Automatizace pomocí Ansible, Puppet a Chef: správa konfigurací

Proč automatizovat a kde to dává smysl

Automatizace infrastruktury zkracuje dobu dodání změn, snižuje chybovost, zvyšuje konzistenci a zlepšuje bezpečnost. V ekosystému nástrojů pro automatizaci IT procesů patří mezi nejrozšířenější Ansible, Puppet a Chef. Každý přistupuje k infrastruktuře jako ke kódu, ale liší se architekturou (agent versus bez agenta), jazykem deklarace, modelem stavu, škálováním a integracemi. Tento článek systematicky srovnává jejich principy, silné a slabé stránky a nabízí praktická doporučení pro návrh, provoz a bezpečnost.

Architektonické modely a provozní paradigma

• Ansible: model bez agentů přes SSH/WinRM. Řídí se z řídicího uzlu (control node) spouštěním playbooků proti inventáři hostitelů. Snadný začátek, silná ad hoc orchestrace a konfigurační změny bez trvalých agentů.
• Puppet: model agent–server. Agent Puppet v pravidelných intervalech (typicky 30 minut) stahuje catalog ze serveru Puppet a konverguje ke stavu definovanému v manifestech. Stabilní správa konfiguračního driftu a deklarativní soulad s politikami.
• Chef: model agent–server (chef-client komunikuje se serverem Chef). Konfigurace v Ruby DSL (recipes, cookbooks), silný ekosystém opakovaně použitelných stavebních bloků a flexibilní logika.

Jazyk, model stavu a idempotence

• Deklarativní versus imperativní přístup: Puppet je výrazně deklarativní (popisujete cílový stav). Chef a Ansible kombinují deklarativní zdroje s možnostmi imperativního řízení toku (posloupnost úloh, podmínky).
• Idempotence: všechna tři řešení se snaží zajistit, aby opakované spuštění nezpůsobilo nežádoucí změny. Záleží na kvalitě modulů/zdrojů a správné parametrizaci.
• Správa závislostí: Puppet používá vztahy a graf zdrojů, Chef oznámení a pořadí v receptech, Ansible sekvenční úlohy a handlery pro reakce na změny.

Inventář, cílení a škálování

• Inventář Ansible: statické soubory INI/YAML, dynamické pluginy (cloudy, CMDB), proměnné na úrovni hostitelů/skupin. Škálování zajišťují horizontálně parametry forks, strategy, ansible-pull a AWX/Ansible Automation Platform pro plánování a RBAC.
• Puppet: centrální evidence uzlů v PuppetDB, cílení pomocí node definitions, classifier a faktů (Facter). Pro velká prostředí slouží farmy masterů/kompilačních uzlů.
• Chef: server Chef s objekty nodes, roles, environments a data bags, flexibilní search pro dynamické přiřazování.

Ekosystém modulů a rozšíření

• Ansible: rozsáhlé collections a moduly pro operační systémy, sítě, cloud a kontejnery. Ideální pro orchestraci multicloudu, síťové prvky a jednorázové operace podle runbooků.
• Puppet Forge: standardizované moduly s verzemi a závislostmi. Vhodné pro dlouhodobou správu systémových rolí (uživatelé, služby, balíčky, soulad s politikami).
• Chef Supermarket: cookbooks s opakovaně použitelnými vzory. Výhodou je Ruby DSL pro komplexní logiku a test-kitchen pro testování receptů.

Bezpečnost a tajemství (secrets)

• Přenos: Ansible používá SSH/WinRM (doporučuje se mTLS/přístup just-in-time), Puppet a Chef komunikují mezi agentem a serverem pomocí certifikátů a ověřování uzlů.
• Správa tajemství: Ansible Vault (symetrické šifrování proměnných/souborů), integrace s externími KMS. Puppet Hiera s backendy (např. HashiCorp Vault), Chef Encrypted Data Bags a integrace s KMS/HSM.
• RBAC a audit: Ansible Tower/AAP, Puppet Enterprise a Chef Automate poskytují centralizované RBAC, auditní záznamy, schvalování a zásady.

Continuous Integration/Delivery a testování

• Lint a statická analýza: ansible-lint, puppet-lint, foodcritic/cookstyle pro Chef. Pomáhají zajistit správný styl, bezpečnost a idempotenci.
• Jednotkové a integrační testy: Molecule (Ansible), RSpec-Puppet/rspec-hiera (Puppet), Test Kitchen + InSpec (Chef). Testujte lokálně, v kontejnerech i na skutečných obrazech operačních systémů.
• CI/CD pipeline: ukládejte vše do Gitu, provádějte vzájemnou kontrolu kódu, automaticky sestavujte kolekce/moduly/cookbooky, podepisujte artefakty a publikujte je do interních registrů.

Observabilita, drift a soulad s předpisy

• Detekce driftu: Puppet a Chef díky pravidelným běhům rychle identifikují a opravují odchylky od deklarovaného stavu. U Ansible se doporučuje plánovat pravidelné konvergenční běhy nebo použít ansible-pull.
• Reporting: PuppetDB a Chef Automate poskytují podrobný přehled o změnách, chybách a stavu uzlů. Ansible AWX/Tower vytváří reporty o bězích, změnách a selháních.
• Policy-as-Code: integrace s nástroji, jako jsou Open Policy Agent/InSpec, pro audit balíčků, služeb, portů, oprávnění a kryptografických politik.

Cloud, kontejnery a moderní prostředí

• Cloud: Ansible vyniká v provisioningu a orchestraci (VPC, IAM, nástroje pro vyrovnávání zátěže). Puppet/Chef udržují trvalý stav instancí a konfigurací.
• Kubernetes: všechny tři nástroje se používají spíše pro fáze day-0/1 (bootstrap uzlů, instalace běhového prostředí, CSI/CNI). Pro nasazování aplikací v K8s je vhodnější používat nativní manifesty/Helm/Argo CD.
• Neměnná infrastruktura: v kombinaci s Packerem/Terraformem vytvářejte zlaté obrazy; Ansible se výborně hodí pro tvorbu obrazů, Puppet/Chef pro kontrolu driftu po spuštění.

Windows a síťové prvky

• Windows: Ansible (moduly WinRM), Puppet (nativní zdroje pro Windows), Chef (silná podpora služeb Windows a integrace DSC). Volba závisí na požadované hloubce správy GPO/DSC a stávajících dovednostech.
• Síť: Ansible nabízí širokou škálu modulů pro síťová zařízení a idempotentní playbooky. Puppet/Chef se využívají spíše prostřednictvím specializovaných modulů nebo pro serverovou část síťových služeb.

Výkonnost a škálování řídicích prvků

• Ansible: zvyšujte paralelizaci (forks), používejte strategy free, async/poll, mitogen (pokud vyhovuje) a persistent connections. Pro rozsáhlé flotily nasaďte více řídicích uzlů a execution environments.
• Puppet: škáluje se pomocí více uzlů compiler a vyvažování zátěže; optimalizujte dotazy Hiera a katalogy a dolaďte fond JRuby na serveru.
• Chef: horizontální škálování serveru Chef, optimalizace cookbooků a využití policyfiles pro reprodukovatelné sestavení.

Tabulkové srovnání

Doporučené postupy pro návrh a organizaci kódu

• Repozitář a verzování: monorepo s jasnou strukturou nebo více repozitářů podle týmů; sémantické verzování modulů/collections/cookbooků.
• Oddělení dat a logiky: proměnné (group_vars/host_vars v Ansible, Hiera v Puppet, data bags v Chef) uchovávejte mimo kód; prostředí (dev/test/prod) udržujte odděleně.
• Idempotence a bezpečnost opakovaného spuštění: důsledně testujte opakovatelnost; vyhněte se skrytým vedlejším účinkům.
• Konvence a styl: lint, hooky pre-commit, kontrola kódu, dokumentace modulu/role.

Bezpečnostní a provozní pojistky

• Princip nejmenších oprávnění: omezujte klíče a účty, používejte přístup just-in-time a audit.
• Šifrování a rotace tajemství: Vault/Hiera/data bags s pravidelnou rotací; žádná tajemství v protokolech.
• Řízení změn: schvalovací workflow, canary nasazení, dry-run (režim check v Ansible, noop v Puppet, why-run v Chef) před aplikací změn.

Integrace s IaC a platformami

• Terraform: deklarativní provisioning infrastruktury; následnou konfiguraci instancí přebírá Ansible/Puppet/Chef.
• Packer: tvorba obrazů pomocí Ansible nebo Chef; rychlé škálování s neměnnými obrazy.
• Katalogy služeb: samoobslužné portály spouštějí playbooky/run-listy s parametry a RBAC.

Typické anti-patterny a jak se jim vyhnout

• Imperativní skriptování v YAML/Ruby bez ohledu na stav: vede k neidempotentnosti. Upřednostňujte deklarativní zdroje a kontrolu stavu.
• Jeden obří playbook/manifest/recipe: rozdělte jej na role/moduly/cookbooky a zajistěte opětovnou použitelnost a testování.
• Kombinování tajemství v prostém textu: vždy je šifrujte a auditujte přístupy.
• Bez testů: zařaďte Molecule/Test Kitchen a lint do CI hned od začátku.

Rozhodovací rámec: který nástroj zvolit

1. Požadavek na agenty: přísná politika zakazující agenty a potřeba ad hoc orchestrace hovoří ve prospěch Ansible.
2. Trvalá konvergence a soulad s předpisy: v prostředích s vysokými nároky na správu driftu upřednostněte Puppet (nebo Chef).
3. Programovatelnost a komplexní logika: Chef nabízí bohaté Ruby DSL a hodí se pro týmy se silnou vývojářskou kulturou.
4. Ekosystém a dovednosti týmu: vybírejte podle toho, co tým ovládá a jaké moduly jsou dostupné pro vaše platformy.
5. Převládající platforma: pro síťovou orchestraci a provisioning v multicloudu se hodí Ansible; pro heterogenní servery s důrazem na soulad s předpisy Puppet; komplexní sestavení a pipeline mohou těžit z Chef.

Příklady scénářů nasazení

• Flotila podnikových systémů Linux: Puppet pro základní konfiguraci (uživatelé, audit, balíčky, služby) + Ansible pro orchestraci změn a postupné nasazení vydání.
• Hybridní multicloud: Ansible pro provisioning VPC, IAM, nástrojů pro vyrovnávání zátěže a konfiguraci aplikací; Terraform pro IaC; Chef pro specifické aplikační role s bohatou logikou.
• Finanční instituce s požadavky na soulad s předpisy: Puppet Enterprise s reportingem a InSpec; řízené změny prostřednictvím GitOps a schvalování.

Závěr: automatizace jako disciplína, nejen nástroj

Ansible, Puppet a Chef představují tři osvědčené přístupy k infrastruktuře jako kódu. Volba není binární: v praxi se často kombinují silné stránky jednotlivých nástrojů. Klíčem k úspěchu jsou standardy, testování, bezpečné nakládání s tajemstvími, observabilita a průběžná konvergence k požadovanému stavu. Založte automatizaci na měřitelných cílech (MTTR, míra driftu, doba nasazení) a udržujte ji jako živou disciplínu – jen tak zůstane spolehlivým základem škálovatelného a bezpečného provozu.