随着开发更多的playbook,我们可能会发现有很多机会重复利用以前缩写的playbook中的代码。或许,一个用于为某一应用配置MySQL数据库的play可以改变用途,通过利用不同的主机名、密码和用户来为另一个应用配置MySQL数据库。
但在现实中,这个play可能比较冗长且复杂,有许多包含或导入的文件,以及用于管理各种情况的任务和处理程序。将所有这些代码复制到另一playbook中可能比较困难。
Ansible角色提供了一种方法,让用户能以通用的方式更加轻松地重复利用Ansible代码。我们可以在标准化目录结构中打包所有任务、变量、文件、模板,以及调配基础架构或部署应用所需的其他资源。只需通过复制相关的目录,将角色从一个项目复制到另一个项目。然后,只需从一个play调用该角色就能执行它。
借助编写良好的角色,可以从playbook中向角色传递调整其行为的变量,设置所有站点相关的主机名、IP地址、用户名,或其他在本地需要的具体详细信息。例如,部署数据库服务器的角色可能已编写为支持多个变量,这些变量用于设置主机名、数据库管理员用户和密码,以及需要为安装进行自定义的其他参数。角色的作者也可以确保在选择不在play中设置变量值时,为这些变量设定合理的默认值。
Ansible角色具有下列优点:
安装rhel-system-roles
软件包:
[root@localhost ~]# yum -y install rhel-system-roles.noarch
Updating Subscription Management repositories.
Unable to read consumer identity
This system is not registered to Red Hat Subscription Management. You can use subscription-manager to register.
CentOS-8 - Base - mirrors.aliyun.com 32 kB/s | 3.9 kB 00:00
CentOS-8 - Extras - mirrors.aliyun.co 9.9 kB/s | 1.5 kB 00:00
CentOS-8 - AppStream - mirrors.aliyun 39 kB/s | 4.3 kB 00:00
Extra Packages for Enterprise Linux M 24 kB/s | 3.0 kB 00:00
Extra Packages for Enterprise Linux 8 39 kB/s | 4.7 kB 00:00
依赖关系解决。
======================================================================
软件包 架构 版本 仓库 大小
======================================================================
安装:
rhel-system-roles noarch 1.0-10.el8_1 AppStream 175 k
事务概要
======================================================================
安装 1 软件包
总下载:175 k
安装大小:1.1 M
下载软件包:
rhel-system-roles-1.0-10.el8_1.noarch 382 kB/s | 175 kB 00:00
----------------------------------------------------------------------
总计 381 kB/s | 175 kB 00:00
运行事务检查
事务检查成功。
运行事务测试
事务测试成功。
运行事务
准备中 : 1/1
安装 : rhel-system-roles-1.0-10.el8_1.noarch 1/1
验证 : rhel-system-roles-1.0-10.el8_1.noarch 1/1
Installed products updated.
已安装:
rhel-system-roles-1.0-10.el8_1.noarch
完毕!
[root@localhost ~]# ls /usr/share/ansible/roles/
linux-system-roles.kdump rhel-system-roles.kdump
linux-system-roles.network rhel-system-roles.network
linux-system-roles.postfix rhel-system-roles.postfix
linux-system-roles.selinux rhel-system-roles.selinux
linux-system-roles.storage rhel-system-roles.storage
linux-system-roles.timesync rhel-system-roles.timesync
Ansible Galaxy官网:https://galaxy.ansible.com/
Ansible角色由子目录和文件的标准化结构定义。顶级目录定义角色本身的名称。文件整理到子目录中,子目录按照各个文件在角色中的用途进行命名,如tasks和handlers。files和templates子目录中包含由其他YAML文件中的任务引用的文件。
以下是rhel-system-roles.network
文件结构
[root@localhost rhel-system-roles.network]# tree -d ./
./
├── defaults
├── library
├── meta
├── module_utils
│ └── network_lsr
├── tasks
└── tests
├── playbooks
│ ├── roles -> ../roles/
│ └── tasks -> ../tasks/
├── roles
│ └── linux-system-roles.network
│ ├── defaults -> ../../../defaults/
│ ├── library -> ../../../library/
│ ├── meta -> ../../../meta/
│ ├── module_utils -> ../../../module_utils/
│ └── tasks -> ../../../tasks/
├── tasks
└── unit
└── helpers
Ansible role子目录
子目录 | 功能 |
---|---|
defaults | 此目录中的main.yml文件包含角色变量的默认值,使用角色时可以覆盖这些默认值。这些变量的优先级较低,应该在play中更改和自定义。 |
files | 此目录包含由角色任务引用的静态文件。 |
handlers | 此目录中的main.yml文件包含角色的处理程序定义。 |
meta | 此目录中的main.yml文件包含与角色相关的信息,如作者、许可证、平台和可选的角色依赖项。 |
tasks | 此目录中的main.yml文件包含角色的任务定义。 |
templates | 此目录包含由角色任务引用的Jinja2模板。 |
tests | 此目录可以包含清单和名为test.yml的playbook,可用于测试角色。 |
vars | 此目录中的main.yml文件定义角色的变量值。这些变量通常用于角色内部用途。这些变量的优先级较高,在playbook中使用时不应更改。 |
并非每个角色都拥有所有这些目录
角色变量通过在角色目录层次结构中创建含有键值对的vars/main.yml文件来定义。与其他变量一样,这些角色变量在角色YAML文件中引用:{{ VAR_NAME }}。这些变量具有较高的优先级,无法被清单变量覆盖。这些变量旨在供角色的内部功能使用。
默认变量允许为可在play中使用的变量设置默认值,以配置角色或自定义其行为。它们通过在角色目录层次结构中创建含有键值对的defaults/main.yml文件来定义。默认变量具有任何可用变量中最低的优先级。它们很容易被包括清单变量在内的任何其他变量覆盖。这些变量旨在让用户在编写使用该角色的play时可以准确地自定义或控制它将要执行的操作。它们可用于向角色提供所需的信息,以正确地配置或部署某些对象。
在vars/main.yml或defaults/main.yml中定义具体的变量,但不要在两者中都定义。有意要覆盖变量的值时,应使用默认变量。
注意:
在playbook中使用角色非常简单。下例演示了调用Ansible角色的一种方式:
---
- hosts: all
vars_files:
- ../host_vars/vars/passwd
roles:
- role: rhel-system-roles.network
- role: rhel-system-roles.postfix
也可以不写role:
直接写上role的名称:
---
- hosts: all
vars_files:
- ../host_vars/vars/passwd
roles:
- rhel-system-roles.network
- rhel-system-roles.postfix
对于每个指定的角色,角色任务、角色处理程序、角色变量和角色依赖项将按照顺序导入到playbook中。角色中的任何copy、script、template或include_tasks/import_tasks任务都可引用角色中相关的文件、模板或任务文件,且无需相对或绝对路径名称。Ansible将分别在角色的files、templates或tasks子目录中寻找它们。
如果使用roles部分将角色导入到play中,这些角色会在用户为该play定义的任何任务之前运行。
对于playbook中的每个play,任务按照任务列表中的顺序来执行。执行完所有任务后,将执行任务通知的处理程序。
在角色添加到play中后,角色任务将添加到任务列表的开头。如果play中包含第二个角色,其任务列表添加到第一个角色之后。
角色处理程序添加到play中的方式与角色任务添加到play中相同。每个play定义一个处理程序列表。角色处理程序先添加到处理程序列表,后跟play的handlers部分中定义的任何处理程序。
在某些情形中,可能需要在角色之前执行一些play任务。若要支持这样的情形,可以为play配置pre_tasks部分。列在此部分中的所有任务将在执行任何角色之前执行。如果这些任务中有任何一个通知了处理程序,则这些处理程序任务也在角色或普通任务之前执行。
此外,play也支持post_tasks关键字。这些任务在play的普通任务和它们通知的任何处理程序运行之后执行。
以下play演示了一个带有pre_tasks、roles、tasks、post_tasks和handlers的示例。一个play中通常不会同时包含所有这些部分。
---
- hosts: all
vars_files:
- ../host_vars/vars/passwd
pre_tasks:
- name: first task
debug:
msg: "head task"
notify: my handler
tasks:
- name: second task
debug:
msg: "middle task"
notify: my handler
post_tasks:
- name: third task
debug:
msg: "last task"
notify: my handler
handlers:
- name: my handler
debug:
msg: "running my tasks"
无论在playbook中怎样排列pre_tasks、tasks、post_tasks,playbook的执行顺序永远是先执行pre_tasks再执行tasks最后执行post_tasks
同时,此时的handlers规则也发生了变化;在此前的handlers规则中,无论相同的notify出现几次,而handlers永远只执行一次;而这里的handlers执行规则与之前不同,由于notify出现在不同的tasks中(pre_tasks、tasks、post_tasks),所以这里的handlers会执行三次
除了将角色包含在play的roles部分中外,也可以使用普通任务将角色添加到play中。使用include_role模块可以动态包含角色,使用import_role模块则可静态导入角色。
---
- hosts: all
vars:
ansible_password: 123456
tasks:
- name: Apply selinux role
block:
- include_role:
name: rhel-system-reboot.selinux
rescue:
- name: check failure
fail:
when: not selinux_reboot_required
- name: restart host
reboot:
- name: reapply selinux role
include_role:
name: rhel-system-roles.selinux
由于这里的rhel-system-roles.selinux是官方自带的角色,所以不需要用相对或者绝对路径
;如果使用自己编写的角色,则要写上相对路径
注意
include_role模块是在Ansible 2.3中新增的,而import_role模块则是在Ansible 2.4中新增的。
自RHEL7.4开始,操作系统随附了多个Ansible角色,作为rhel-system-roles软件包的一部分。在RHEL8中,该软件包可以从AppStream中获取。以下是每个角色的简要描述:
名称 | 状态 | 角色描述 |
---|---|---|
rhel-system-roles.kdump | 全面支持 | 配置kdump崩溃恢复服务 |
rhel-system-roles.network | 全面支持 | 配置网络接口 |
rhel-system-roles.selinux | 全面支持 | 配置和管理SELinux自定义,包括SELinux模式、文件和端口上下文、布尔值设置以及SELinux用户 |
rhel-system-roles.timesync | 全面支持 | 使用网络时间协议或精确时间协议配置时间同步 |
rhel-system-roles.postfix | 技术预览 | 使用Postfix服务将每个主机配置为邮件传输代理 |
rhel-system-roles.firewall | 开发中 | 配置主机的防火墙 |
rhel-system-roles.tuned | 开发中 | 配置tuned服务,以调优系统性能 |
系统角色的目的是在多个版本之间标准化红帽企业Linux子系统的配置。使用系统角色来配置版本6.10及以上的任何红帽企业Linux主机。
举例而言,RHEL7的建议时间同步服务为chronyd服务。但在RHEL6中,建议的服务为ntpd服务。在混合了RHEL6和7主机的环境中,管理员必须管理这两个服务的配置文件。
借助RHEL系统角色,管理员不再需要维护这两个服务的配置文件。管理员可以使用rhel-system-roles.timesync角色来配置RHEL6和7主机的时间同步。一个包含角色变量的简化YAML文件可以为这两种类型的主机定义时间同步配置。
RHEL系统角色由rhel-system-roles软件包提供,该软件包可从AppStream流获取。在Ansible控制节点上安装该软件包。
安装RHEL系统角色
yum -y install rhel-system-roles
RHEL系统角色默认目录:
[root@localhost playbook]# cd /usr/share/ansible/roles/
[root@localhost roles]# ll
总用量 0
lrwxrwxrwx. 1 root root 23 12月 11 2019 linux-system-roles.kdump -> rhel-system-roles.kdump
lrwxrwxrwx. 1 root root 25 12月 11 2019 linux-system-roles.network -> rhel-system-roles.network
lrwxrwxrwx. 1 root root 25 12月 11 2019 linux-system-roles.postfix -> rhel-system-roles.postfix
lrwxrwxrwx. 1 root root 25 12月 11 2019 linux-system-roles.selinux -> rhel-system-roles.selinux
lrwxrwxrwx. 1 root root 25 12月 11 2019 linux-system-roles.storage -> rhel-system-roles.storage
lrwxrwxrwx. 1 root root 26 12月 11 2019 linux-system-roles.timesync -> rhel-system-roles.timesync
drwxr-xr-x. 9 root root 156 9月 15 06:55 rhel-system-roles.kdump
drwxr-xr-x. 8 root root 177 9月 15 06:55 rhel-system-roles.network
drwxr-xr-x. 6 root root 114 9月 15 06:55 rhel-system-roles.postfix
drwxr-xr-x. 8 root root 138 9月 15 06:55 rhel-system-roles.selinux
drwxr-xr-x. 10 root root 215 9月 15 06:55 rhel-system-roles.storage
drwxr-xr-x. 11 root root 187 9月 15 06:55 rhel-system-roles.timesync
红帽企业Linux中的默认roles_path在路径中包含/usr/share/ansible/roles,因此在playbook引用这些角色时Ansible可以很轻松的找到它们。
注意
如果在当前Ansible配置文件中覆盖了roles_path,设置了环境变量ANSIBLE_ROLES_PATH,或者roles_path中更早列出的目录下存在另一个同名的角色,则Ansible可能无法找到系统角色。
安装后,RHEL系统角色的文档位于/usr/share/doc/rhel-system-roles-/目录中。文档按照子系统整理到子目录中:
[root@localhost roles]# ll /usr/share/doc/rhel-system-roles/
总用量 4
drwxr-xr-x. 2 root root 57 9月 15 06:55 kdump
drwxr-xr-x. 2 root root 4096 9月 15 06:55 network
drwxr-xr-x. 2 root root 57 9月 15 06:55 postfix
drwxr-xr-x. 2 root root 93 9月 15 06:55 selinux
drwxr-xr-x. 2 root root 57 9月 15 06:55 storage
drwxr-xr-x. 2 root root 136 9月 15 06:55 timesync
每个角色的文档目录均包含一个README.md文件。README.md文件含有角色的说明,以及角色用法信息。
README.md文件也会说明影响角色行为的角色变量。通常,README.md文件中含有一个playbook代码片段,用于演示常见配置场景的变量设置。
部分角色文档目录中含有示例playbook。首次使用某一角色时,请查看文档目录中的任何额外示例playbook。
RHEL系统角色的角色文档与Linux系统角色的文档相匹配。使用Web浏览器来访问位于Ansible Galaxy网站:https://galaxy.ansible.com/docs/
假设需要在服务器上配置NTP时间同步。我们可以自行编写自动化来执行每一个必要的任务。但是,RHEL系统角色中有一个可以执行此操作角色,那就是rhel-system-roles.timesync。
该角色的详细记录位于/usr/share/doc/rhel-system-roles/timesync目录下的README.md中。此文件说明了影响角色行为的所有变量,还包含演示了不同时间同步配置的三个playbook代码片段。
为了手动配置NTP服务器,该角色具有一个名为timesync_ntp_servers的变量。此变量取一个要使用的NTP服务器的列表作为值。列表中的每一项均由一个或多个属性构成。两个关键属性如下:
timesync_ntp_servers属性
属性 | 用途 |
---|---|
hostname | 要与其同步的NTP服务器的主机名。 |
iburst | 一个布尔值,用于启用或禁用快速初始同步。在角色中默认为no,但通常应该将属性设为yes |
---
- hosts: all
vars:
ansible_password: 123456
timesync_ntp_servers:
- hostname: 192.168.72.5
iburst: yes
timezone: UTC
roles:
- role: rhel-system-roles.selinux
tasks:
- name: set timezone
timezone:
name: "{{ timezone }}"
注意
如果要设置不同的时区,可以使用tzselect命令查询其他有效的值。也可以使用timedatectl命令来检查当前的时钟设置。
此示例在play的vars部分中设置角色变量,但更好的做法可能是将它们配置为主机或主机组的清单变量。
例如一个playbook项目具有以下结构:
[root@localhost playbook]# tree /server/
/server/
├── inventory
│ └── 192.168.72.5
├── playbook
│ ├── seconfigure.yml
│ └── selinux.yml
├── template
│ └── seconfig.yml.j2
└── vars
├── password
└── timesync
└── timesync.yml
timesync.yml定义时间同步变量
ansible_password: 123456
timesync_ntp_servers:
- hostname: 192.168.72.5
timezone: UTC
timesync_playbook.yml的内容简化为:
---
- hosts: timesync
vars_files:
- ../vars/timesync/timesync.yml
roles:
- role: rhel-system-roles.selinux
tasks:
- name: set timezone
timezone:
name: "{{ timezone }}"
该结构可清楚地分隔角色、playbook代码和配置设置。Playbook代码简单易读,应该不需要复杂的重构。角色内容由红帽进行维护并提供支持。所有设置都以清单变量的形式进行处理。
该结构还支持动态的异构环境。具有新的时间同步要求的主机可能会放置到新的主机组中。相应的变量在YAML文件中定义,并放置到相应的group_vars(或host_vars)子目录中。
rhel-system-roles.selinux角色可以简化SELinux配置设置的管理。它通过利用SELinux相关的Ansible模块来实施。与自行编写任务相比,使用此角色的优势是它能让用户摆脱编写这些任务的职责。取而代之,用户将为角色提供变量以对其进行配置,且角色中维护的代码将确保应用用户需要的SELinux配置。
此角色可以执行的任务包括:
有时候,SELinux角色必须确保重新引导受管主机,以便能够完整应用其更改。但是,它本身从不会重新引导主机。如此一来,用户便可以控制重新引导的处理方式。
其工作方式为,该角色将一个布尔值变量selinux_reboot_required设为True,如果需要重新引导,则失败。你可以使用block/rescure结构来从失败中恢复,具体操作为:如果该变量未设为true,则让play失败,如果值是true,则重新引导受管主机并重新运行该角色。Play中的块看起来应该类似于:
---
- hosts: all
vars:
ansible_password: 123456
tasks:
- name: Apply selinux role
block:
- include_role:
name: rhel-system-reboot.selinux
rescue:
- name: check failure
fail:
when: not selinux_reboot_required
- name: restart host
reboot:
- name: reapply selinux role
include_role:
name: rhel-system-roles.selinux
用于配置rhel-system-roles.selinux角色的变量的详细记录位于其README.md文件中。以下示例演示了使用此角色的一些方法。
selinux_state变量设置SELinux的运行模式。它可以设为enforcing、permissive或disabled。如果未设置,则不更改模式。
selinux_state: enforcing
selinux_booleans变量取一个要调整的SELinux布尔值的列表作为值。列表中的每一项是变量的散列/字典:
---
- hosts: all
vars:
ansible_password: 123456
selinux_booleans:
- name: httpd_enable_homedirs
state: on
persistent: yes
roles:
- role: rhel-system-roles.selinux
selinux_fcontext变量取一个要永久设置(或删除)的文件上下文的列表作为值。它的工作方式与selinux fcontent命令非常相似。
以下示例确保策略中包含一条规则,用于将/srv/www下所有文件的默认SELinux类型设为httpd_sys_content_t。
---
- hosts: all
vars:
ansible_password: 123456
selinux_fcontexts:
- target: /opt/wcl/(/.*)?
setype: httpd_sys_content_t
state: present
roles:
- role: rhel-system-roles.selinux
执行结果:
root@wcl ~]# ls -Z /opt
unconfined_u:object_r:usr_t:s0 wcl
selinux_restore_dirs变量指定要对其运行restorecon的目录的列表:
selinux_restore_dirs:
- /opt/www
selinux_ports变量取应当具有特定SELinux类型的端口的列表作为值。
---
- hosts: all
vars:
ansible_password: 123456
selinux_ports:
- setype: http_port_t
ports: 8000
state: present
proto: tcp
roles:
- role: rhel-system-roles.selinux
执行结果:
[root@wcl ~]# semanage port -l|grep http
http_cache_port_t tcp 8080, 8118, 8123, 10001-10010
http_cache_port_t udp 3130
http_port_t tcp 8000, 80, 81, 443, 488, 8008, 8009, 8443, 9000