何らかの理由で何を試しても、ansible動的インベントリスクリプト(ec2.py + ec2.ini)を使用してansibleアドホックモジュールを実行すると、タグクエリに対してpublic IPのみが返され、 SSH経由でpublicターゲットのIPに接続を試みます。たとえば、私が実行した場合:
ansible -m ping tag_env_dev
次に、プライベートIPが望ましいにもかかわらず(セキュリティ、複雑さ、コストの理由から)、パブリックIPを介して接続を試みます。私はec2.iniファイルで次のオプションを微調整しようとしました:
regions = us-east-1 # to restrict to us-east-1 region
destination_variable = public_dns_name # I've also tried private_dns_name and private_ip_address, all of which still attempt to connect to the public IP of the destination instance(s)
vpc_destination_variable = ip_address # also tried private_ip_address
./ec2.py --list --refresh-cache | grep -B 5 -A 5 "tag_env_dev"
を実行すると、パブリックIPのみが返される結果が返されます。
"tag_env_dev": [
"{{public ip here}}"
],
その後の試行ごとに./ec2.py --list --refresh-cache
を実行して、キャッシュを消去して再生成しました。次に、ansible -m ping tag_env_dev
(または同様の)を再実行し、SSHでインスタンスのパブリックIPアドレスへの接続タイムアウトを取得します。
「パブリックホスト名」(VPC内でプライベートIPに解決される)とプライベートIPに直接SSH接続できることを確認しましたが、パブリックIPは直接(期待どおりに)できません。したがって、それは認証の主要な問題ではありません。
また、このサーバーが割り当てられているIAMロールと、これらの操作を実行するための十分な権限があります(たとえば、ec2とvpcには読み取り専用があります)。
追加情報:
テストターゲットと同じVPCでec2インスタンスからansibleを実行しています。また、ターゲットのセキュリティグループは、内部CIDRブロック範囲からのSSHを許可するように構成されています。 ansibleホストには、ターゲットのプライベートIPを検出するのに十分なIAMロールもあります。
どんな助けでも大歓迎です。
これはec2.iniの作業サンプルです(ansible 2.1&2.3.1でテスト済み)
[ec2]
regions = us-east-1,us-west-2
regions_exclude =
destination_variable = private_ip_address
hostname_variable = peerio
vpc_destination_variable = private_ip_address
route53 = False
rds = False
elasticache = False
all_instances = False
#instance_states = pending, running, shutting-down, terminated, stopping, stopped
all_rds_instances = False
all_elasticache_replication_groups = False
all_elasticache_clusters = False
all_elasticache_nodes = False
cache_path = ~/.ansible/tmp
cache_max_age = 300
nested_groups = False
replace_dash_in_groups = True
expand_csv_tags = False
group_by_instance_id = True
group_by_region = True
group_by_availability_zone = True
group_by_AMI_id = True
group_by_instance_type = True
group_by_key_pair = True
group_by_vpc_id = True
group_by_security_group = True
group_by_tag_keys = True
group_by_tag_none = True
group_by_route53_names = True
#pattern_include = staging-*
#pattern_exclude = staging-*
#instance_filters = instance-type=t1.micro,tag:env=staging
#only process items we tagged
instance_filters = tag:serviceclass=*
boto_profile = ansible
次に、インスタンスをプライベートIPを識別子として使用してリストする必要があります。
./ec2.py --list
{
"_meta": {
"hostvars": {
"10.255.100.138": {
"ansible_ssh_Host": "10.255.100.138",
"ec2__in_monitoring_element": false,
"ec2_AMI_launch_index": "0",
... "ec2_vpc_id": "vpc-57ed3733"
},
"10.255.100.142": {
"ansible_ssh_Host": "10.255.100.142",
"ec2__in_monitoring_element": false,
...
Ec2.ini内で、次の行を編集します。
vpc_destination_variable = ip_address
これに:
vpc_destination_variable = private_ip_address
Ec2.iniから:
# For server inside a VPC, using DNS names may not make sense. When an instance
# has 'subnet_id' set, this variable is used. If the subnet is public, setting
# this to 'ip_address' will return the public IP address. For instances in a
# private subnet, this should be set to 'private_ip_address', and Ansible must
# be run from within EC2. The key of an EC2 tag may optionally be used; however
# the boto instance variables hold precedence in the event of a collision.
# WARNING: - instances that are in the private vpc, _without_ public ip address
# will not be listed in the inventory until You set:
# vpc_destination_variable = private_ip_address
vpc_destination_variable = ip_address
https://github.com/ansible/ansible/blob/devel/contrib/inventory/ec2.ini