创建角色、ansible-galaxy简单使用
创建角色、ansible-galaxy简单使用
1.创建角色
角色创建流程
在Ansible中创建角色不需要特别的开发工具。创建和使用角色包含三个步骤：
创建角色目录结构
定义角色内容
在playbook中使用角色
2.创建角色的两种方式
用mkdir直接创建
[root@centos8-1 roles]# mkdir -p nginx/{defaults,vars,files,templates,tasks,handlers}
[root@centos8-1 roles]# ls
nginx php.tar
[root@centos8-1 roles]# tree nginx
nginx
├── defaults
├── files
├── handlers
├── tasks
├── templates
└── vars
6 directories, 0 files
[root@centos8-1 roles]#
[root@centos8-1 roles]# touch nginx/{defaults/main.yml,tasks/main.yml,vars/main.yml}
[root@centos8-1 roles]# tree nginx/
nginx/
├── defaults
│ └── main.yml
├── files
├── handlers
├── tasks
│ └── main.yml
├── templates
└── vars
└── main.yml
6 directories, 3 files
[root@centos8-1 roles]
通过命令来创建
[root@centos8-1 roles]# ansible-galaxy init httpd
- Role httpd was created successfully
[root@centos8-1 roles]# tree httpd/
httpd/
├── defaults
│ └── main.yml
├── files
├── handlers
│ └── main.yml
├── meta
│ └── main.yml
├── README.md
├── tasks
│ └── main.yml
├── templates
├── tests
│ ├── inventory
│ └── test.yml
└── vars
└── main.yml
8 directories, 8 files
[root@centos8-1 roles]#
3.定义角色的内容
创建目录结构后，用户必须编写角色的内容。ROLENAME/tasks/main.yml任务文件是一个不错的起点，它是由角色运行的主要任务列表。
下列tasks/main.yml文件管理受管主机上的/etc/motd文件。它使用template模块将名为motd.j2的模板部署到受管主机上。因为template模块是在角色任务而非playbook任务内配置的，所以从角色的templates子目录检索motd.j2模板。
我们用角色给受管主机安装一个httpd
准备工作：
[root@centos8-1 httpd]# cat tasks/main.yml //角色任务里面写安装、配置、重启
---
# tasks file for httpd
- name: install httpd
yum:
name: httpd
state: present
- name: config httpd
template:
src: templates/httpd.conf.j2
dest: /etc/httpd/conf/httpd.conf
- name: service
service:
name: httpd
state: started
[root@centos8-1 httpd]#
角色允许以模块化方式编写playbook。为了最大限度地提高新开发角色的效率，请考虑在角色开发中采用以下推荐做法：
在角色自己的版本控制存储库中维护每个角色。Ansible很适合使用基于git的存储库。
角色存储库中不应存储敏感信息，如密码或SSH密钥。敏感值应以变量的形式进行参数化，其默认值应不敏感。使用角色的playbook负责通过Ansible Vault变量文件、环境变量或其他ansible-playbook选项定义敏感变量。
使用ansible-galaxy init启动角色，然后删除不需要的任何目录和文件。
创建并维护README.md和meta/main.yml文件，以记录用户的角色的用途、作者和用法。
让角色侧重于特定的用途或功能。可以编写多个角色，而不是让一个角色承担许多任务。
经常重用和重构角色。避免为边缘配置创建新的角色。如果现有角色能够完成大部分的所需配置，请重构现有角色以集成新的配置方案。使用集成和回归测试技术来确保角色提供所需的新功能，并且不对现有的playbook造成问题。
4.角色的依赖项：
角色依赖项使得角色可以将其他角色作为依赖项包含在内。例如，一个定义文档服务器的角色可能依赖于另一个安装和配置web服务器的角色。依赖关系在角色目录层次结构中的meta/main.yml文件内定义。
以下是一个示例meta/main.yml文件。
[root@centos8-1 roles]# tree httpd/
httpd/
├── defaults
│ └── main.yml
├── files
├── handlers
│ └── main.yml
├── meta
│ └── main.yml //在这个里面写内容
├── README.md
├── tasks
│ └── main.yml
├── templates
├── tests
│ ├── inventory
│ └── test.yml
└── vars
└── main.yml
8 directories, 8 files
[root@centos8-1 roles]#
[
root@centos8-1 httpd]# cat meta/main.yml
dependencies:
- role: apache
port: 8080
- role: postgres
dbname: serverlist
admin_user: felix
默认情况下，角色仅作为依赖项添加到playbook中一次。若有其他角色也将它作为依赖项列出，它不会再次运行。此行为可以被覆盖，将meta/main.yml文件中的allow_duplicates变量设置为yes即可。
注意：
限制角色对其他角色的依赖。依赖项使得维护角色变得更加困难，尤其是当它具有许多复杂的依赖项时。
5.playbook使用角色
要访问角色，可在play的roles:部分引用它。
[root@centos8-1 httpd]# cat defaults/main.yml
---
# defaults file for httpd
PORT: 82
[root@centos8-1 httpd]#
[root@centos8-1 ansible]# cat playbook/test.yml
---
- hosts: 192.168.197.135
roles:
- httpd
[root@centos8-1 ansible]#
[root@centos8-1 ansible]# ansible-playbook playbook/test.yml
PLAY [192.168.197.135] *********************************************************
TASK [Gathering Facts] *********************************************************
ok: [192.168.197.135]
TASK [install httpd] ***********************************************************
ok: [192.168.197.135]
TASK [config httpd] ************************************************************
ok: [192.168.197.135]
TASK [httpd : service] *********************************************************
ok: [192.168.197.135]
PLAY RECAP *********************************************************************
192.168.197.135 : ok=4 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
[root@centos8-1 ansible]#
[root@localhost /]# ss -antl
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 128 *:82 *:*
LISTEN 0 128 [::]:22 [::]:*
6.通过变量更改角色的行为
编写良好的角色利用默认变量来改变角色行为，使之与相关的配置场景相符。这有助于让角色变得更为通用，可在各种不同的上下文中重复利用。
如果通过以下方式定义了相同的变量，则角色的defaults目录中定义的变量的值将被覆盖：
在清单文件中定义，作为主机变量或组变量
在playbook项目的group_vars或host_vars目录下的YAML文件中定义
作为变量嵌套在play的vars关键字中定义
在play的roles关键字中包含该角色时作为变量定义
[root@centos8-1 ansible]# cat hosts_vars/node2
PORT: 84
[root@centos8-1 ansible]#
[root@centos8-1 ansible]# cat inventory
node2
[root@centos8-1 ansible]#
[root@centos8-1 ansible]# ansible-playbook playbook/test.yml
PLAY [192.168.197.135] *********************************************************
TASK [Gathering Facts] *********************************************************
ok: [192.168.197.135]
TASK [install httpd] ***********************************************************
ok: [192.168.197.135]
TASK [config httpd] ************************************************************
ok: [192.168.197.135]
TASK [httpd : service] *********************************************************
ok: [192.168.197.135]
PLAY RECAP *********************************************************************
192.168.197.135 : ok=4 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
[root@localhost /]# ss -antl
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 128 *:84 *:*
LISTEN 0 128 [::]:22 [::]:*
作为变量嵌套在play的vars关键字中定义
[root@centos8-1 ansible]# cat playbook/test.yml
---
- hosts: 192.168.197.135
vars:
PORT: 83
roles:
- httpd
[root@centos8-1 ansible]#
[root@centos8-1 ansible]# ansible-playbook playbook/test.yml
PLAY [192.168.197.135] *********************************************************
TASK [Gathering Facts] *********************************************************
ok: [192.168.197.135]
TASK [install httpd] ***********************************************************
ok: [192.168.197.135]
TASK [config httpd] ************************************************************
changed: [192.168.197.135]
TASK [httpd : service] *********************************************************
ok: [192.168.197.135]
PLAY RECAP *********************************************************************
192.168.197.135 : ok=4 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
[root@localhost /]# ss -antl
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 128 *:83 *:*
LISTEN 0 128 [::]:22 [::]:*
[root@localhost /]#
[root@centos8-1 httpd]# cat vars/main.yml
---
# vars file for httpd
PORT: 88
[root@centos8-1 httpd]#
[root@centos8-1 ansible]# ansible-playbook playbook/test.yml
PLAY [192.168.197.135] *********************************************************
TASK [Gathering Facts] *********************************************************
ok: [192.168.197.135]
TASK [install httpd] ***********************************************************
ok: [192.168.197.135]
TASK [config httpd] ************************************************************
changed: [192.168.197.135]
TASK [httpd : service] *********************************************************
ok: [192.168.197.135]
PLAY RECAP *********************************************************************
192.168.197.135 : ok=4 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
[root@centos8-1 ansible]#
[root@localhost /]# ss -antl
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 128 *:88 *:*
LISTEN 0 128 [::]:22 [::]:*
注意：
在play中使用角色变量时，变量的优先顺序可能会让人困惑。**
- 几乎任何其他变量都会覆盖角色的默认变量，如清单变量、playvars变量，以及内嵌的角色参数等。
- 较少的变量可以覆盖角色的vars目录中定义的变量。事实、通过include_vars加载的变量、注册的变量和角色参数是其中一些具备这种能力的变量。清单变量和playvars无此能力。这非常重要，因为它有助于避免用户的play意外改变角色的内部功能。
- 不过，正如上述示例中最后一个所示，作为角色参数内嵌声明的变量具有非常高的优先级。它们可以覆盖角色的vars目录中定义的变量。如果某一角色参数的名称与playvars或角色vars中设置的变量或者清单变量或playbook变量的名称相同，该角色参数将覆盖另一个变量。
7.角色变量的优先级
角色内嵌参数、事实、通过include_vars加载的变量、注册的变量
vars/main.yml中定义的变量
playbook中vars部分定义的变量
主机变量、主机组变量
defaults/main.yml中定义变量
使用ansible galaxy部署角色
8.介绍ansible galaxy
Ansible Galaxy [https://galaxy.ansible.com]是一个Ansible内容公共资源库，这些内容由许许多多Ansible管理员和用户编写。它包含数千个Ansible角色，具有可搜索的数据库，可帮助Ansible用户确定或许有助于他们完成管理任务的角色。Ansible Galaxy含有面向新的Ansible用户和角色开发人员的文档和视频链接。
此外，用于从Ansible Galaxy获取和管理角色的ansible-galaxy命令也可用于为您的项目获取和管理自有的git存储库中的角色。
9浏览Ansible Galaxy中的角色
ansible-galaxy角色命令行用法
[root@centos8 ~]# ansible-galaxy role --help
usage: ansible-galaxy role [-h] ROLE_ACTION ...
positional arguments:
ROLE_ACTION
init Initialize new role with the base structure of a role.
remove Delete roles from roles_path.
delete Removes the role from Galaxy. It does not remove or alter the
actual GitHub repository.
list Show the name and version of each role installed in the
roles_path.
search Search the Galaxy database by tags, platforms, author and
multiple keywords.
import Import a role
setup Manage the integration between Galaxy and the given source.
info View more details about a specific role.
install Install role(s) from file(s), URL(s) or Ansible Galaxy
optional arguments:
-h, --help show this help message and exit
通过Ansible Galaxy网站主页上左侧的Search标签，用户可以访问关于Ansible Galaxy上发布的角色的信息。用户可以使用标记通过角色的名称或通过其他角色属性来搜索Ansible角色。结果按照Best Match分数降序排列，此分数依据角色质量、角色受欢迎程度和搜索条件计算而得。
ansible-galaxy search子命令在Ansible Galaxy中搜索角色。如果以参数形式指定了字符串，则可用于按照关键字在Ansible Galaxy中搜索角色。用户可以使用–author、–platforms和–galaxy-tags选项来缩小搜索结果的范围。也可以将这些选项用作主要的搜索键。例如，命令ansible-galaxy search --author geerlingguy将显示由用户geerlingguy提交的所有角色。
结果按照字母顺序显示，而不是Best Match分数降序排列。
[root@centos8-1~]# ansible-galaxy role search httpd
Found 329 roles matching your search:
Name Description
---- -----------
2kloc.trellis-monit Install and configur>
aarunmichael.base_httpd your role description
a_arvind_k.base_httpd your role description
abdelmouhssine.hardening_cis_apache_http_server_2_4_benchmark CLOUD APPLICATION AN>
abdusamy.web_server_role Deploy http virtual >
acandid.httpd Install httpd and ss>
acropia.httpd IT Professional
adellam.389ds_server Installs 389DS LDAP >
ahuffman.patching An Ansible Role to p>
ahuffman.sat6_create_hosts An Ansible role to c>
ansible-galaxy info子命令显示与角色相关的更多详细信息。Ansible Galaxy从多个位置获取这一信息，包括角色的meta/main.yml文件及其GigHub存储库。以下命令显示了Ansible Galaxy提供的robertdebock.httpd 角色的相关信息。
[root@centos8-1 ~]# ansible-galaxy role info robertdebock.httpd
Role: robertdebock.httpd
description: Install and configure httpd on your system.
active: True
commit: 9fc0e5c1f38873f26c1d896d7db1424b2e07181b
commit_message: 404 is also good.
commit_url: https://api.github.com/repos/robertdebock/ansible-role-httpd/gi>
company: none
created: 2017-11-10T16:04:25.981866Z
download_count: 141216
forks_count: 11
github_branch: master
github_repo: ansible-role-httpd
github_user: robertdebock
id: 21855
10. 从Ansible Galaxy安装角色
ansible-galaxy install子命令从Ansible Galaxy下载角色，并将它安装到控制节点本地。
默认情况下，角色安装到用户的roles_path下的第一个可写目录中。根据为Ansible设置的默认roles_path，角色通常将安装到用户的~/.ansible/roles目录。默认的roles_path可能会被用户当前Ansible配置文件或环境变量ANSIBLE_ROLES_PATH覆盖，这将影响ansible-galaxy的行为。
用户可以通过使用-p DIRECTORY选项，指定具体的目录来安装角色。
[root@ansible roles]# ansible-galaxy role install robertdebock.httpd -p .
- downloading role 'httpd', owned by robertdebock
- downloading role from https://github.com/robertdebock/ansible-role-httpd/archive/7.0.0.tar.gz
- extracting robertdebock.httpd to /etc/ansible/roles/robertdebock.httpd
- robertdebock.httpd (7.0.0) was installed successfully
[root@ansible roles]# ansible-galaxy list -p .
# /etc/ansible/roles
- httpd, (unknown version)
- robertdebock.httpd, 7.0.0
# /usr/share/ansible/roles
- linux-system-roles.certificate, (unknown version)
- linux-system-roles.crypto_policies, (unknown version)
- linux-system-roles.ha_cluster, (unknown version)
- linux-system-roles.kdump, (unknown version)
- linux-system-roles.kernel_settings, (unknown version)
- linux-system-roles.logging, (unknown version)
- linux-system-roles.metrics, (unknown version)
- linux-system-roles.nbde_client, (unknown version)
- linux-system-roles.nbde_server, (unknown version)
- linux-system-roles.network, (unknown version)
- linux-system-roles.postfix, (unknown version)
- linux-system-roles.selinux, (unknown version)
- linux-system-roles.ssh, (unknown version)
- linux-system-roles.sshd, (unknown version)
- linux-system-roles.storage, (unknown version)
- linux-system-roles.timesync, (unknown version)
- linux-system-roles.tlog, (unknown version)
- rhel-system-roles.certificate, (unknown version)
- rhel-system-roles.crypto_policies, (unknown version)
- rhel-system-roles.ha_cluster, (unknown version)
- rhel-system-roles.kdump, (unknown version)
- rhel-system-roles.kernel_settings, (unknown version)
- rhel-system-roles.logging, (unknown version)
- rhel-system-roles.metrics, (unknown version)
- rhel-system-roles.nbde_client, (unknown version)
- rhel-system-roles.nbde_server, (unknown version)
- rhel-system-roles.network, (unknown version)
- rhel-system-roles.postfix, (unknown version)
- rhel-system-roles.selinux, (unknown version)
- rhel-system-roles.ssh, (unknown version)
- rhel-system-roles.sshd, (unknown version)
- rhel-system-roles.storage, (unknown version)
- rhel-system-roles.timesync, (unknown version)
- rhel-system-roles.tlog, (unknown version)
# /etc/ansible/roles
- httpd, (unknown version)
- robertdebock.httpd, 7.0.0
[WARNING]: - the configured path /root/.ansible/roles does not exist.
11.使用要求文件安装角色
可以使用ansible-galaxy，根据某一文本文件中的定义来安装一个角色列表。例如，如果用户的一个playbook需要安装特定的角色，可以在项目目录中创建一个roles/requirements.yml文件来指定所需的角色。此文件充当playbook项目的依赖项清单，使得playbook的开发和调试能与任何支持角色分开进行。
[root@ansible roles]# cat requirements.yml
- src: robertdebock.httpd
version: 7.0.0
[root@ansible roles]# ansible-galaxy install -r requirements.yml -p .
- downloading role 'httpd', owned by robertdebock
- downloading role from https://github.com/robertdebock/ansible-role-httpd/archive/7.0.0.tar.gz
- extracting robertdebock.httpd to /etc/ansible/roles/robertdebock.httpd
- robertdebock.httpd (7.0.0) was installed successfully
[root@ansible roles]# ls
requirements.yml robertdebock.httpd
src属性指定角色的来源，本例中为来自Ansible Galaxy的geerlingguy.redis角色。version属性是可选的，指定要安装的角色版本，本例中为1.5.0。
重要 应当在requirements.yml文件中指定角色版本，特别是生产环境中的playbook。 如果不指定版本，将会获取角色的最新版本。如果作者对角色做出了更改，并与用户的playbook不兼容，这可能会造成自动化失败或其他问题。
若要使用角色文件来安装角色，可使用-r REQUIREMENTS-FILE选项：
ansible-galaxy install -r roles/requirements.yml -p roles
用户可以使用ansible-galaxy来安装不在Ansible Galaxy中的角色。可以在私有的Git存储库或Web服务器上托管自有的专用或内部角色。下例演示了如何利用各种远程来源配置要求文件。
[root@localhost project]# cat roles/requirements.yml
# from Ansible Galaxy, using the latest version
- src: geerlingguy.redis
# from Ansible Galaxy, overriding the name and using a specific version
- src: geerlingguy.redis
version: "1.5.0"
name: redis_prod
# from any Git-based repository, using HTTPS
- src: https://gitlab.com/guardianproject-ops/ansible-nginx-acme.git
scm: git
version: 56e00a54
name: nginx-acme
# from any Git-based repository, using SSH
- src: git@gitlab.com:guardianproject-ops/ansible-nginx-acme.git
scm: git
version: master
name: nginx-acme-ssh
# from a role tar ball, given a URL
# supports 'http', 'https', or 'file' protocols
- src: file:///opt/local/roles/myrole.tar
name: myrole
src关键字指定Ansible Galaxy角色名称。如果角色没有托管在Ansible Galaxy中，则src关键字将指明角色的URL。
如果角色托管在来源控制存储库中，则需要使用scm属性。ansible-galaxy命令能够从基于git或mercurial的软件存储库下载和安装角色。基于Git的存储库要求scm值为git，而托管在Mercurial存储库中的角色则要求值为hg。如果角色托管在Ansible Galaxy中，或者以tar存档形式托管在Web服务器上，则省略scm关键字。
name关键字用于覆盖角色的本地名称。version关键字用于指定角色的版本。version关键字可以是与严自角色的软件存储库的分支、标记或提交哈希对应的任何值。
若要安装与playbook项目关联的角色，可执行ansible-galaxy install命令：
[root@localhost project]# ansible-galaxy install -r roles/requirements.yml -p roles
- 管理下载的角色
ansible-galaxy命令也可管理本地的角色，如位于playbook项目的roles目录中的角色。ansible-galaxy list子命令列出本地找到的角色。
ansible-galaxy list
可以使用ansible-galaxy remove子命令本地删除角色。
ansible-galaxy remove nginx-acme-ssh
ansible-galaxy list
在playbook中使用下载并安装的角色的方式与任何其他角色都一样。在roles部分中利用其下载的角色名称来加以引用。如果角色不在项目的roles目录中，则将检查roles_path来查看角色是否安装在了其中一个目录中，将使用第一个匹配项。以下use-role.ymlplaybook引用了redis_prod和geerlingguy.redis角色：
[root@localhost project]# cat use-role.yml
---
- name: use redis_prod for prod machines
hosts: redis_prod_servers
remote_user: devops
become: True
roles:
- redis_prod
- name: use geerlingguy.redis for Dev machines
hosts: redis_dev_servers
remote_user: devops
become: True
roles:
- geerlingguy.redis
k中使用下载并安装的角色的方式与任何其他角色都一样。在roles部分中利用其下载的角色名称来加以引用。如果角色不在项目的roles目录中，则将检查roles_path来查看角色是否安装在了其中一个目录中，将使用第一个匹配项。以下use-role.ymlplaybook引用了redis_prod和geerlingguy.redis角色：
[root@localhost project]# cat use-role.yml
---
- name: use redis_prod for prod machines
hosts: redis_prod_servers
remote_user: devops
become: True
roles:
- redis_prod
- name: use geerlingguy.redis for Dev machines
hosts: redis_dev_servers
remote_user: devops
become: True
roles:
- geerlingguy.redis