# Ansible + PatchMon — zarządzanie flotą serwerów

Inwentarz jest pobierany dynamicznie z PatchMon (`patchmon_inventory.yml`, plugin
`patchmon.dynamic_inventory`). Grupy hostów pochodzą wprost z grup przypisanych
w PatchMon — filtrowanie na potrzeby playbooków (`--limit`) odbywa się przez te grupy,
nie przez ręczne listy hostów.

## Pierwsze uruchomienie (świeży klon repozytorium)

Sekrety nie są trzymane w gicie — trzeba je uzupełnić lokalnie:

```bash
cp patchmon_inventory.yml.example patchmon_inventory.yml
# uzupełnij api_url / api_key / api_secret w patchmon_inventory.yml

mkdir -p ssh_keys && chmod 700 ssh_keys
cp /ścieżka/do/twojego/klucza ssh_keys/id_rsa && chmod 600 ssh_keys/id_rsa
```

## Grupy PatchMon używane w tym projekcie

| Grupa | Znaczenie |
|---|---|
| `root` | Hosty logowane bezpośrednio na konto `root`. |
| `mgmt` | Hosty logowane na konto `mgmt` (z `sudo`). |
| `Update-now` | Wszystkie hosty dopuszczone do automatycznej aktualizacji (`root` ∪ `mgmt`). Domyślny cel dla crona/autopilota. |
| `Type-HOST` | Fizyczne hosty Proxmox — traktuj ostrożniej (restart hosta restartuje też jego VM/CT). |
| `Type-VM` / `Type-CT` | Maszyny wirtualne / kontenery LXC. |
| `Site-nni` / `Site-on` | Lokalizacje. |

Konto logowania (`ansible_user`) **nie** jest już podawane ręcznie przez `-e` — jest
ustawiane automatycznie przez `group_vars/root.yml` i `group_vars/mgmt.yml` na
podstawie grupy PatchMon danego hosta. Dzięki temu jedno uruchomienie playbooka na
grupie mieszanej (np. `Update-now`) obsłuży poprawnie oba typy kont.

## Struktura projektu

```
ssh_keys/
  id_rsa                          # klucz prywatny SSH (poza gitem, patrz sekcja "Sekrety")
group_vars/
  all.yml                        # klucz SSH, become, próg dysku, lista kluczy admina
  root.yml / mgmt.yml            # ansible_user per grupa PatchMon
playbooks/
  playbook_upgrade.yml           # apt update + dist-upgrade
  playbook_cleanup.yml           # autoremove/autoclean, czyszczenie journala, alarm dysku
  playbook_docker_cleanup.yml    # czyszczenie nieużywanych obrazów Docker (tylko hosty z Dockerem)
  playbook_fleet_report.yml      # raport: OS, uptime, dysk, liczba aktualizacji, reboot-required
  playbook_security_baseline.yml # unattended-upgrades + wyłączenie logowania hasłem SSH
  playbook_ssh.yml               # blokada pustych haseł SSH
  playbook_ssh_keys.yml          # zarządzanie kluczami publicznymi na koncie logowania
  playbook_autopilot.yml         # orkiestracja pod cron: upgrade -> cleanup -> fleet_report
templates/
  50unattended-upgrades.j2
  fleet_report.j2
cron/
  run-autopilot.sh               # wrapper do crona (flock + log)
  crontab.example
  ansible-autopilot.logrotate
reports/                          # tu trafiają wygenerowane raporty floty
```

## Użycie

```bash
# Aktualizacja pakietów na całej flocie dopuszczonej do auto-update
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_upgrade.yml --limit "Update-now"

# Sprzątanie/kondycja systemu (autoremove, journal, alarm zajętości dysku)
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_cleanup.yml --limit "Update-now"

# Czyszczenie nieużywanych obrazów Docker (tylko hosty, na których jest Docker)
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_docker_cleanup.yml --limit "Update-now"

# Raport stanu floty -> plik w reports/
# WAŻNE: dopisz ",localhost" do --limit, inaczej faza renderowania raportu
# zostanie pominięta ("skipping: no hosts matched").
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_fleet_report.yml --limit "Update-now,localhost"

# Baza bezpieczeństwa: unattended-upgrades + wyłączenie logowania hasłem SSH
# (dotyka sshd_config — uruchamiaj świadomie, ręcznie, nie z crona)
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_security_baseline.yml --limit "Update-now"

# Blokada logowania na puste hasła
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_ssh.yml --limit "Update-now"

# Zarządzanie kluczami SSH konta logowania (uzupełnij admin_ssh_keys w group_vars/all.yml)
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_ssh_keys.yml --limit "Update-now"

# Pełny przebieg autopilot ręcznie (to samo co robi cron)
ansible-playbook -i patchmon_inventory.yml playbooks/playbook_autopilot.yml --limit "Update-now,localhost"
```

Można też celować w węższe grupy, np. `--limit "Site-on"`, `--limit "Type-CT"`,
albo pojedynczy host: `--limit "pve"`.

## Reboot — tylko raportowanie, nigdy automatycznie

`playbook_fleet_report.yml` sprawdza `/var/run/reboot-required` na każdym hoście
i wypisuje listę hostów wymagających restartu w raporcie (`reports/fleet_report_*.txt`).
**Żaden playbook w tym projekcie nie restartuje hostów automatycznie** — decyzję
i moment restartu (szczególnie dla `Type-HOST`, czyli fizycznego Proxmoksa) podejmuje
operator ręcznie, po przejrzeniu raportu.

## Bezobsługowe uruchamianie (cron)

`cron/run-autopilot.sh` to wrapper na `playbook_autopilot.yml`:
- blokuje się przez `flock`, żeby nie nakładały się dwa równoległe przebiegi,
- loguje przebieg (start/koniec/kod wyjścia) do `/var/log/ansible-autopilot.log`,
- domyślnie celuje w grupę `Update-now` (nadpisywalne zmienną `TARGET_GROUP`).

Instalacja:

```bash
chmod +x cron/run-autopilot.sh
crontab -e   # wklej zawartość cron/crontab.example
sudo cp cron/ansible-autopilot.logrotate /etc/logrotate.d/ansible-autopilot
```

Każdy przebieg `playbook_fleet_report.yml` (w tym z crona) dokłada nowy plik do
`reports/` — warto od czasu do czasu posprzątać stare raporty, np.
`find reports/ -name 'fleet_report_*.txt' -mtime +30 -delete`.

## Sekrety

- **Klucz prywatny SSH** leży w `ssh_keys/id_rsa` (katalog `chmod 700`, plik `chmod 600`).
  Katalog `ssh_keys/` jest w `.gitignore` — klucz nigdy nie trafia do repozytorium.
  Ścieżka do niego jest ustawiona centralnie w `group_vars/all.yml`
  (`ansible_ssh_private_key_file: "{{ playbook_dir }}/../ssh_keys/id_rsa"`), więc
  wszystkie playbooki i `cron/run-autopilot.sh` korzystają z niej automatycznie —
  nie trzeba nic dodatkowo konfigurować.
- **`api_key`/`api_secret`/`api_url` PatchMon** leżą w `patchmon_inventory.yml`, który
  jest w `.gitignore` — nigdy nie trafia do repozytorium. Wersja do repo to
  `patchmon_inventory.yml.example` (same placeholdery, bez sekretów). Przy zakładaniu
  projektu od zera: `cp patchmon_inventory.yml.example patchmon_inventory.yml` i
  uzupełnij `api_url`/`api_key`/`api_secret`.
  (Plugin `patchmon.dynamic_inventory` wczytuje ten plik bezpośrednio, bez
  templatowania Jinja2/Vault, dlatego to rozdzielenie na plik realny + `.example`,
  a nie np. `{{ lookup('env', ...) }}`, jest tu jedynym niezawodnym sposobem.)