Semaphore UI et Rundeck : Ansible et automatisation des procédures d'exploitation

Rundeck fonctionne sur un serveur classique sans Kubernetes, avec des paquets natifs, un WAR exécutable ou Docker, et un environnement Java. H2 est inclus pour la configuration initiale. H2 n'étant pas pris en charge en production, les équipes configurent une base de données externe compatible pour cet usage. L'offre commerciale Runbook Automation est également disponible en service géré.

Semaphore UI propose un binaire autonome, des paquets natifs et Docker, ainsi que Kubernetes. Une équipe d'exploitation peut installer le service sur un hôte existant et connecter ses dépôts d'automatisation sans introduire de JVM. Cette possibilité convient aussi bien à quelques procédures récurrentes partagées qu'à une équipe plus grande souhaitant auto-héberger son automatisation. Les deux produits peuvent également faire fonctionner leur serveur sous Windows, Rundeck nécessitant Java. L'exécution d'Ansible exige un environnement de contrôle compatible, comme Linux, WSL ou un runner ou conteneur Linux. Un serveur web Windows natif ne fait pas de Windows un nœud de contrôle Ansible natif.

L'intégration Ansible intégrée de Rundeck exécute des playbooks et des modules, et peut importer des inventaires Ansible. Les équipes peuvent donc conserver un playbook existant plutôt que le réécrire en étapes de commande. Ses étapes de commande et de script exécutent aussi Bash, PowerShell et Python lorsque l'interpréteur nécessaire est disponible.

Semaphore UI donne à chaque outil pris en charge ses propres paramètres de modèle. Une opération Ansible sélectionne le playbook et l'inventaire. Les modèles Terraform/OpenTofu et Terragrunt exposent la configuration d'infrastructure et le workspace, tandis que les modèles Bash, PowerShell et Python exécutent directement les fichiers correspondants. Une équipe privilégiant Ansible peut ainsi conserver le provisionnement et ses utilitaires dans la même interface que ses opérations sur les hôtes.

Une demande d'environnement de test illustre cet avantage. Terraform/OpenTofu crée l'infrastructure, Ansible configure les hôtes et Python peut vérifier un point d'accès applicatif. Chaque modèle Semaphore UI conserve ses paramètres propres à l'outil et référence des objets partagés de dépôt, d'inventaire et de groupe de variables. Rundeck représente la même procédure au moyen d'étapes de workflow, de plugins et de références de jobs. La différence porte sur la préparation et la réutilisation de cette configuration, et non sur le langage que l'automatisation doit utiliser.

Pour les équipes qui ont également besoin d'un état Terraform/OpenTofu partagé, Semaphore UI Pro inclut un backend HTTP avec workspaces, historique de versions et gestion dans l'interface. Un backend externe existant reste utilisable. Rundeck peut lancer Terraform avec le backend configuré dans le code d'infrastructure. Son provider Terraform gère la configuration de Rundeck, ce qui répond à un autre objectif que le stockage de l'état des jobs d'infrastructure.

Si le processus doit approuver puis appliquer exactement le plan Terraform enregistré, configurez explicitement son stockage et sa réutilisation. L'exécution par défaut de Semaphore UI lance plan et apply séparément, et ses commandes utilisent -lock=false sauf modification. Fournir un backend d'état ne change pas ces paramètres de commande des tâches.

Rundeck appelle une procédure enregistrée un job. Celui-ci associe des étapes de workflow à des options qui recueillent les entrées de lancement, avec des valeurs obligatoires, des validations et des choix obtenus depuis une URL externe. Cette approche convient lorsque la procédure définit elle-même une séquence d'actions sur les nœuds et d'étapes de plugins.

Dans Semaphore UI, un Task Template est une configuration réutilisable pour une opération d'automatisation. Pour un redémarrage de service avec Ansible, l'ingénieur sélectionne le dépôt, le playbook, l'inventaire et les identifiants, puis associe un groupe de variables pour la configuration partagée. Un formulaire peut demander au collègue le nom du service ou une référence de changement. Le lancement suivant réutilise cette préparation. Le collègue travaille ainsi avec l'opération, sans reconstituer sa ligne de commande.

Les objets de dépôt conservent également à un seul endroit l'URL Git, la branche par défaut et l'identifiant d'accès pour plusieurs modèles. Une équipe peut connecter une seule fois son dépôt de playbooks et le réutiliser pour les sauvegardes, les déploiements et les renouvellements de certificats. L'intégration Git SCM de Rundeck versionne et importe les définitions de jobs. Récupérer le code d'automatisation utilisé par un job relève d'une étape ou d'une intégration distincte.

Les groupes de variables nommés fournissent aux modèles Semaphore UI des ensembles réutilisables de configuration d'environnement. Les points d'accès et les paramètres de domaine d'une région peuvent être maintenus ensemble et associés aux opérations qui les utilisent. Rundeck partage également des valeurs au moyen des variables globales de projet et collecte les valeurs propres à chaque exécution via les options de job. Semaphore UI rend le regroupement et l'affectation visibles dans la configuration du modèle.

Le même principe couvre les tâches récurrentes. Un playbook de sauvegarde de base de données peut s'exécuter selon une planification cron avec ses entrées configurées, tout en restant lançable manuellement avant une fenêtre de maintenance. Les vérifications et renouvellements de certificats ainsi que l'application de correctifs peuvent utiliser des modèles distincts sur le même inventaire. Les deux plateformes proposent des planifications récurrentes. La différence est donc l'adéquation du job enregistré et de sa configuration avec l'automatisation existante de l'équipe.

Rundeck représente les machines comme des nœuds alimentés par des sources de modèles de ressources et des plugins. Les opérateurs peuvent filtrer ces nœuds par attributs et tags au lancement d'un job. Associé aux ACL de nœuds, ce modèle convient à une équipe de support ou d'exploitation qui sélectionne des machines autorisées dans un parc maintenu de façon centralisée.

Semaphore UI réutilise directement les définitions d'inventaire Ansible. Un modèle peut utiliser une définition INI/YAML, un inventaire Git ou un plugin de découverte Ansible. Si Git ou un système externe décrit déjà l'environnement, l'équipe peut conserver cette source et réutiliser l'inventaire dans ses opérations préparées. L'intégration Ansible de Rundeck peut également importer cet inventaire dans son modèle de nœuds.

L'inventaire devient ainsi une ressource réutilisable dans le travail quotidien. Le même inventaire de production peut servir à une vérification des certificats, à un déploiement et à une sauvegarde, chacun avec son modèle et ses entrées. Les ingénieurs modifient la source d'inventaire lorsque le parc évolue, tandis que leurs collègues continuent d'utiliser les opérations préparées. L'interface de sélection des hôtes de Rundeck reste une différence importante lorsque les opérateurs doivent eux-mêmes parcourir et filtrer les nœuds individuels.

Une opération préparée doit obtenir ses identifiants de manière reproductible. Key Storage de Rundeck et Key Store de Semaphore UI permettent de configurer une seule fois les références d'identifiants. Le collègue qui lance une sauvegarde ou un déploiement n'a ainsi pas à coller une clé SSH ou un mot de passe à chaque exécution. Dans Semaphore UI, les clés stockées peuvent aussi être réutilisées par les dépôts et les opérations Ansible du projet.

Lorsqu'une organisation utilise déjà un magasin de secrets central, le service d'automatisation peut y récupérer des valeurs. Rundeck Community prend en charge HashiCorp Vault via un plugin Key Storage, inclus dans l'offre commerciale Runbook Automation. Semaphore UI Pro s'intègre à HashiCorp Vault et OpenBao. Enterprise ajoute AWS Secrets Manager, Azure Key Vault, Devolutions Server et CyberArk. L'intérêt est de conserver le processus existant de gestion des secrets tout en partageant des jobs préparés dans l'interface d'automatisation.

Les plugins commerciaux Key Storage de Rundeck se connectent aussi à AWS Secrets Manager, Azure Key Vault et CyberArk. Semaphore UI Enterprise propose ces services ainsi que Devolutions Server. Le service de secrets existant peut donc rester la source de référence dans les deux produits. Le Key Store et les références de modèles de Semaphore UI placent ces identifiants à côté de l'inventaire Ansible et de la configuration des outils. Rundeck relie ses chemins de stockage aux options de jobs, aux plugins et à l'exécution sur les nœuds.

Pour OpenBao ou Devolutions Server, un job Rundeck peut inclure une étape personnalisée de récupération via l'API du service de secrets. L'équipe fournit et maintient cette recherche et son authentification. Cette approche diffère d'un plugin Key Storage dédié ou d'une connexion de stockage configurée dans Semaphore UI. Il faut en tenir compte dans l'évaluation lorsque l'utilisation du service de secrets existant est obligatoire.

L'exécution peut rester proche de l'infrastructure privée. Par exemple, un runner Semaphore UI situé dans le réseau d'un client peut exécuter un playbook de maintenance Ansible sur les hôtes accessibles depuis ce réseau. Community inclut les runners globaux. Pro ajoute les runners affectés aux projets et le routage par tags. L'exécution de tâches Docker est disponible à partir de Pro, celle de Kubernetes nécessite Enterprise. Les deux modèles de routage peuvent sélectionner les machines d'exécution par tags, avec l'édition commerciale correspondante.

Rundeck Community exécute déjà des commandes sur des nœuds distants, généralement via SSH ou un autre exécuteur de nœuds. Les Enterprise Runners commerciaux fournissent des relais d'exécution distincts dans les environnements distants. Comparez le lieu d'exécution nécessaire à chaque procédure et les connexions requises, plutôt que de considérer toute exécution distante comme payante. Installer l'une ou l'autre application dans Docker est distinct de l'exécution de chaque job dans son propre conteneur.

Les deux services contrôlent également les exécutions simultanées. Semaphore UI configure l'exécution parallèle par modèle et limite les tâches en cours par projet. Rundeck peut autoriser plusieurs exécutions d'un job et définir le nombre de threads de distribution vers les nœuds. Ces réglages permettent de partager la capacité d'exécution sans modifier le playbook ou la procédure sous-jacente.

Lorsque plusieurs opérations vont ensemble, les workflows de Semaphore UI relient les modèles par des chemins de réussite et d'échec, des approbations et des délais. Une sauvegarde peut par exemple précéder une mise à jour Ansible puis une vérification. Rundeck ajoute des références de jobs réutilisables, des gestionnaires d'erreurs par étape et des stratégies distinguant les étapes exécutées une seule fois de celles distribuées à chaque nœud sélectionné. Semaphore UI réutilise des modèles individuels dans plusieurs workflows, mais ne peut pas imbriquer un workflow complet dans un autre.

Les deux plateformes transmettent des valeurs capturées aux étapes suivantes. Semaphore UI 2.20 collecte Ansible set_stats, les sorties Terraform/OpenTofu/Terragrunt et le JSON produit par Bash, PowerShell ou Python, puis associe ces valeurs aux entrées de destination. La collecte fonctionne avec l'exécuteur local sur le serveur ou un runner, mais pas avec les exécuteurs Docker et Kubernetes. Rundeck utilise des filtres de journaux pour capturer les données et son étape intégrée Global Variable pour exposer les valeurs aux étapes suivantes ou aux jobs parents. Dans les deux modèles, une valeur telle qu'une adresse d'hôte peut être transmise directement, tandis qu'un fichier ou une archive nécessite un stockage accessible à l'étape suivante ou un transfert explicite. Le modèle destinataire déclare l'entrée, que son playbook ou sa configuration d'inventaire utilise ensuite pour cibler le nouvel hôte.

Pour une mise à jour de production, un workflow Semaphore UI peut s'arrêter à un nœud d'approbation avant l'opération sensible. Dans la version 2.20, le droit d'approbation découle du droit d'exécuter les tâches du projet. Un rôle d'approbateur distinct est annoncé pour la version 2.21. Les références de jobs et l'API de Rundeck permettent de découper une procédure approuvée en jobs lancés séparément et de la connecter à un processus d'approbation externe. L'équipe doit alors implémenter le contrôle et la reprise de l'exécution, au lieu d'assimiler un lancement ordinaire à une approbation obligatoire.

Les références de jobs imbriquées de Rundeck sont particulièrement utiles lorsque de nombreuses procédures partagent les mêmes mesures correctives en plusieurs étapes. Dans Semaphore UI, conserver les opérations communes sous forme de modèles convient lorsque chaque unité réutilisable est un playbook ou une invocation d'outil. Une procédure nécessitant un workflow dans un autre workflow demande une orchestration via API ou un autre découpage, avec une configuration et une gestion des résultats supplémentaires.

Les politiques ACL de Rundeck distinguent les jobs, les nœuds et les autres ressources. Une équipe peut donner à un opérateur accès à certaines procédures et à des sous-ensembles du parc, ce qui est utile lorsque cet opérateur choisit les cibles de nombreuses procédures différentes.

Semaphore UI délègue le travail autour des projets et des modèles préparés. Les rôles de projet de Community permettent déjà aux collègues d'exécuter des tâches sans devoir tous modifier les ressources d'automatisation. Une équipe peut réunir ses redémarrages de service, sauvegardes et vérifications dans un projet. Les ingénieurs maintiennent les définitions et les collègues lancent les opérations dont ils ont besoin.

Enterprise ajoute des rôles personnalisés et des permissions d'exécution par modèle lorsque l'accès à tous les lancements du projet est trop large. Le support peut par exemple avoir besoin d'un modèle de redémarrage, tandis que le déploiement reste réservé à un autre rôle. L'inventaire, les identifiants et les paramètres modifiables au lancement font toujours partie de la configuration de ce modèle. Ce modèle diffère de permissions de nœuds indépendantes qui s'appliquent à des jobs arbitraires.

Semaphore UI Pro ajoute la connexion LDAP/Active Directory et OIDC, ainsi qu'un TOTP local. Rundeck prend en charge les comptes locaux et l'authentification par annuaire via JAAS, notamment LDAP et Active Directory. L'authentification identifie la personne, tandis que les rôles de projet ou les politiques ACL déterminent séparément ce qu'elle peut lancer. Une opération préparée ne doit exposer que les modifications de cibles et de paramètres adaptées à cette délégation.

Après l'exécution d'une opération, le collègue doit pouvoir comprendre ce qui s'est passé sans demander à son auteur de la reproduire. Les deux produits conservent les résultats et les journaux. Rundeck montre les étapes d'un job et les résultats de ses nœuds. Semaphore UI conserve l'état, la sortie, la révision du dépôt et les détails de lancement de chaque tâche. L'équipe peut ainsi revenir à la même exécution lors d'une investigation.

Pour un job Ansible de correctifs ou de certificats, Semaphore UI Pro ajoute une synthèse par hôte indiquant les hôtes ayant réussi et les tâches échouées par serveur. Un opérateur peut partir de l'hôte concerné et examiner la sortie correspondante. L'historique et les journaux des tâches Community restent utiles sans cette synthèse. Ces enregistrements expliquent l'exécution de l'automatisation, tandis que les événements d'audit administratif répondent à un autre besoin.

Rundeck enregistre les événements d'audit via son audit listener, avec un journal d'autorisation distinct pour les décisions ACL. L'offre commerciale Runbook Automation ajoute un plugin Audit Stream pour les services externes. Un agent de collecte peut également récupérer les fichiers locaux. Semaphore UI fournit une vue du journal d'audit pour l'administrateur lorsque l'enregistrement est activé. Pro transmet les événements via TLS Syslog ou Splunk HEC. L'équipe de sécurité peut utiliser ces données pour les revues d'accès et de configuration, tandis que les ingénieurs consultent les journaux des tâches et les synthèses par hôte pour comprendre l'opération elle-même.

Le système de plugins de Rundeck couvre l'exécution, la découverte, les notifications et le stockage des secrets. Certaines intégrations sont réservées à l'offre commerciale Runbook Automation. Les webhooks entrants utilisent des gestionnaires tels que Run Job. Cette diversité est utile lorsqu'une procédure nécessite des actions propres à plusieurs produits d'exploitation.

Semaphore UI fournit une API REST et des intégrations webhook avec correspondance des requêtes et extraction des entrées. Un pipeline CI peut construire et publier une version, puis demander un déploiement préparé avec son identifiant de version. Semaphore UI conserve l'inventaire, les identifiants et l'historique d'exécution du déploiement, tandis que le système CI reste responsable du build. L'intégration appelante doit gérer l'authentification et, si elle doit attendre la fin, vérifier le résultat de la tâche.

Les canaux de notification intégrés de Semaphore UI comprennent l'e-mail, Slack, Microsoft Teams, Telegram, Rocket.Chat, DingTalk et Gotify. Rundeck transmet les événements de jobs par e-mail, webhooks et plugins de notification. Une sauvegarde ou une vérification de certificats échouée peut ainsi être signalée dans le canal d'exploitation existant, tout en conservant son enregistrement dans le service d'automatisation. Une approbation interactive dans un chat exige davantage que l'envoi d'un lien de notification.

Rundeck propose un serveur MCP officiel reliant les assistants à l'API de son instance. Semaphore UI dispose de connecteurs MCP communautaires et a annoncé une prise en charge officielle de MCP dans Pro pour la version 2.21.0. La documentation et les API aident également les assistants de programmation à préparer des configurations et à examiner les sorties des jobs sans connexion MCP.