windows
      image:
          offer: WindowsServer
          publisher: MicrosoftWindowsServer
          sku: 2019-Datacenter
          version: latest
    no_log: true

O valor admin_password de {{ password }} é uma variável do Ansible que contém a senha da VM do Windows. Para preencher com segurança essa variável, adicione uma entrada var_prompts ao início do guia estratégico.

- name: Create Azure VM
  hosts: localhost
  connection: local
  vars_prompt:
    - name: password
      prompt: "Enter local administrator password"
  tasks:

Pontos principais:

Evite armazenar dados confidenciais como texto sem formatação. Use var_prompts para preencher variáveis em runtime. Adicione no_log: true para impedir que as senhas sejam registradas em log.

Configurar o ouvinte do WinRM

O Ansible usa o PowerShell para se conectar e configurar hosts remotos do Windows por meio do WinRM.

Para configurar o WinRM, adicione a seguinte extensão azure_rm_virtualmachineextension:

  - name: Create VM script extension to enable HTTPS WinRM listener
    azure_rm_virtualmachineextension:
      name: winrm-extension
      resource_group: myResourceGroup
      virtual_machine_name: win-vm
      publisher: Microsoft.Compute
      virtual_machine_extension_type: CustomScriptExtension
      type_handler_version: '1.9'
      settings: '{"fileUris": ["https://raw.githubusercontent.com/ansible/ansible-documentation/devel/examples/scripts/ConfigureRemotingForAnsible.ps1"],"commandToExecute": "powershell -ExecutionPolicy Unrestricted -File ConfigureRemotingForAnsible.ps1"}'
      auto_upgrade_minor_version: true

O Ansible não pode se conectar à VM até que o WinRM seja totalmente configurado.

Adicione as seguintes tarefas ao guia estratégico para aguardar a conexão do WinRM:

  - name: Get facts for one Public IP
    azure_rm_publicipaddress_info:
      resource_group: myResourceGroup
      name: pip
    register: publicipaddresses

  - name: set public ip address fact
    set_fact: publicipaddress="{{ publicipaddresses | json_query('publicipaddresses[0].ip_address')}}"

  - name: wait for the WinRM port to come online
    wait_for:
      port: 5986
      host: '{{ publicipaddress }}'
      timeout: 600

Pontos principais:

O módulo azure_rm_virtualmachineextension permite que você execute um script do PowerShell localmente no Azure no Windows. A execução do script ConfigureRemotingForAnsible.ps1 do PowerShell configura o WinRM criando certificados autoassinados e abrindo as portas necessárias para que o Ansible se conecte.
O módulo azure_rm_publicipaddress_info consulta o endereço IP público do Azure, e set_fact armazena a saída em uma variável para o módulo wait_for a ser usado.

Guia estratégico de exemplo do Ansible completo

Esta seção lista todo o guia estratégico de exemplo do Ansible que você criou ao longo deste artigo.

---
- name: Create Azure VM
  hosts: localhost
  connection: local
  vars_prompt:
    - name: password
      prompt: "Enter local administrator password"
  tasks:

  - name: Create resource group
    azure_rm_resourcegroup:
      name: myResourceGroup
      location: eastus

  - name: Create virtual network
    azure_rm_virtualnetwork:
      resource_group: myResourceGroup
      name: vNet
      address_prefixes: "10.0.0.0/16"

  - name: Add subnet
    azure_rm_subnet:
      resource_group: myResourceGroup
      name: subnet
      address_prefix: "10.0.1.0/24"
      virtual_network: vNet

  - name: Create public IP address
    azure_rm_publicipaddress:
      resource_group: myResourceGroup
      allocation_method: Static
      name: pip
    register: output_ip_address

  - name: Output public IP
    debug:
      msg: "The public IP is {{ output_ip_address.state.ip_address }}"
  
  - name: Create Network Security Group
    azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: networkSecurityGroup
      rules:
        - name: 'allow_rdp'
          protocol: Tcp
          destination_port_range: 3389
          access: Allow
          priority: 1001
          direction: Inbound
        - name: 'allow_web_traffic'
          protocol: Tcp
          destination_port_range:
            - 80
            - 443
          access: Allow
          priority: 1002
          direction: Inbound
        - name: 'allow_powershell_remoting'
          protocol: Tcp
          destination_port_range: 
            - 5985
            - 5986
          access: Allow
          priority: 1003
          direction: Inbound

  - name: Create a network interface
    azure_rm_networkinterface:
      name: nic
      resource_group: myResourceGroup
      virtual_network: vNet
      subnet_name: subnet
      security_group: networkSecurityGroup
      ip_configurations:
        - name: default
          public_ip_address_name: pip
          primary: True

  - name: Create VM
    azure_rm_virtualmachine:
      resource_group: myResourceGroup
      name: win-vm
      vm_size: Standard_DS1_v2
      admin_username: azureuser
      admin_password: "{{ password }}"
      network_interfaces: nic
      os_type: Windows
      image:
          offer: WindowsServer
          publisher: MicrosoftWindowsServer
          sku: 2019-Datacenter
          version: latest
    no_log: true

  - name: Create VM script extension to enable HTTPS WinRM listener
    azure_rm_virtualmachineextension:
      name: winrm-extension
      resource_group: myResourceGroup
      virtual_machine_name: win-vm
      publisher: Microsoft.Compute
      virtual_machine_extension_type: CustomScriptExtension
      type_handler_version: '1.9'
      settings: '{"fileUris": ["https://raw.githubusercontent.com/ansible/ansible-documentation/devel/examples/scripts/ConfigureRemotingForAnsible.ps1"],"commandToExecute": "powershell -ExecutionPolicy Unrestricted -File ConfigureRemotingForAnsible.ps1"}'
      auto_upgrade_minor_version: true

  - name: Get facts for one Public IP
    azure_rm_publicipaddress_info:
      resource_group: myResourceGroup
      name: pip
    register: publicipaddresses

  - name: set public ip address fact
    set_fact: publicipaddress="{{ publicipaddresses | json_query('publicipaddresses[0].ip_address')}}"

  - name: wait for the WinRM port to come online
    wait_for:
      port: 5986
      host: '{{ publicipaddress }}'
      timeout: 600

Conectar-se à máquina virtual do Windows

Crie um novo manual do Ansible chamado connect_azure_windows_vm.yml e copie o seguinte conteúdo para o playbook:

---
- hosts: all
  vars_prompt:
    - name: ansible_password
      prompt: "Enter local administrator password"
  vars:
    ansible_user: azureuser
    ansible_connection: winrm
    ansible_winrm_transport: ntlm
    ansible_winrm_server_cert_validation: ignore
  tasks:

  - name: Test connection
    win_ping:

Execute o guia estratégico do Ansible.

ansible-playbook connect_azure_windows_vm.yml -i <publicIPaddress>,

Substitua <publicIPaddress> pelo endereço da máquina virtual.

Pontos principais:

A configuração do Ansible determina como o Ansible se conecta e se autentica em hosts remotos. As variáveis que você precisa definir para se conectar a um host do Windows dependem do tipo de conexão do WinRM e da opção de autenticação escolhida. Para obter mais informações, confira Como se conectar a um host do Windows e Opções de autenticação do Windows.
Adicionar uma vírgula após o endereço IP público ignora o analisador de inventário do Ansible. Essa técnica permite executar playbooks sem um arquivo de inventário.

Limpar os recursos

Salve o código a seguir como delete_rg.yml.

---
- hosts: localhost
  tasks:
    - name: Deleting resource group - "{{ name }}"
      azure_rm_resourcegroup:
        name: "{{ name }}"
        state: absent
      register: rg
    - debug:
        var: rg

Execute o guia estratégico usando o comando ansible-playbook. Substitua o espaço reservado pelo nome do grupo de recursos a ser excluído. Todos os recursos dentro do grupo de recursos serão excluídos.
```
ansible-playbook delete_rg.yml --extra-vars "name=<resource_group>"
```
Pontos principais:
- Devido à variável register e à seção debug do guia estratégico, os resultados são exibidos quando o comando é concluído.

Execute az group delete para excluir o grupo de recursos. Todos os recursos dentro do grupo de recursos serão excluídos.
```
az group delete --name <resource_group>
```
Verifique se o grupo de recursos foi excluído usando az group show.
```
az group show --name <resource_group>
```

Execute Remove-AzResourceGroup para excluir o grupo de recursos. Todos os recursos dentro do grupo de recursos serão excluídos.
```
Remove-AzResourceGroup -Name <resource_group>
```
Verifique se o grupo de recursos foi excluído usando Get-AzResourceGroup.
```
Get-AzResourceGroup -Name <resource_group>
```

Próximas etapas

Ansible no Azure

Compartilhar via

Criar uma máquina virtual do Windows no Azure usando o Ansible

Pré-requisitos

Adicionar o suporte do WinRM ao Ansible

Criar um grupos de recursos

Criar a rede virtual e a sub-rede

Criar um endereço IP público

Criar um grupo de segurança de rede e uma NIC

Criar uma máquina virtual

Configurar o ouvinte do WinRM

Guia estratégico de exemplo do Ansible completo

Conectar-se à máquina virtual do Windows

Limpar os recursos

Próximas etapas

Comentários

Recursos adicionais