ansible-playbook: запуск плейбука

ansible-playbook берёт плейбук — YAML-файл с плеями (play) — и инвентарь, подключается к машинам и выполняет задачи по порядку. Что такое инвентарь, модули и разовые команды ansible, — в статье ansible. На учебной машине стоят ansible-core 2.16 и пакет ansible 9.2 со 103 коллекциями (ansible-galaxy collection list); сети наружу нет, ставить коллекции из Galaxy нельзя.

Плейбук для примеров — site.yml:

- name: Демо-сайт
  hosts: local
  become: true
  vars:
    site_title: Демо
  tasks:
    - name: Каталог сайта
      ansible.builtin.file:
        path: /srv/demo
        state: directory
        mode: "0755"

    - name: Страница из шаблона
      ansible.builtin.template:
        src: index.html.j2
        dest: /srv/demo/index.html
        mode: "0644"
      notify: Перечитать nginx
      tags: page

    - name: Отметка времени
      ansible.builtin.shell: date > /srv/demo/stamp

  handlers:
    - name: Перечитать nginx
      ansible.builtin.service:
        name: nginx
        state: reloaded

Шаблон templates/index.html.j2 лежит рядом с плейбуком — template ищет src в каталоге templates/:

<h1>{{ site_title }}</h1>
<p>{{ ansible_hostname }}</p>

Инвентарь inventory.ini — одна машина, эта же, без SSH:

[local]
localhost ansible_connection=local

Вывод прогона

Первый прогон (звёздочки в заголовках укорочены, строка итога перенесена):

student@node1:~/demo$ ansible-playbook -i inventory.ini site.yml

PLAY [Демо-сайт] ***

TASK [Gathering Facts] ***
ok: [localhost]

TASK [Каталог сайта] ***
changed: [localhost]

TASK [Страница из шаблона] ***
changed: [localhost]

TASK [Отметка времени] ***
changed: [localhost]

RUNNING HANDLER [Перечитать nginx] ***
changed: [localhost]

PLAY RECAP ***
localhost  : ok=5    changed=4    unreachable=0    failed=0
             skipped=0    rescued=0    ignored=0

Gathering Facts — сбор фактов о машине (ansible_hostname в шаблоне берётся отсюда). Состояние задачи на каждой машине:

Итог: PLAY RECAP

PLAY RECAP — строка на каждую машину: сколько задач в каком состоянии.

Хороший повторный прогон — changed=0 failed=0. Код возврата: 0 — всё прошло, 2 — на какой-то машине задача упала, 4 — машина недоступна или плейбук не разобран (ошибка YAML, неизвестный модуль), 1 — другая ошибка, например не осталось машин.

Повторный прогон

TASK [Каталог сайта] ***
ok: [localhost]

TASK [Страница из шаблона] ***
ok: [localhost]

TASK [Отметка времени] ***
changed: [localhost]

PLAY RECAP ***
localhost  : ok=4    changed=1    unreachable=0    failed=0

Модули file и template сначала смотрят, что на машине, и меняют только разницу — это идемпотентность. shell не знает, что делает его команда, и всегда пишет changed. Хороший плейбук на втором прогоне даёт changed=0: для задачи — модуль вместо shell, или creates: (не запускать, если файл есть), или changed_when: (своё правило, когда считать изменением).

Обработчики

Обработчик (handler) — задача, которая выполняется, только если её позвала другая задача через notify и та задача дала changed. В первом прогоне шаблон изменился — nginx перечитал конфиг; во втором шаблон ok, и RUNNING HANDLER в выводе нет.

• Обработчики идут в конце плея, после всех задач, и каждый — один раз, сколько бы задач его ни позвали.
• notify ищет обработчик по имени name (или по listen) точно, с учётом регистра; опечатка — ошибка ansible-playbook.
• Если задача упала, обработчики, позванные до неё, не выполнятся; --force-handlers выполняет их и тогда. Позвать раньше конца — задача ansible.builtin.meta: flush_handlers.

Шаблон и переменные

Модуль template собирает файл из шаблона .j2: каждое {{ имя }} заменяется значением переменной. Готовый файл он сравнивает с тем, что на машине, и пишет changed, только если они различаются, — поэтому шаблон и обработчик дают changed=0 на повторном прогоне.

Откуда берутся значения:

• vars: плея — site_title: Демо;
• факты машины из Gathering Facts — ansible_hostname (node1);
• переменные из инвентаря — строка машины или [группа:vars];
• -e site_title=Новый из командной строки — главнее всех остальных.

Переменная, которой нет, роняет задачу — ansible-playbook. Значение по умолчанию прямо в шаблоне — {{ site_title | default('Демо') }}. Что изменит шаблон, покажет --check --diff.

Проверка без изменений

--check (-C) прогоняет плейбук, ничего не меняя; --diff (-D) печатает, что изменилось бы в файлах:

student@node1:~/demo$ ansible-playbook -i inventory.ini site.yml \
> --check --diff -e site_title=Новый
...
TASK [Страница из шаблона] ***
--- before: /srv/demo/index.html
+++ after: /home/student/.ansible/tmp/…/index.html.j2
@@ -1,2 +1,2 @@
-<h1>Демо</h1>
+<h1>Новый</h1>
 <p>node1</p>

changed: [localhost]

TASK [Отметка времени] ***
skipping: [localhost]

RUNNING HANDLER [Перечитать nginx] ***
changed: [localhost]

PLAY RECAP ***
localhost  : ok=4    changed=2    unreachable=0    failed=0
             skipped=1    rescued=0    ignored=0

changed здесь значит «изменилось бы»: файл остался прежним, nginx никто не трогал. shell и command в режиме проверки пропускаются — по ним --check ничего не скажет. Плейбук, у которого после прогона --check --diff не показывает ни одного changed, описывает машину такой, какая она есть.

• ansible — инвентарь, модули, разовые команды.
• ssh-keys — ключ для входа на машины инвентаря.
• ssh-client — проверить подключение вручную.
• sudo — что делает become: true.
• systemctl — службы, которые перезапускают обработчики.
• diff-patch — как читать вывод --diff.