refactor: ceske nazvy playbooku a roli bez diakritiky

Playbooky (novy nazev -> co dela): - priprav-novy-server.yml (kompletni setup noveho serveru) - nasad-sluzby.yml (nasadi Docker sluzby z docker-services/) - aktualizuj-sluzby.yml (docker compose pull && up -d) - zabezpec-server.yml (sysctl, auditd, unattended-upgrades) - bootstrap-server.yml SMAZAN (duplicitni s priprav-novy-server) Role (novy nazev -> co dela): - zaklad (update + base baliky + timezone) - uzivatel-deploy (vytvori deploy usera UID 1000) - ssh-klice (authorized_keys deployment) - docker (Docker Engine + Compose plugin) - ponechan anglicky (IT konvence) - adresare (/home/deploy/{docker,scripts,backups,logs,...}) - firewall SMAZAN (nepouziva se) Reference v playbooku aktualizovany na nove nazvy roli. README.md kompletne prepracovan v cestine pro zacatecniky - vysvetluje co Ansible je, jak nainstalovat, jak vytvorit inventory, jak spustit playbook, jak overit ze vse funguje.
2026-08-01 20:08:25 +02:00
parent 1af4127820
commit a102c83db8
14 changed files with 235 additions and 244 deletions
@@ -1,119 +1,255 @@
 # mates-ansible

-Ansible role a playbooky pro přípravu nového serveru a nasazení home infrastruktury.
+Ansible playbooky pro přípravu nového serveru a správu home infrastruktury.

-## Playbooky
+> **Jsi začátečník?** Čti od [Začínáme](#zaciname) – vše je tu vysvětleno krok za krokem.

-| Playbook | Účel |
+---
+
+## 📚 Co je Ansible?
+
+Ansible je nástroj, který **automatizuje konfiguraci serverů**. Místo toho, aby ses ručně přihlašoval přes SSH a psal 50 příkazů, napíšeš **jeden příkaz** a Ansible udělá všechno za tebe.
+
+**Příklad:** Místo
+```bash
+ssh server "apt update && apt install -y docker docker-compose-plugin && usermod -aG docker deploy"
+```
+
+napíšeš
+```bash
+ansible-playbook -i inventory.yml playbooks/priprav-novy-server.yml
+```
+
+a Ansible to udělá **na všech serverech** najednou.
+
+---
+
+## 📦 Obsah repozitáře
+
+### 🎯 Playbooky (hlavní úkoly)
+
+| Playbook | Co dělá |
 |---|---|
-| `prepare-new-server.yml` | Kompletní příprava nového serveru (od nuly) |
-| `deploy-services.yml` | Nasaď Docker služby z `mates-docker-services/` |
-| `update-services.yml` | Update všech služeb (`docker compose pull && up -d`) |
-| `security-hardening.yml` | Sysctl, auditd, auto-updates |
+| **`priprav-novy-server.yml`** | Kompletní příprava nového serveru od nuly (update + user + SSH + Docker + adresáře + fail2ban) |
+| **`nasad-sluzby.yml`** | Nasaď Docker služby z `mates-docker-services/` (Portainer, Vaultwarden, Gitea, …) |
+| **`aktualizuj-sluzby.yml`** | Aktualizuj všechny běžící služby (`docker compose pull && up -d`) |
+| **`zabezpec-server.yml`** | Bezpečnostní hardening (sysctl, auditd, automatické security updaty) |

-## Quickstart pro nový server
+### 🧩 Role (znovupoužitelné bloky)

-### 1. Příprava inventory
+| Role | Co dělá |
+|---|---|
+| `zaklad` | Základ: update systému, base balíky (btop, mc, tree, curl, …), timezone |
+| `uzivatel-deploy` | Vytvoří uživatele `deploy` (UID 1000) s uzamknutým heslem |
+| `ssh-klice` | Nasadí SSH klíč pro `deploy` (heslo = klíč, ne heslo) |
+| `docker` | Docker Engine + Compose plugin + nastavení daemon.json |
+| `adresare` | `/home/deploy/{docker,scripts,backups,logs,~/.local/bin}` + 14 složek pro služby |
+
+### ⚙️ Konfigurace
+
+| Soubor | Co obsahuje |
+|---|---|
+| `inventory.example.yml` | Ukázkový inventory – seznam serverů |
+| `group_vars/all.yml.example` | Společné proměnné (SSH klíč, porty, balíky, …) |
+| `ansible.cfg` | Konfigurace Ansible (cesty, SSH optimalizace, …) |
+
+---
+
+## 🚀 Začínáme
+
+### Krok 1: Nainstaluj Ansible
+
+```bash
+# macOS
+brew install ansible
+
+# Linux (apt)
+sudo apt install -y ansible
+```
+
+### Krok 2: Naklonuj repo
+
+```bash
+git clone http://<server-ip>:3000/mates/mates-ansible.git
+cd mates-ansible
+```
+
+### Krok 3: Vytvoř inventory.yml
+
+Zkopíruj ukázkový soubor a uprav:

 ```bash
 cp inventory.example.yml inventory.yml
-nano inventory.yml   # nastavit IP a SSH klíč
+nano inventory.yml
 ```

-### 2. Přidání svého SSH klíče
-
-```bash
-# Verejny klic z Macu
-cat ~/.ssh/id_ed25519.pub
-
-# Pridej do group_vars/all.yml:
-deploy_ssh_public_keys:
-  - "ssh-ed25519 AAAAC3Nz... hermes@mac"
-```
-
-### 3. První připojení (s heslem)
+**Co v inventory nastavit:**

 ```yaml
-# inventory.yml - pro prvni pripojeni (jeste pred SSH klicem)
-homeservers:
-  hosts:
-    novy-server:
-      ansible_host: <server-ip>
-      ansible_user: ubuntu           # nebo root
-      ansible_ssh_pass: heslo        # POZOR: jen docasne
-      ansible_become_pass: heslo     # POZOR: jen docasne
+all:
+  vars:
+    ansible_user: ubuntu           # SSH user na novém serveru
+    ansible_become: true          # potřebuje sudo (povinné)
+    ansible_ssh_pass: tvujHeslo   # heslo pro první připojení (jen dočasně!)
+
+  children:
+    homeservers:
+      hosts:
+        novy-server:
+          ansible_host: 192.168.1.50   # IP nového serveru
 ```

-### 4. Spuštění playbooku
+### Krok 4: Přidej svůj SSH klíč

 ```bash
-ansible-playbook -i inventory.yml playbooks/prepare-new-server.yml
+# Na Macu – zobraz svuj verejny klic
+cat ~/.ssh/id_ed25519.pub
+# ssh-ed25519 AAAAC3Nz... hermes@mac
+
+# Pridej do group_vars/all.yml.example
+cp group_vars/all.yml.example group_vars/all.yml
+nano group_vars/all.yml
 ```

-Playbook provede:
- ✅ Update systému (apt)
- ✅ Vytvoří `deploy` usera (UID 1000) bez hesla
- ✅ Nastaví SSH klíč pro `deploy`
- ✅ Vytvoří adresářovou strukturu (`/home/deploy/docker/<sluzba>/`)
- ✅ Nainstaluje Docker Engine + Compose plugin
- ✅ Přidá `deploy` do `docker` group (docker bez sudo)
- ✅ Nastaví UFW firewall (povoleno 22, 80, 443)
- ✅ Nainstaluje fail2ban
+V souboru najdi řádek:
+```yaml
+deploy_ssh_public_keys:
+  - "ssh-ed25519 AAAAC3Nz... hermes@mac"   # ← sem vlož svůj klíč
+```

-### 5. Po dokončení
+### Krok 5: Spusť playbook

 ```bash
-# Prihlas se jako deploy
+ansible-playbook -i inventory.yml playbooks/priprav-novy-server.yml
+```
+
+**Co se stane:**
+1. ✅ Ansible se připojí na server přes SSH (s heslem)
+2. ✅ Stáhne seznam balíků (`apt update`)
+3. ✅ Nainstaluje 17 základních balíků (btop, mc, tree, curl, …)
+4. ✅ Vytvoří uživatele `deploy` (UID 1000)
+5. ✅ Zamkne mu heslo (přístup jen přes SSH klíč)
+6. ✅ Přidá tvůj SSH klíč do `~/.ssh/authorized_keys`
+7. ✅ Nainstaluje Docker Engine + Compose plugin
+8. ✅ Přidá `deploy` do `docker` group (docker **bez sudo**)
+9. ✅ Vytvoří adresářovou strukturu pro 14 Docker služeb
+10. ✅ Nainstaluje fail2ban (ochrana proti brute-force SSH)
+
+**Trvání:** 5-10 minut.
+
+### Krok 6: Ověř
+
+```bash
+# Prihlas se jako deploy (s klicem, bez hesla)
 ssh deploy@<server-ip>

-# Over Docker bez sudo
-docker ps
+# Over Docker
+docker ps                # melo by fungovat bez sudo
+docker compose version

-# Nasad sluzby z docker-services
-git clone http://<server-ip>:3000/mates/mates-docker-services.git
-cd mates-docker-services/portainer
-cp .env.example .env
-docker compose up -d
+# Adresare
+ls /home/deploy/        # melo byt: docker, scripts, backups, logs, ...
 ```

-## Role
+---

-| Role | Účel |
-|---|---|
-| `common` | Update systému, base packages, timezone |
-| `deploy-user` | Vytvoření `deploy` usera (UID 1000) |
-| `ssh-keys` | Nasazení authorized_keys |
-| `firewall` | UFW konfigurace |
-| `docker` | Docker Engine + Compose + user v docker group |
-| `directories` | `/home/deploy/{docker,scripts,backups,logs,...}` |
+## 🎬 Práce s playbooky

-## Struktura
+### Příprava nového serveru (úplně od nuly)
+
+```bash
+ansible-playbook -i inventory.yml playbooks/priprav-novy-server.yml
+```
+
+### Nasazení Docker služeb
+
+```bash
+# Nasaď všechny (portainer, gitea, vaultwarden, ...)
+ansible-playbook -i inventory.yml playbooks/nasad-sluzby.yml
+
+# Nasaď jen vybrané
+ansible-playbook -i inventory.yml playbooks/nasad-sluzby.yml \
+    --extra-vars "sluzby=[portainer,vaultwarden]"
+```
+
+### Aktualizace služeb
+
+```bash
+# Aktualizuj všechny běžící služby (docker compose pull && up -d)
+ansible-playbook -i inventory.yml playbooks/aktualizuj-sluzby.yml
+```
+
+### Bezpečnostní hardening
+
+```bash
+ansible-playbook -i inventory.yml playbooks/zabezpec-server.yml
+```
+
+Tento playbook nastavuje:
+- **sysctl** – hardening síťových parametrů jádra
+- **auditd** – logování bezpečnostních událostí
+- **unattended-upgrades** – automatické bezpečnostní aktualizace
+
+---
+
+## 🏗 Struktura projektu

 ```
 mates-ansible/
-├── README.md
-├── ansible.cfg
-├── inventory.example.yml
-├── group_vars/all.yml.example
+├── README.md                          # Tento soubor
+├── LICENSE                            # MIT
+├── ansible.cfg                        # Konfigurace Ansible
+├── inventory.example.yml              # Ukázkový inventory
+├── group_vars/
+│   └── all.yml.example                # Společné proměnné
 ├── playbooks/
-│   ├── prepare-new-server.yml
-│   ├── deploy-services.yml
-│   ├── update-services.yml
-│   └── security-hardening.yml
-├── roles/
-│   ├── common/
-│   ├── deploy-user/
-│   ├── ssh-keys/
-│   ├── firewall/
-│   ├── docker/
-│   └── directories/
-└── requirements.yml
+│   ├── priprav-novy-server.yml        # Příprava nového serveru
+│   ├── nasad-sluzby.yml              # Nasaď Docker služby
+│   ├── aktualizuj-sluzby.yml          # Aktualizuj služby
+│   └── zabezpec-server.yml            # Bezpečnostní hardening
+└── roles/
+    ├── zaklad/                        # Update + base balíky
+    ├── uzivatel-deploy/               # Vytvoření deploy usera
+    ├── ssh-klice/                    # Nasazení SSH klíče
+    ├── docker/                        # Docker Engine + Compose
+    └── adresare/                      # Adresářová struktura
 ```

-## Detailní návody
+---
+
+## 🔑 Kde co nastavit
+
+| Co | Kde |
+|---|---|
+| IP serverů | `inventory.yml` |
+| SSH klíč pro deploy | `group_vars/all.yml` → `deploy_ssh_public_keys` |
+| Base balíky | `roles/zaklad/defaults/main.yml` → `base_packages` |
+| Porty | `group_vars/all.yml` → `allowed_ports` |
+| Docker daemon nastavení | `roles/docker/defaults/main.yml` → `docker_daemon_config` |
+| Služby k nasazení | `group_vars/all.yml` → `services_to_deploy` |
+
+---
+
+## 🔐 Bezpečnost
+
+- ✅ **Deploy user má zamknuté heslo** – přístup jen přes SSH klíč
+- ✅ **Bez hesel v inventory** – použij `ansible-vault` nebo SSH klíče
+- ✅ **Docker bez sudo** – user `deploy` je v `docker` group
+- ✅ **fail2ban** – 3 pokusy o SSH = ban na 1 hodinu
+- ✅ **Firewall se nenastavuje automaticky** – viz `priprav-novy-server.yml` pro vysvětlení
+
+---
+
+## 📚 Další zdroje

 Detailní postupy najdeš v Jotty knowledge base.

-## Licence
+---
+
+## 📜 Licence

 MIT – viz [LICENSE](LICENSE)
+
+---
+
+**Poslední update:** 2026-08-01