9. 执行环境¶

9.1.1. 通过 API 配置实例组¶

系统管理员可以通过 POST 到 /api/v2/instance_groups 来创建实例组。

创建后，可以使用以下方法将实例与实例组关联

HTTP POST /api/v2/instance_groups/x/instances/ {'id': y}`

添加到实例组的实例将自动重新配置自身以侦听该组的工作队列。有关更多详细信息，请参阅下一节 实例组策略。

9.1.2. 实例组策略¶

您可以通过定义 策略来配置 Tower 实例，以便在它们上线时自动加入实例组。这些策略将针对每个新上线的实例进行评估。

实例组策略由 Instance Group 上的三个可选字段控制

• policy_instance_percentage: 这是一个介于 0 - 100 之间的数字。它保证一定比例的活动 Tower 实例将被添加到此实例组中。当新实例上线时，如果此组中实例的数量相对于实例总数而言低于给定百分比，那么新的实例将被添加到此组中，直到满足百分比条件为止。

• policy_instance_minimum: 此策略尝试在实例组中保留至少这么多个实例。如果可用实例的数量低于此最小值，那么所有实例都将被放置到此实例组中。

• policy_instance_list: 这是一个始终包含在该实例组中的实例名称的固定列表。

Ansible Tower 用户界面中的实例组列表视图根据实例组策略提供了每个实例组的容量级别摘要

9.1.3. 值得注意的策略注意事项¶

• policy_instance_percentage 和 policy_instance_minimum 都设置了最小分配。导致更多实例分配给组的规则将生效。例如，如果您有 50% 的 policy_instance_percentage 和 2 个 policy_instance_minimum，并且您启动了 6 个实例，那么其中 3 个将被分配到实例组。如果将集群中的总实例数减少到 2 个，那么它们中的两个都将被分配到实例组以满足 policy_instance_minimum。这样，您可以设置可用资源量的下限。

• 策略不会主动阻止实例与多个实例组关联，但可以通过将百分比加起来达到 100 来有效地实现这一点。如果您有 4 个实例组，为每个实例组分配 25% 的百分比值，实例将分配到它们之间，不会重叠。

9.1.4. 手动将实例固定到特定组¶

如果您有一个特殊实例需要专用于特定的实例组，但又不想让它通过“百分比”或“最小”策略自动加入其他组

1. 将实例添加到一个或多个实例组的 policy_instance_list 中

2. 将实例的 managed_by_policy 属性更新为 False。

这将阻止实例根据百分比和最小策略自动添加到其他组；它只属于您手动分配给它的组

HTTP PATCH /api/v2/instance_groups/N/
{
"policy_instance_list": ["special-instance"]
}

HTTP PATCH /api/v2/instances/X/
{
"managed_by_policy": False
}

9.1.5. 作业运行时行为¶

当您运行与实例组关联的作业时，一些值得注意的行为是

• 如果集群被分成单独的实例组，那么行为类似于整个集群。如果两个实例分配给一个组，那么任何一个实例都与同一组中的任何其他实例一样有可能接收作业。

• 当 Tower 实例上线时，它实际上扩展了 Tower 系统的工作能力。如果这些实例也被放置在实例组中，那么它们也会扩展该组的能力。如果一个实例正在执行工作并且它是多个组的成员，那么它的能力将从它所属的所有组中减少。取消配置一个实例将从集群中删除它被分配到的任何地方的能力。有关更多详细信息，请参阅取消配置实例部分。

9.1.6. 控制作业运行的位置¶

如果作业模板、清单或组织中的任何一个与实例组相关联，那么从该作业模板运行的作业将不符合默认行为。这意味着如果与这 3 个资源关联的实例组中的所有实例都已达到容量，那么作业将保持在挂起状态，直到容量变得可用。

确定向哪个实例组提交作业的优先级顺序如下

1. 作业模板

2. 清单

3. 组织（通过项目）

如果实例组与作业模板相关联，并且所有这些都已达到容量，那么该作业将被提交到清单中指定的实例组，然后是组织。作业应在这些组中按优先级顺序执行，前提是资源可用。

全局 tower 组仍然可以与资源关联，就像 playbook 中定义的任何自定义实例组一样。这可用于在作业模板或清单上指定首选实例组，但仍允许将作业提交到任何实例，即使这些实例已达到容量。

例如，通过将 group_a 与作业模板关联，并将 tower 组与它的清单关联，您允许 tower 组用作备用，以防 group_a 达到容量。

此外，可以选择不将实例组与一个资源关联，而是指定另一个资源作为备用。例如，不将实例组与作业模板关联，并使其回退到清单和/或组织的实例组。

这提出了另外两个很好的用例

1. 将实例组与清单关联（省略将作业模板分配给实例组）将允许用户确保针对特定清单运行的任何 playbook 仅在与它关联的组上运行。这在只有这些实例与受管节点有直接链接的情况下非常有用。

2. 管理员可以将实例组分配给组织。这有效地允许管理员隔离整个基础架构并保证每个组织都有运行作业的能力，而不影响任何其他组织运行作业的能力。

同样，管理员可以根据需要将多个组分配给每个组织，如以下场景所示

• 有三个实例组：A、B 和 C。有两个组织：Org1 和 Org2。

• 管理员将组 A 分配给 Org1，将组 B 分配给 Org2，然后将组 C 分配给 Org1 和 Org2，作为可能需要的任何额外容量的溢出。

• 然后，组织管理员可以自由地将清单或作业模板分配到他们想要的任何组（或只让他们从组织继承默认顺序）。

以这种方式安排资源提供了很大的灵活性。此外，您可以创建只包含一个实例的实例组，从而允许您将工作直接定向到 Tower 集群中非常特定的主机。

9.1.7. 取消配置实例组¶

重新运行安装 playbook 不会自动取消配置实例，因为集群目前不区分有意脱机或由于故障而脱机的实例。相反，关闭 Tower 实例上的所有服务，然后从任何其他实例运行取消配置工具

1. 使用命令 ansible-tower-service stop 关闭实例或停止服务。

2. 从另一个实例运行取消配置命令 $ awx-manage deprovision_instance --hostname=<name used in inventory file>，以将其从 Tower 集群注册表中删除。

   示例：awx-manage deprovision_instance --hostname=hostB

同样，取消配置 Tower 中的实例组不会自动取消配置或删除实例组，即使重新配置通常会导致这些实例组未使用。它们可能仍然显示在 API 端点和统计信息监控中。可以使用以下命令删除这些组

示例：awx-manage unregister_queue --queuename=<name>

从清单文件中删除实例对实例组的成员资格并重新运行安装 playbook 无法确保实例不会被添加回组。要确保实例不会被添加回组，请通过 API 删除，并在清单文件中删除它，或者您可以完全停止在清单文件中定义实例组。您也可以通过 Ansible Tower 用户界面管理实例组拓扑。有关在 UI 中管理实例组的更多信息，请参阅实例组，该页面位于Ansible Tower 用户指南中。

9.1.8. 隔离的实例组¶

Tower 能够选择性地在安全受限的网络区域内定义隔离的组，用于运行作业和临时命令。这些组中的实例将不会安装完整的 Tower，但将拥有运行作业所需的一组最小的实用程序。必须在清单文件中指定隔离组，并以 isolated_group_ 为前缀。以下是一个隔离实例组清单文件的示例。

[tower]
towerA
towerB
towerC

[instance_group_security]
towerB
towerC

[isolated_group_govcloud]
isolatedA
isolatedB

[isolated_group_govcloud:vars]
controller=security

在隔离实例组模型中，“控制器”实例通过一系列 SSH 上的 Ansible playbook 与“隔离”实例交互。在安装时，默认情况下，会生成一个随机的 RSA 密钥，并将该密钥作为授权密钥分发给所有“隔离”实例。该密钥的私钥部分被加密并存储在 Tower 数据库中，用于在“控制器”实例运行作业时向“隔离”实例进行身份验证。

当一个作业被安排在“隔离”实例上运行时

• “控制器”实例会编译运行作业所需的元数据，并将其复制到“隔离”实例。

• 一旦元数据同步到隔离主机，"控制器" 实例就会在 "隔离" 实例上启动一个进程，该进程会消耗元数据并开始运行 ansible/ansible-playbook。当 playbook 运行时，作业工件（如 stdout 和作业事件）将写入 "隔离" 实例上的磁盘。

• 当作业在“隔离”实例上运行时，“控制器”实例会定期从“隔离”实例复制作业工件（stdout 和作业事件）。它会一直消耗这些工件，直到作业在“隔离”实例上完成运行。

注意

如果控制器节点在隔离运行过程中脱机，则控制器节点会失败。如果 Tower 节点重新启动，或者调度程序在 playbook 运行期间停止，则在该节点上运行的作业会失败，并且在调度程序上线时不会重新启动。

可以创建隔离组（节点），以便它们可以存在于 VPC 中，该 VPC 的安全规则只允许其控制器组中的实例访问它们；只需要从 "控制器" 实例到 "隔离" 实例的入站 SSH 流量。在配置隔离节点时，您的安装机器需要能够连接到隔离节点。在隔离节点不可直接访问但可以通过其他主机间接访问的情况下，您可以通过在 SSH 配置中使用 ProxyCommand 指定跳转主机，然后运行安装程序。

具有隔离组的推荐系统配置如下

• 不要创建名为 isolated_group_tower 的组。

• 不要将任何隔离实例放入 tower 组或其他普通实例组中。

• 将控制器变量定义为所有隔离组中的实例的组变量或主机变量。不允许隔离组中的同一组中的隔离实例具有该变量的不同值 - 这种情况下行为不可预测。

• 不要将一个孤立的实例放在多个孤立组中。

• 不要将一个实例同时放在普通组和孤立组中。

• 孤立实例可以安装在 RHEL 7 及更高版本上。

• 与孤立组相关的以下持续时间可以在“设置” () 菜单的“作业”选项卡中配置

  • **孤立状态检查间隔**: 30 秒是为在孤立实例上运行的作业设置的状态检查之间睡眠时间的默认值。

  • **孤立启动超时**: 600 秒 (10 分钟) 是在孤立实例上启动作业的默认超时时间。这包括将源代码控制文件（剧本）复制到孤立实例所需的时间。

  • **孤立连接超时**: 10 秒是与孤立实例通信时默认的 Ansible SSH 连接超时时间。此值应明显大于预期的网络延迟。

在 Tower 用户界面中，实例组列表视图中相应地标记了孤立组。