1. 准备 Ansible 自动化平台安装¶

1.2.1.1. PostgreSQL 的显著更改¶

自动化平台使用 PostgreSQL 10.x，它是 RHEL 7 上的 SCL 包，是 RHEL8 上的应用程序流。升级到 PostgreSQL 10.x 时，一些值得注意的更改是

• PostgreSQL 用户密码现在将在存储在数据库之前使用 SCRAM-SHA-256 安全哈希算法进行哈希处理。

• 您不再需要在安装时在清单文件中提供 pg_hashed_password，因为 PostgreSQL 10.x 现在可以更安全地存储用户密码。如果用户在安装程序的清单文件中提供密码 (pg_password)，则该密码将作为安装过程的一部分由 PostgreSQL 使用 SCRAM-SHA-256 进行哈希处理。**不要**在 pg_password 中使用特殊字符，因为这可能会导致设置失败。

• 由于 Ansible Tower 和 Automation Hub 在 3.8 中使用软件集合版本的 PostgreSQL，因此必须启用 rh-postgresql10 scl 才能访问数据库。管理员可以使用 awx-manage dbshell 命令，该命令将自动启用 PostgreSQL SCL。

• 如果您只需要确定您的 Tower 实例是否可以访问数据库，可以使用命令 awx-manage check_db。

1.2.1.2. PostgreSQL 配置¶

您可以选择将 PostgreSQL 数据库配置为独立节点，这些节点不受自动化平台安装程序管理。当自动化平台安装程序管理数据库服务器时，它会使用默认值配置服务器，这些默认值通常推荐用于大多数工作负载。但是，您可以为独立数据库服务器节点调整这些 PostgreSQL 设置，其中 ansible_memtotal_mb 是数据库服务器的总内存大小。

max_connections == 1024
shared_buffers == ansible_memtotal_mb*0.3
work_mem == ansible_memtotal_mb*0.03
maintenance_work_mem == ansible_memtotal_mb*0.04

有关 PostgreSQL 文档 的更多详细信息，请参阅 调整 PostgreSQL 服务器。

1.2.3.1. 在启用 FIPS 模式的系统上安装自动化平台¶

Ansible 自动化平台可以在启用 FIPS 模式的系统上运行，但需要注意一些限制。

• 仅支持 Enterprise Linux 7+。为了使 Ansible Tower 在 FIPS 模式下工作，必须使用 RHEL 附带的标准 python。因此，不支持对 Tower 使用任何非标准、非系统 python。

• 默认情况下，Tower 使用基于密码的身份验证配置 PostgreSQL，并且此过程依赖于在安装时运行 CREATE USER 时使用 md5。要从启用 FIPS 的系统运行 Tower 安装程序，请在您的清单文件中指定 pg_password。不要在 pg_password 中使用特殊字符，因为这可能会导致安装失败。

  pg_password='choose-a-password'
  

  有关更多详细信息，请参阅 设置清单文件。

  如果您在安装程序的清单文件中提供密码（pg_password），该密码将在安装过程中被 PostgreSQL 使用 SCRAM-SHA-256 哈希。

• 命令 ssh-keygen 以一种格式（RFC4716）生成密钥，该格式在过程的某个时刻使用 md5 摘要算法（作为对输入密码短语执行的转换的一部分）。在强制执行 FIPS 的系统上，md5 被完全禁用，因此这些类型的加密 SSH 密钥（由密码短语保护的 RFC4716 私钥）将不可用。当启用 FIPS 模式时，您导入到 Ansible Tower 的任何加密 SSH 密钥必须是 PKCS8 格式的密钥。可以通过运行以下 openssl 命令将现有的 AES128 密钥转换为 PKCS8

  $ openssl pkcs8 -topk8 -v2 aes128 -in <INPUT_KEY> -out <NEW_OUTPUT_KEY>
  

有关更多详细信息，请参阅：https://access.redhat.com/solutions/1519083

• 使用使用 paramiko 库的 Ansible 功能将不符合 FIPS 标准。这包括将 ansible_connection=paramiko 设置为传输以及使用利用 ncclient NETCONF 库的网络模块。

• TACACS+ 协议使用 md5 来混淆授权包的内容；在启用 FIPS 模式的系统上，TACACS+ 身份验证 不受支持。

• RADIUS 协议使用 md5 在 Access-Request 查询中加密密码；在启用 FIPS 模式的系统上，RADIUS 身份验证 不受支持。

1.2.3.2. Red Hat Enterprise Linux 和 CentOS 设置的说明¶

• PackageKit 经常会干扰安装/更新机制。在运行安装过程之前，请考虑禁用或删除 PackageKit（如果已安装）。

• 仅支持“目标”SELinux 策略。目标策略可以设置为禁用、宽松或强制。

• 执行捆绑安装时，请参阅 使用捆绑的 Ansible 自动化平台安装程序 以了解更多信息。

• 安装 Ansible Tower 时，您只需运行 setup.sh，Tower 所需的任何存储库都会自动安装。

• 最新版本的 Ansible 会在安装过程中自动安装。无需进行其他安装或配置。

1.2.3.3. Ubuntu 设置的说明¶

Ansible Tower 不再支持 Ubuntu。有关 Ubuntu 的详细信息，请参阅先前版本的《Ansible 自动化平台安装和参考指南》。

1.2.3.4. 在 OpenShift 上配置和安装¶

对于基于 OpenShift 的部署，请参阅 OpenShift 部署和配置。

1.2.3.5. 在 Tower 上安装 Satellite 实例¶

Satellite 用户需要在安装 Tower 之前，在 Tower 节点上安装 Satellite 实例的 Katello RPM。此 RPM 会自动配置 Subscription Manager 以使用 Satellite 作为其内容源，并且 hostname 值会在 /etc/rhsm/rhsm.conf 中更新。