Automatiser la configuration de serveurs de production

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Automatiser la configuration de serveurs de production

shadowglyph97

Salut à tous 👋

J’ai suivi plusieurs tutos ici (dont celui avec Vagrant + Chef 🙌), et ça m’a vraiment aidé à mettre en place des environnements de dev cohérents. Maintenant, je cherche à étendre cette approche au niveau production dans un cadre SysOps.

Ma stack actuelle :

Quelques dizaines de serveurs (Linux, principalement Debian/Ubuntu)

Proxmox pour la virtualisation

Scripts Bash et un peu de PowerShell

Déploiement de services web, base de données, et sauvegardes automatisées

J’hésite à standardiser avec Chef, Ansible, ou même un mix avec Vagrant pour tester les recettes avant déploiement.

Je suis curieux :

Est-ce que certains ici utilisent Chef ou Ansible en prod ?

Des retours sur la courbe d’apprentissage, flexibilité, ou intégration avec Vagrant ?

Comment vous gérez les fichiers sensibles, la sécurité, et les rollbacks ?

Toute expérience, outil complémentaire ou astuce est la bienvenue 😊

Merci d’avance à tous !

Merrick

Salut,

Voici mon opinion, qui ne regarde que moi :

Vagrant est très bien pour du dev/qualif, mais pas pour de la prod. Ca permet de pop up des machines rapidement pour tester, mais qui n'ont pas vocation à durer
le couple Ansible/Chef est parfait pour de la prod (même si je préfère Puppet que Chef pour la gestion de conf). Pour de la production, concernant Ansible, je conseille de passer par un orchestrateur (AWX est gratuit) qui t'ouvrira pas mal de possibilités en plus d'Ansible (RBAC, traçabilité, délégation, ...). Avec AWX, tu peux également planifier des lancements de playbooks de façon régulière, ce qui peut aussi te permettre de t'affranchir de la couche Chef/Gestionnaire de conf.
Si c'est pour du déploiement, la couche Terraform (IAC : Infrastructure as Code) mérite aussi un coup d'oeil. Elle permet de définir toute ton infra dans des fichiers de description, la déployer, et la maintenir en l'état voulu.
Les fichiers sensibles/secrets/etc... : idéalement, tu as un gestionnaire de secrets dans la boite (par exemple Hashicorp Vault), dans lequel tu vas poser tous tes passwords et les consommer ensuite via des API. Si tu n'as pas, la solution "du pauvre" (mais qui marche quand même bien), c'est d'avoir un fichier de passwords chiffré avec Ansible Vault, et historisé sur ton git.
Bien entendu, tout ça ne marche que si tu as un git pour y stocker tes playbooks, tes descripteurs IAC, tes secrets éventuels, etc...

Je ne m'étends pas sur la sécurité au sens large, car ça dépend de beaucoup trop de facteurs pour être exposé ici. Par exemple, ta sécurité "soft" est fortement réduite si tes machines sont accessibles physiquement facilement. Il faut penser durcissement, remise en conformité, patch management, centralisation et analyse des logs, annuaires, externalisation des sauvegardes, coffres immuables, etc... La sécurité peut coûter très très cher à la mise en oeuvre et au run, et c'est en fonction de tes moyens que tu dois positionner le curseur, et accepter ou non certains risques.