mates-ansible

Ansible playbooky pro přípravu nového serveru a správu home infrastruktury.

Jsi začátečník? Čti od Začínáme - vše je tu vysvětleno krok za krokem.

---

Co je Ansible?

Ansible je nástroj, který automatizuje konfiguraci serverů. Místo toho, aby ses ručně přihlašoval přes SSH a psal 50 příkazů, napíšeš jeden příkaz a Ansible udělá všechno za tebe.

Příklad: Místo

ssh server "apt update && apt install -y docker docker-compose-plugin && usermod -aG docker deploy"

napíšeš

ansible-playbook -i inventory.yml playbooks/priprav-novy-server.yml

a Ansible to udělá na všech serverech najednou.

---

Obsah repozitáře

Playbooky (hlavní úkoly)

Playbook	Co dělá
priprav-novy-server.yml	Kompletní příprava nového serveru od nuly (update + user + SSH + Docker + adresáře + fail2ban)
nasad-sluzby.yml	Nasaď Docker služby z mates-docker-services/ (Portainer, Vaultwarden, Gitea, ...)
aktualizuj-sluzby.yml	Aktualizuj všechny běžící služby (docker compose pull && up -d)
zabezpec-server.yml	Bezpečnostní hardening (sysctl, auditd, automatické security updaty)

Role (znovupoužitelné bloky)

Role	Co dělá
zaklad	Update systému, base balíky (btop, mc, tree, curl, ...), timezone
uzivatel-deploy	Vytvoří uživatele deploy (UID 1000) s uzamknutým heslem
ssh-klice	Nasadí SSH klíč pro deploy (heslo = klíč, ne heslo)
docker	Docker Engine + Compose plugin + nastavení daemon.json
adresare	/home/deploy/{docker,scripts,backups,logs,~/.local/bin} + 14 složek pro služby
netbird	Nainstaluje NetBird klienta (mesh VPN) - apt balíček, ne Docker

️ Konfigurace

Soubor	Co obsahuje
inventory.example.yml	Ukázkový inventory - seznam serverů
group_vars/all.yml.example	Společné proměnné (SSH klíč, porty, balíky, ...)
ansible.cfg	Konfigurace Ansible (cesty, SSH optimalizace, ...)

---

Začínáme

Krok 1: Nainstaluj Ansible

# macOS
brew install ansible

# Linux (apt)
sudo apt install -y ansible

Krok 2: Naklonuj repo

git clone http://<server-ip>:3000/mates/mates-ansible.git
cd mates-ansible

Krok 3: Vytvoř inventory.yml

Zkopíruj ukázkový soubor a uprav:

cp inventory.example.yml inventory.yml
nano inventory.yml

Co v inventory nastavit:

all:
 vars:
 ansible_user: ubuntu # SSH user na novém serveru
 ansible_become: true # potřebuje sudo (povinné)
 ansible_ssh_pass: tvujHeslo # heslo pro první připojení (jen dočasně!)

 children:
 homeservers:
 hosts:
 novy-server:
 ansible_host: <server-ip> # IP nového serveru

Krok 4: Přidej svůj SSH klíč

# Na Macu - zobraz svuj verejny klic
cat ~/.ssh/id_ed25519.pub
# ssh-ed25519 AAAAC3Nz... hermes@mac

# Pridej do group_vars/all.yml.example
cp group_vars/all.yml.example group_vars/all.yml
nano group_vars/all.yml

V souboru najdi řádek:

deploy_ssh_public_keys:
 - "ssh-ed25519 AAAAC3Nz... hermes@mac" # <- sem vlož svůj klíč

Krok 5: Spusť playbook

ansible-playbook -i inventory.yml playbooks/priprav-novy-server.yml

Co se stane:

1. Ansible se připojí na server přes SSH (s heslem)
2. Stáhne seznam balíků (apt update)
3. Nainstaluje 17 základních balíků (btop, mc, tree, curl, ...)
4. Vytvoří uživatele deploy (UID 1000)
5. Zamkne mu heslo (přístup jen přes SSH klíč)
6. Přidá tvůj SSH klíč do ~/.ssh/authorized_keys
7. Nainstaluje Docker Engine + Compose plugin
8. Přidá deploy do docker group (docker bez sudo)
9. Vytvoří adresářovou strukturu pro 14 Docker služeb
10. Nainstaluje NetBird (mesh VPN klient - apt balíček)
11. Nainstaluje fail2ban (ochrana proti brute-force SSH)

Trvání: 5-10 minut.

Krok 6: Ověř

# Prihlas se jako deploy (s klicem, bez hesla)
ssh deploy@<server-ip>

# Over Docker
docker ps # melo by fungovat bez sudo
docker compose version

# Adresare
ls /home/deploy/ # melo byt: docker, scripts, backups, logs, ...

---

Práce s playbooky

Příprava nového serveru (úplně od nuly)

ansible-playbook -i inventory.yml playbooks/priprav-novy-server.yml

Nasazení Docker služeb

# Nasaď všechny (portainer, gitea, vaultwarden, ...)
ansible-playbook -i inventory.yml playbooks/nasad-sluzby.yml

# Nasaď jen vybrané
ansible-playbook -i inventory.yml playbooks/nasad-sluzby.yml \
 --extra-vars "sluzby=[portainer,vaultwarden]"

Aktualizace služeb

# Aktualizuj všechny běžící služby (docker compose pull && up -d)
ansible-playbook -i inventory.yml playbooks/aktualizuj-sluzby.yml

Bezpečnostní hardening

ansible-playbook -i inventory.yml playbooks/zabezpec-server.yml

Tento playbook nastavuje:

• sysctl - hardening síťových parametrů jádra
• auditd - logování bezpečnostních událostí
• unattended-upgrades - automatické bezpečnostní aktualizace

---

Struktura projektu

mates-ansible/
+-- README.md # Tento soubor
+-- LICENSE # MIT
+-- ansible.cfg # Konfigurace Ansible
+-- inventory.example.yml # Ukázkový inventory
+-- group_vars/
| +-- all.yml.example # Společné proměnné
+-- playbooks/
| +-- priprav-novy-server.yml # Příprava nového serveru
| +-- nasad-sluzby.yml # Nasaď Docker služby
| +-- aktualizuj-sluzby.yml # Aktualizuj služby
| +-- zabezpec-server.yml # Bezpečnostní hardening
+-- roles/
 +-- zaklad/ # Update + base balíky
 +-- uzivatel-deploy/ # Vytvoření deploy usera
 +-- ssh-klice/ # Nasazení SSH klíče
 +-- docker/ # Docker Engine + Compose
 +-- adresare/ # Adresářová struktura
 +-- netbird/ # NetBird (mesh VPN)

---

Kde co nastavit

Co	Kde
IP serverů	inventory.yml
SSH klíč pro deploy	group_vars/all.yml -> deploy_ssh_public_keys
Base balíky	roles/zaklad/defaults/main.yml -> base_packages
Porty	group_vars/all.yml -> allowed_ports
Docker daemon nastavení	roles/docker/defaults/main.yml -> docker_daemon_config
Služby k nasazení	group_vars/all.yml -> services_to_deploy

---

Bezpečnost

• Deploy user má zamknuté heslo - přístup jen přes SSH klíč
• Bez hesel v inventory - použij ansible-vault nebo SSH klíče
• Docker bez sudo - user deploy je v docker group
• fail2ban - 3 pokusy o SSH = ban na 1 hodinu
• Firewall se nenastavuje automaticky - viz priprav-novy-server.yml pro vysvětlení

---

Další zdroje

Detailní postupy najdeš v Jotty knowledge base.

---

Poslední update: 2026-08-01