ansible-利用role简化playbook

仲孙鸣

2023-12-01

描述角色结构

利用角色构造ansible playbook

随着开发更多的playbook，我们可能会发现有很多机会重复利用以前缩写的playbook中的代码。或许，一个用于为某一应用配置MySQL数据库的play可以改变用途，通过利用不同的主机名、密码和用户来为另一个应用配置MySQL数据库。

但在现实中，这个play可能比较冗长且复杂，有许多包含或导入的文件，以及用于管理各种情况的任务和处理程序。将所有这些代码复制到另一playbook中可能比较困难。

Ansible角色提供了一种方法，让用户能以通用的方式更加轻松地重复利用Ansible代码。我们可以在标准化目录结构中打包所有任务、变量、文件、模板，以及调配基础架构或部署应用所需的其他资源。只需通过复制相关的目录，将角色从一个项目复制到另一个项目。然后，只需从一个play调用该角色就能执行它。

借助编写良好的角色，可以从playbook中向角色传递调整其行为的变量，设置所有站点相关的主机名、IP地址、用户名，或其他在本地需要的具体详细信息。例如，部署数据库服务器的角色可能已编写为支持多个变量，这些变量用于设置主机名、数据库管理员用户和密码，以及需要为安装进行自定义的其他参数。角色的作者也可以确保在选择不在play中设置变量值时，为这些变量设定合理的默认值。

Ansible角色具有下列优点：

角色可以分组内容，从而与他人轻松共享代码
可以编写角色来定义系统类型的基本要素：Web服务器、数据库服务器、Git存储库，或满足其他用途
角色使得较大型项目更容易管理
角色可以由不同的管理员并行开发
除了自行编写、使用、重用和共享角色外，还可以从其他来源获取角色。一些角色已包含在rhel-system-roles软件包中，用户也可以从Ansible Galaxy网站获取由社区提供支持的许多角色。

安装rhel-system-roles软件包：

[root@localhost ~]# yum -y install rhel-system-roles.noarch
Updating Subscription Management repositories.
Unable to read consumer identity
This system is not registered to Red Hat Subscription Management. You can use subscription-manager to register.
CentOS-8 - Base - mirrors.aliyun.com   32 kB/s | 3.9 kB     00:00    
CentOS-8 - Extras - mirrors.aliyun.co 9.9 kB/s | 1.5 kB     00:00    
CentOS-8 - AppStream - mirrors.aliyun  39 kB/s | 4.3 kB     00:00    
Extra Packages for Enterprise Linux M  24 kB/s | 3.0 kB     00:00    
Extra Packages for Enterprise Linux 8  39 kB/s | 4.7 kB     00:00    
依赖关系解决。
======================================================================
 软件包               架构      版本               仓库          大小
======================================================================
安装:
 rhel-system-roles    noarch    1.0-10.el8_1       AppStream    175 k

事务概要
======================================================================
安装  1 软件包

总下载：175 k
安装大小：1.1 M
下载软件包：
rhel-system-roles-1.0-10.el8_1.noarch 382 kB/s | 175 kB     00:00    
----------------------------------------------------------------------
总计                                  381 kB/s | 175 kB     00:00     
运行事务检查
事务检查成功。
运行事务测试
事务测试成功。
运行事务
  准备中  :                                                       1/1 
  安装    : rhel-system-roles-1.0-10.el8_1.noarch                 1/1 
  验证    : rhel-system-roles-1.0-10.el8_1.noarch                 1/1 
Installed products updated.

已安装:
  rhel-system-roles-1.0-10.el8_1.noarch                               

完毕！
[root@localhost ~]# ls /usr/share/ansible/roles/
linux-system-roles.kdump     rhel-system-roles.kdump
linux-system-roles.network   rhel-system-roles.network
linux-system-roles.postfix   rhel-system-roles.postfix
linux-system-roles.selinux   rhel-system-roles.selinux
linux-system-roles.storage   rhel-system-roles.storage
linux-system-roles.timesync  rhel-system-roles.timesync

Ansible Galaxy官网：https://galaxy.ansible.com/

检查ansible角色结构

Ansible角色由子目录和文件的标准化结构定义。顶级目录定义角色本身的名称。文件整理到子目录中，子目录按照各个文件在角色中的用途进行命名，如tasks和handlers。files和templates子目录中包含由其他YAML文件中的任务引用的文件。

以下是rhel-system-roles.network文件结构

[root@localhost rhel-system-roles.network]# tree -d ./
./
├── defaults
├── library
├── meta
├── module_utils
│   └── network_lsr
├── tasks
└── tests
    ├── playbooks
    │   ├── roles -> ../roles/
    │   └── tasks -> ../tasks/
    ├── roles
    │   └── linux-system-roles.network
    │       ├── defaults -> ../../../defaults/
    │       ├── library -> ../../../library/
    │       ├── meta -> ../../../meta/
    │       ├── module_utils -> ../../../module_utils/
    │       └── tasks -> ../../../tasks/
    ├── tasks
    └── unit
        └── helpers

Ansible role子目录

子目录	功能
defaults	此目录中的main.yml文件包含角色变量的默认值，使用角色时可以覆盖这些默认值。这些变量的优先级较低，应该在play中更改和自定义。
files	此目录包含由角色任务引用的静态文件。
handlers	此目录中的main.yml文件包含角色的处理程序定义。
meta	此目录中的main.yml文件包含与角色相关的信息，如作者、许可证、平台和可选的角色依赖项。
tasks	此目录中的main.yml文件包含角色的任务定义。
templates	此目录包含由角色任务引用的Jinja2模板。
tests	此目录可以包含清单和名为test.yml的playbook，可用于测试角色。
vars	此目录中的main.yml文件定义角色的变量值。这些变量通常用于角色内部用途。这些变量的优先级较高，在playbook中使用时不应更改。

并非每个角色都拥有所有这些目录

定义变量和默认值

角色变量通过在角色目录层次结构中创建含有键值对的vars/main.yml文件来定义。与其他变量一样，这些角色变量在角色YAML文件中引用：{{ VAR_NAME }}。这些变量具有较高的优先级，无法被清单变量覆盖。这些变量旨在供角色的内部功能使用。

默认变量允许为可在play中使用的变量设置默认值，以配置角色或自定义其行为。它们通过在角色目录层次结构中创建含有键值对的defaults/main.yml文件来定义。默认变量具有任何可用变量中最低的优先级。它们很容易被包括清单变量在内的任何其他变量覆盖。这些变量旨在让用户在编写使用该角色的play时可以准确地自定义或控制它将要执行的操作。它们可用于向角色提供所需的信息，以正确地配置或部署某些对象。

在vars/main.yml或defaults/main.yml中定义具体的变量，但不要在两者中都定义。有意要覆盖变量的值时，应使用默认变量。

注意：

角色不应该包含特定于站点的数据。它们绝对不应包含任何机密，如密码或私钥。
这是因为角色应该是通用的，可以重复利用并自由共享。特定于站点的详细信息不应硬编码到角色中。
机密应当通过其他途径提供给角色。这是用户可能要在调用角色时设置角色变量的一个原因。play中设置的角色变量可以提供机密，或指向含有该机密的Ansible Vault加密文件。

在playbook中使用ansible角色

在playbook中使用角色非常简单。下例演示了调用Ansible角色的一种方式：

---
- hosts: all
  vars_files:
    - ../host_vars/vars/passwd
  roles:
    - role: rhel-system-roles.network
    - role: rhel-system-roles.postfix

也可以不写role:直接写上role的名称：

---
- hosts: all
  vars_files:
    - ../host_vars/vars/passwd
  roles:
    - rhel-system-roles.network
    - rhel-system-roles.postfix

对于每个指定的角色，角色任务、角色处理程序、角色变量和角色依赖项将按照顺序导入到playbook中。角色中的任何copy、script、template或include_tasks/import_tasks任务都可引用角色中相关的文件、模板或任务文件，且无需相对或绝对路径名称。Ansible将分别在角色的files、templates或tasks子目录中寻找它们。

如果使用roles部分将角色导入到play中，这些角色会在用户为该play定义的任何任务之前运行。

控制执行顺序

对于playbook中的每个play，任务按照任务列表中的顺序来执行。执行完所有任务后，将执行任务通知的处理程序。

在角色添加到play中后，角色任务将添加到任务列表的开头。如果play中包含第二个角色，其任务列表添加到第一个角色之后。

角色处理程序添加到play中的方式与角色任务添加到play中相同。每个play定义一个处理程序列表。角色处理程序先添加到处理程序列表，后跟play的handlers部分中定义的任何处理程序。

在某些情形中，可能需要在角色之前执行一些play任务。若要支持这样的情形，可以为play配置pre_tasks部分。列在此部分中的所有任务将在执行任何角色之前执行。如果这些任务中有任何一个通知了处理程序，则这些处理程序任务也在角色或普通任务之前执行。

此外，play也支持post_tasks关键字。这些任务在play的普通任务和它们通知的任何处理程序运行之后执行。

以下play演示了一个带有pre_tasks、roles、tasks、post_tasks和handlers的示例。一个play中通常不会同时包含所有这些部分。

---
- hosts: all
  vars_files:
    - ../host_vars/vars/passwd
  pre_tasks:
    - name: first task
      debug:
        msg: "head task"
      notify: my handler
  
  tasks:
    - name: second task
      debug:
        msg: "middle task"
      notify: my handler
  
  post_tasks:
    - name: third task
      debug:
        msg: "last task"
      notify: my handler

  handlers:
    - name: my handler
      debug:
        msg: "running my tasks"

无论在playbook中怎样排列pre_tasks、tasks、post_tasks，playbook的执行顺序永远是先执行pre_tasks再执行tasks最后执行post_tasks

同时，此时的handlers规则也发生了变化；在此前的handlers规则中，无论相同的notify出现几次，而handlers永远只执行一次;而这里的handlers执行规则与之前不同，由于notify出现在不同的tasks中（pre_tasks、tasks、post_tasks），所以这里的handlers会执行三次

除了将角色包含在play的roles部分中外，也可以使用普通任务将角色添加到play中。使用include_role模块可以动态包含角色，使用import_role模块则可静态导入角色。

---
- hosts: all
  vars:
    ansible_password: 123456
   tasks:
     - name: Apply selinux role
       block:
         - include_role:
             name: rhel-system-reboot.selinux
       rescue:
         - name: check failure
           fail:
           when: not selinux_reboot_required
           
     - name: restart host
       reboot:
               
     - name: reapply selinux role
       include_role:
         name: rhel-system-roles.selinux

由于这里的rhel-system-roles.selinux是官方自带的角色，所以不需要用相对或者绝对路径；如果使用自己编写的角色，则要写上相对路径

注意
include_role模块是在Ansible 2.3中新增的，而import_role模块则是在Ansible 2.4中新增的。

利用系统角色重用内容

红帽企业Linux系统角色

自RHEL7.4开始，操作系统随附了多个Ansible角色，作为rhel-system-roles软件包的一部分。在RHEL8中，该软件包可以从AppStream中获取。以下是每个角色的简要描述：

名称	状态	角色描述
rhel-system-roles.kdump	全面支持	配置kdump崩溃恢复服务
rhel-system-roles.network	全面支持	配置网络接口
rhel-system-roles.selinux	全面支持	配置和管理SELinux自定义，包括SELinux模式、文件和端口上下文、布尔值设置以及SELinux用户
rhel-system-roles.timesync	全面支持	使用网络时间协议或精确时间协议配置时间同步
rhel-system-roles.postfix	技术预览	使用Postfix服务将每个主机配置为邮件传输代理
rhel-system-roles.firewall	开发中	配置主机的防火墙
rhel-system-roles.tuned	开发中	配置tuned服务，以调优系统性能

系统角色的目的是在多个版本之间标准化红帽企业Linux子系统的配置。使用系统角色来配置版本6.10及以上的任何红帽企业Linux主机。

简化配置管理

举例而言，RHEL7的建议时间同步服务为chronyd服务。但在RHEL6中，建议的服务为ntpd服务。在混合了RHEL6和7主机的环境中，管理员必须管理这两个服务的配置文件。

借助RHEL系统角色，管理员不再需要维护这两个服务的配置文件。管理员可以使用rhel-system-roles.timesync角色来配置RHEL6和7主机的时间同步。一个包含角色变量的简化YAML文件可以为这两种类型的主机定义时间同步配置。

安装RHEL系统角色

RHEL系统角色由rhel-system-roles软件包提供，该软件包可从AppStream流获取。在Ansible控制节点上安装该软件包。

安装RHEL系统角色

yum -y install rhel-system-roles

RHEL系统角色默认目录：

[root@localhost playbook]# cd /usr/share/ansible/roles/
[root@localhost roles]# ll
总用量 0
lrwxrwxrwx.  1 root root  23 12月 11 2019 linux-system-roles.kdump -> rhel-system-roles.kdump
lrwxrwxrwx.  1 root root  25 12月 11 2019 linux-system-roles.network -> rhel-system-roles.network
lrwxrwxrwx.  1 root root  25 12月 11 2019 linux-system-roles.postfix -> rhel-system-roles.postfix
lrwxrwxrwx.  1 root root  25 12月 11 2019 linux-system-roles.selinux -> rhel-system-roles.selinux
lrwxrwxrwx.  1 root root  25 12月 11 2019 linux-system-roles.storage -> rhel-system-roles.storage
lrwxrwxrwx.  1 root root  26 12月 11 2019 linux-system-roles.timesync -> rhel-system-roles.timesync
drwxr-xr-x.  9 root root 156 9月  15 06:55 rhel-system-roles.kdump
drwxr-xr-x.  8 root root 177 9月  15 06:55 rhel-system-roles.network
drwxr-xr-x.  6 root root 114 9月  15 06:55 rhel-system-roles.postfix
drwxr-xr-x.  8 root root 138 9月  15 06:55 rhel-system-roles.selinux
drwxr-xr-x. 10 root root 215 9月  15 06:55 rhel-system-roles.storage
drwxr-xr-x. 11 root root 187 9月  15 06:55 rhel-system-roles.timesync

红帽企业Linux中的默认roles_path在路径中包含/usr/share/ansible/roles，因此在playbook引用这些角色时Ansible可以很轻松的找到它们。

注意
如果在当前Ansible配置文件中覆盖了roles_path，设置了环境变量ANSIBLE_ROLES_PATH，或者roles_path中更早列出的目录下存在另一个同名的角色，则Ansible可能无法找到系统角色。

访问RHEL系统角色的文档

安装后，RHEL系统角色的文档位于/usr/share/doc/rhel-system-roles-/目录中。文档按照子系统整理到子目录中：

[root@localhost roles]# ll /usr/share/doc/rhel-system-roles/
总用量 4
drwxr-xr-x. 2 root root   57 9月  15 06:55 kdump
drwxr-xr-x. 2 root root 4096 9月  15 06:55 network
drwxr-xr-x. 2 root root   57 9月  15 06:55 postfix
drwxr-xr-x. 2 root root   93 9月  15 06:55 selinux
drwxr-xr-x. 2 root root   57 9月  15 06:55 storage
drwxr-xr-x. 2 root root  136 9月  15 06:55 timesync

每个角色的文档目录均包含一个README.md文件。README.md文件含有角色的说明，以及角色用法信息。

README.md文件也会说明影响角色行为的角色变量。通常，README.md文件中含有一个playbook代码片段，用于演示常见配置场景的变量设置。

部分角色文档目录中含有示例playbook。首次使用某一角色时，请查看文档目录中的任何额外示例playbook。

RHEL系统角色的角色文档与Linux系统角色的文档相匹配。使用Web浏览器来访问位于Ansible Galaxy网站：https://galaxy.ansible.com/docs/

时间同步角色示例

假设需要在服务器上配置NTP时间同步。我们可以自行编写自动化来执行每一个必要的任务。但是，RHEL系统角色中有一个可以执行此操作角色，那就是rhel-system-roles.timesync。

该角色的详细记录位于/usr/share/doc/rhel-system-roles/timesync目录下的README.md中。此文件说明了影响角色行为的所有变量，还包含演示了不同时间同步配置的三个playbook代码片段。

为了手动配置NTP服务器，该角色具有一个名为timesync_ntp_servers的变量。此变量取一个要使用的NTP服务器的列表作为值。列表中的每一项均由一个或多个属性构成。两个关键属性如下：

timesync_ntp_servers属性

属性	用途
hostname	要与其同步的NTP服务器的主机名。
iburst	一个布尔值，用于启用或禁用快速初始同步。在角色中默认为no，但通常应该将属性设为yes

---
- hosts: all
  vars:
    ansible_password: 123456
    timesync_ntp_servers:
      - hostname: 192.168.72.5
        iburst: yes
    timezone: UTC
  roles:
    - role: rhel-system-roles.selinux

  tasks:
    - name: set timezone
      timezone:
        name: "{{ timezone }}"

注意
如果要设置不同的时区，可以使用tzselect命令查询其他有效的值。也可以使用timedatectl命令来检查当前的时钟设置。

此示例在play的vars部分中设置角色变量，但更好的做法可能是将它们配置为主机或主机组的清单变量。

例如一个playbook项目具有以下结构：

[root@localhost playbook]# tree /server/
/server/
├── inventory
│   └── 192.168.72.5
├── playbook
│   ├── seconfigure.yml
│   └── selinux.yml
├── template
│   └── seconfig.yml.j2
└── vars
    ├── password
    └── timesync
        └── timesync.yml

timesync.yml定义时间同步变量

ansible_password: 123456
timesync_ntp_servers:
  - hostname: 192.168.72.5
timezone: UTC

timesync_playbook.yml的内容简化为：

---
- hosts: timesync
  vars_files:
    - ../vars/timesync/timesync.yml
  roles:
    - role: rhel-system-roles.selinux

  tasks:
    - name: set timezone
      timezone:
        name: "{{ timezone }}"

该结构可清楚地分隔角色、playbook代码和配置设置。Playbook代码简单易读，应该不需要复杂的重构。角色内容由红帽进行维护并提供支持。所有设置都以清单变量的形式进行处理。

该结构还支持动态的异构环境。具有新的时间同步要求的主机可能会放置到新的主机组中。相应的变量在YAML文件中定义，并放置到相应的group_vars（或host_vars）子目录中。

SELINUX角色示例

rhel-system-roles.selinux角色可以简化SELinux配置设置的管理。它通过利用SELinux相关的Ansible模块来实施。与自行编写任务相比，使用此角色的优势是它能让用户摆脱编写这些任务的职责。取而代之，用户将为角色提供变量以对其进行配置，且角色中维护的代码将确保应用用户需要的SELinux配置。

此角色可以执行的任务包括：

设置enforcing或permissive模式
对文件系统层次结构的各部分运行restorecon
设置SELinux布尔值
永久设置SELinux文件上下文
设置SELinux用户映射

调用SELinux角色

有时候，SELinux角色必须确保重新引导受管主机，以便能够完整应用其更改。但是，它本身从不会重新引导主机。如此一来，用户便可以控制重新引导的处理方式。

其工作方式为，该角色将一个布尔值变量selinux_reboot_required设为True，如果需要重新引导，则失败。你可以使用block/rescure结构来从失败中恢复，具体操作为：如果该变量未设为true，则让play失败，如果值是true，则重新引导受管主机并重新运行该角色。Play中的块看起来应该类似于：

---
- hosts: all
  vars:
    ansible_password: 123456
   tasks:
     - name: Apply selinux role
       block:
         - include_role:
             name: rhel-system-reboot.selinux
       rescue:
         - name: check failure
           fail:
           when: not selinux_reboot_required
           
     - name: restart host
       reboot:
               
     - name: reapply selinux role
       include_role:
         name: rhel-system-roles.selinux

配置SELinux角色

用于配置rhel-system-roles.selinux角色的变量的详细记录位于其README.md文件中。以下示例演示了使用此角色的一些方法。

selinux_state变量设置SELinux的运行模式。它可以设为enforcing、permissive或disabled。如果未设置，则不更改模式。

selinux_state: enforcing

selinux_booleans变量取一个要调整的SELinux布尔值的列表作为值。列表中的每一项是变量的散列/字典：

布尔值的name
state（它应是on还是off）
rsistent设置是否应在重新引导后

---
- hosts: all
  vars:
    ansible_password: 123456
    selinux_booleans:
      - name: httpd_enable_homedirs
        state: on
        persistent: yes
    roles:
      - role: rhel-system-roles.selinux

selinux_fcontext变量取一个要永久设置（或删除）的文件上下文的列表作为值。它的工作方式与selinux fcontent命令非常相似。

以下示例确保策略中包含一条规则，用于将/srv/www下所有文件的默认SELinux类型设为httpd_sys_content_t。

---
- hosts: all
  vars:
    ansible_password: 123456
    selinux_fcontexts:
      - target: /opt/wcl/(/.*)?
        setype: httpd_sys_content_t
        state: present
  roles:
    - role: rhel-system-roles.selinux

执行结果：

root@wcl ~]# ls -Z /opt
unconfined_u:object_r:usr_t:s0 wcl

selinux_restore_dirs变量指定要对其运行restorecon的目录的列表：

selinux_restore_dirs:
  - /opt/www

selinux_ports变量取应当具有特定SELinux类型的端口的列表作为值。

---
- hosts: all
  vars:
    ansible_password: 123456
    selinux_ports:
      - setype: http_port_t
        ports: 8000
        state: present
        proto: tcp
  roles:
    - role: rhel-system-roles.selinux

执行结果：

[root@wcl ~]# semanage port -l|grep http
http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
http_cache_port_t              udp      3130
http_port_t                    tcp      8000, 80, 81, 443, 488, 8008, 8009, 8443, 9000

ansible-利用role简化playbook

描述角色结构

利用角色构造ansible playbook

检查ansible角色结构

定义变量和默认值

在playbook中使用ansible角色

控制执行顺序

利用系统角色重用内容

红帽企业Linux系统角色

简化配置管理

安装RHEL系统角色

访问RHEL系统角色的文档

时间同步角色示例

SELINUX角色示例

调用SELinux角色

配置SELinux角色

相关阅读

相关文章

相关问答

相关文档