Ansible角色
环境说明：
| 主机IP | 主机名 |
|---|---|
| 192.168.100.1 | ansible |
| 192.168.100.2 | yuqinghao |
检查ansible角色结构
Ansible角色由子目录和文件的标准化结构定义。顶级目录定义角色本身的名称。文件整理到子目录中，子目录按照各个文件在角色中的用途进行命名，如tasks和handlers。files和templates子目录中包含由其他YAML文件中的任务引用的文件。
site.yml
webservers.yml
fooservers.yml
roles/
common/
tasks/
handlers/
files/
templates/
vars/
defaults/
meta/
webservers/
tasks/
defaults/
meta/
以下tree命令显示了user.example角色的目录结构：
[root@localhost roles]# tree user.example/
user.example/
├── defaults
│ └── main.yml
├── files
├── handlers
│ └── main.yml
├── meta
│ └── main.yml
├── README.md
├── tasks
│ └── main.yml
├── templates
├── tests
│ ├── inventory
│ └── test.yml
└── vars
└── main.yml
Ansible角色子目录
| 子目录 | 功能 |
|---|---|
| defaults | 此目录中的main.yml文件包含角色变量的默认值，使用角色时可以覆盖这些默认值。 这些变量的优先级较低，应该在play中更改和自定义。 |
| files | 此目录包含由角色任务引用的静态文件。 |
| handlers | 此目录中的main.yml文件包含角色的处理程序定义。 |
| meta | 此目录中的main.yml文件包含与角色相关的信息，如作者、许可证、平台和可选的角色依赖项。 |
| tasks | 此目录中的main.yml文件包含角色的任务定义。 |
| templates | 此目录包含由角色任务引用的Jinja2模板。 |
| tests | 此目录可以包含清单和名为test.yml的playbook，可用于测试角色。 |
| vars | 此目录中的main.yml文件定义角色的变量值。这些变量通常用于角色内部用途。 这些变量的优先级较高，在playbook中使用时不应更改。 |
创建角色
角色创建流程
在Ansible中创建角色不需要特别的开发工具。创建和使用角色包含三个步骤：
-
创建角色目录结构
-
定义角色内容
-
在playbook中使用角色
创建角色框架
可以使用标准Linux命令创建新角色所需的所有子目录和文件。此外，也可以通过命令行实用程序来自动执行新角色创建过程。
ansible-galaxy命令行工具可用于管理Ansible角色，包括新角色的创建。用户可以运行ansible-galaxy init来创建新角色的目录结构。指定角色的名称作为命令的参数，该命令在当前工作目录中为新角色创建子目录。
[root@ansible ~]# mkdir project
[root@ansible ~]# cd project/
[root@ansible project]# mkdir roles
[root@ansible project]# cd roles/
[root@ansible roles]# ansible-galaxy init test
- Role test was created successfully
[root@ansible roles]# cd test/
[root@ansible test]# tree
.
├── defaults
│ └── main.yml
├── files
├── handlers
│ └── main.yml
├── meta
│ └── main.yml
├── README.md
├── tasks
│ └── main.yml
├── templates
├── tests
│ ├── inventory
│ └── test.yml
└── vars
└── main.yml
8 directories, 8 files
定义角色内容
创建foo.j2模板文件
[root@ansible test]# vim templates/foo.j2
This is the system {{ ansible_facts['hostname'] }}.
Today's date is: {{ ansible_facts['date_time']['date'] }}.
Only use this system with permission.
You can ask {{ system_owner }} for access.
创建任务
[root@ansible test]# vim tasks/main.yml
---
# tasks file for test
- name: file config
template:
src: foo.j2
dest: /tmp/abc
owner: root
group: root
mode: 0644
定义变量
[root@ansible test]# vim defaults/main.yml
---
# defaults file for test
system_owner: root@yuqinghao.example.com
在playbook中使用角色
要访问角色，可在play的roles:部分引用它。下列playbook引用了test角色。由于没有指定变量，因此将使用默认变量值应用该角色
[root@ansible test]# cd ~/project/
[root@ansible project]# vim bo.yml
---
- hosts: yuqinghao
roles:
- test
执行该playbook
[root@ansible project]# ansible-playbook bo.yml
PLAY [yuqinghao] **********************************************************************
TASK [Gathering Facts] ****************************************************************
ok: [yuqinghao]
TASK [test : file config] *************************************************************
changed: [yuqinghao]
PLAY RECAP ****************************************************************************
yuqinghao : ok=2 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
验证
[root@yuqinghao ~]# hostname
yuqinghao.example.com
[root@yuqinghao ~]# ls /tmp/
abc
[root@yuqinghao ~]# cat /tmp/abc
This is the system yuqinghao.
Today's date is: 2021-02-23.
Only use this system with permission.
You can ask root@yuqinghao.example.com for access.
通过变量更改角色的行为
编写良好的角色利用默认变量来改变角色行为，使之与相关的配置场景相符。这有助于让角色变得更为通用，可在各种不同的上下文中重复利用。
如果通过以下方式定义了相同的变量，则角色的defaults目录中定义的变量的值将被覆盖：
- 在清单文件中定义，作为主机变量或组变量
- 在playbook项目的group_vars或host_vars目录下的YAML文件中定义（*）
- 作为变量嵌套在play的vars关键字中定义（*）
- 在play的roles关键字中包含该角色时作为变量定义
在清单文件中定义，作为主机变量或组变量
[root@ansible project]# vim /etc/ansible/inventory
yuqinghao system_owner=123456
[root@ansible project]# cat roles/test/defaults/main.yml
---
# defaults file for test
system_owner: root@yuqinghao.example.com
在执行该playbook
[root@ansible project]# ansible-playbook bo.yml
PLAY [yuqinghao] **********************************************************************
TASK [Gathering Facts] ****************************************************************
ok: [yuqinghao]
TASK [test : file config] *************************************************************
changed: [yuqinghao]
PLAY RECAP ****************************************************************************
yuqinghao : ok=2 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
验证
[root@yuqinghao ~]# cat /tmp/abc
This is the system yuqinghao.
Today's date is: 2021-02-23.
Only use this system with permission.
You can ask 123456 for access.
在playbook项目的group_vars或host_vars目录下的YAML文件中定义
[root@ansible project]# vim /etc/ansible/inventory
yuqinghao
[root@ansible project]# mkdir host_vars
[root@ansible project]# echo 'system_owner: 654321' > host_vars/yuqinghao
[root@ansible project]# cat host_vars/yuqinghao
system_owner: 654321
在执行该playbook
[root@ansible project]# ansible-playbook bo.yml
PLAY [yuqinghao] **********************************************************************
TASK [Gathering Facts] ****************************************************************
ok: [yuqinghao]
TASK [test : file config] *************************************************************
changed: [yuqinghao]
PLAY RECAP ****************************************************************************
yuqinghao : ok=2 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
验证
[root@yuqinghao ~]# cat /tmp/abc
This is the system yuqinghao.
Today's date is: 2021-02-23.
Only use this system with permission.
You can ask 123456 for access.
[root@yuqinghao ~]# cat /tmp/abc
This is the system yuqinghao.
Today's date is: 2021-02-23.
Only use this system with permission.
You can ask 654321 for access.
作为变量嵌套在play的vars关键字中定义
[root@ansible project]# rm -rf host_vars
[root@ansible project]# vim bo.yml
---
- hosts: yuqinghao
vars:
system_owner: 999
roles:
- test
在执行该playbook
[root@ansible project]# ansible-playbook bo.yml
PLAY [yuqinghao] **********************************************************************
TASK [Gathering Facts] ****************************************************************
ok: [yuqinghao]
TASK [test : file config] *************************************************************
changed: [yuqinghao]
PLAY RECAP ****************************************************************************
yuqinghao : ok=2 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
验证
[root@yuqinghao ~]# cat /tmp/abc
This is the system yuqinghao.
Today's date is: 2021-02-23.
Only use this system with permission.
You can ask 999 for access.
在play的roles关键字中包含该角色时作为变量定义
[root@ansible project]# vim bo.yml
---
- hosts: yuqinghao
roles:
- role: test
system_owner: 888
在执行该playbook
[root@ansible project]# ansible-playbook bo.yml
PLAY [yuqinghao] **********************************************************************
TASK [Gathering Facts] ****************************************************************
ok: [yuqinghao]
TASK [test : file config] *************************************************************
changed: [yuqinghao]
PLAY RECAP ****************************************************************************
yuqinghao : ok=2 changed=1 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
验证
[root@yuqinghao ~]# cat /tmp/abc
This is the system yuqinghao.
Today's date is: 2021-02-23.
Only use this system with permission.
You can ask 888 for access.
利用系统角色重用内容
红帽企业Linux系统角色
自RHEL7.4开始，操作系统随附了多个Ansible角色，作为rhel-system-roles软件包的一部分。在RHEL8中，该软件包可以从AppStream中获取。以下是每个角色的简要描述：
RHEL系统角色
| 名称 | 状态 | 角色描述 |
|---|---|---|
| rhel-system-roles.kdump | 全面支持 | 配置kdump崩溃恢复服务 |
| rhel-system-roles.network | 全面支持 | 配置网络接口 |
| rhel-system-roles.selinux | 全面支持 | 配置和管理SELinux自定义， 包括SELinux模式、文件和端口上下文、 布尔值设置以及SELinux用户 |
| rhel-system-roles.timesync | 全面支持 | 使用网络时间协议或精确时间协议配置时间同步 |
| rhel-system-roles.postfix | 技术预览 | 使用Postfix服务将每个主机配置为邮件传输代理 |
| rhel-system-roles.firewall | 开发中 | 配置主机的防火墙 |
| rhel-system-roles.tuned | 开发中 | 配置tuned服务，以调优系统性能 |
系统角色的目的是在多个版本之间标准化红帽企业Linux子系统的配置。使用系统角色来配置版本6.10及以上的任何红帽企业Linux主机。
安装RHEL系统角色
RHEL系统角色由rhel-system-roles软件包提供，该软件包可从AppStream流获取。在Ansible控制节点上安装该软件包。
安装RHEL系统角色
[root@ansible ~]# yum -y install rhel-system-roles
安装后，RHEL系统角色位于/usr/share/ansible/roles目录中：
[root@ansible ~]# ls /usr/share/ansible/roles/
linux-system-roles.certificate rhel-system-roles.certificate
linux-system-roles.kdump rhel-system-roles.kdump
linux-system-roles.kernel_settings rhel-system-roles.kernel_settings
linux-system-roles.logging rhel-system-roles.logging
linux-system-roles.metrics rhel-system-roles.metrics
linux-system-roles.nbde_client rhel-system-roles.nbde_client
linux-system-roles.nbde_server rhel-system-roles.nbde_server
linux-system-roles.network rhel-system-roles.network
linux-system-roles.postfix rhel-system-roles.postfix
linux-system-roles.selinux rhel-system-roles.selinux
linux-system-roles.storage rhel-system-roles.storage
linux-system-roles.timesync rhel-system-roles.timesync
linux-system-roles.tlog rhel-system-roles.tlog
访问RHEL系统角色的文档
安装后，RHEL系统角色的文档位于/usr/share/doc/rhel-system-roles-/目录中。文档按照子系统整理到子目录中：
[root@ansible ~]# ls /usr/share/doc/rhel-system-roles/
certificate kernel_settings metrics nbde_server postfix storage tlog
kdump logging nbde_client network selinux timesync
时间同步角色示例
假设需要在服务器上配置NTP时间同步。我们可以自行编写自动化来执行每一个必要的任务。但是，RHEL系统角色中有一个可以执行此操作角色，那就是rhel-system-roles.timesync。
该角色的详细记录位于/usr/share/doc/rhel-system-roles/timesync目录下的README.md中。此文件说明了影响角色行为的所有变量，还包含演示了不同时间同步配置的三个playbook代码片段。
为了手动配置NTP服务器，该角色具有一个名为timesync_ntp_servers的变量。此变量取一个要使用的NTP服务器的列表作为值。列表中的每一项均由一个或多个属性构成。两个关键属性如下：
timesync_ntp_servers属性
| 属性 | 用途 |
|---|---|
| hostname | 要与其同步的NTP服务器的主机名。 |
| iburst | 一个布尔值，用于启用或禁用快速初始同步。在角色中默认为no，但通常应该将属性设为yes. |
根据这一信息，以下示例play使用rhel-system-roles.timesync角色将受管主机配置为利用快速初始同步从三个NTP服务器获取时间。此外，还添加了一个任务，以使用timezone模块将主机的时区设为UTC。
修改yuqinghao主机的时间
[root@yuqinghao ~]# date -s '1988-10-1 00:00:00'
Sat Oct 1 00:00:00 CST 1988
时间不同步
[root@ansible ~]# date && ssh yuqinghao 'date'
Tue Feb 23 23:48:41 CST 2021
Sat Oct 1 00:00:04 CST 1988
编写时间同步playbook
[root@ansible ~]# cp -a /usr/share/ansible/roles/rhel-system-roles.timesync ~/project/roles/timesync
[root@ansible ~]# cd ~/project/roles/timesync/
[root@ansible timesync]# ls
COPYING examples library README.html tasks tests
defaults handlers meta README.md templates vars
[root@ansible timesync]# cd ~/project/
[root@ansible project]# vim time.yml
---
- hosts: yuqinghao
vars:
timesync_ntp_servers:
- hostname: time1.aliyun.com
iburst: yes
roles:
- timesync
执行playbook
[root@ansible project]# ansible-playbook time.yml
PLAY [yuqinghao] **********************************************************************
TASK [Gathering Facts] ****************************************************************
ok: [yuqinghao]
TASK [timesync : Check if only NTP is needed] *****************************************
ok: [yuqinghao]
TASK [timesync : Check if single PTP is needed] ***************************************
skipping: [yuqinghao]
TASK [timesync : Check if both NTP and PTP are needed] ********************************
skipping: [yuqinghao]
TASK [timesync : Determine current NTP provider] **************************************
ok: [yuqinghao]
TASK [timesync : Select NTP provider] *************************************************
ok: [yuqinghao]
TASK [timesync : Install chrony] ******************************************************
changed: [yuqinghao]
TASK [timesync : Install ntp] *********************************************************
skipping: [yuqinghao]
TASK [timesync : Install linuxptp] ****************************************************
skipping: [yuqinghao]
TASK [timesync : Run phc_ctl on PTP interface] ****************************************
skipping: [yuqinghao]
TASK [timesync : Check if PTP interface supports HW timestamping] *********************
skipping: [yuqinghao]
TASK [timesync : Get chrony version] **************************************************
ok: [yuqinghao]
TASK [timesync : Get ntp version] *****************************************************
skipping: [yuqinghao]
TASK [timesync : Generate chrony.conf file] *******************************************
changed: [yuqinghao]
TASK [timesync : Generate chronyd sysconfig file] *************************************
changed: [yuqinghao]
TASK [timesync : Generate ntp.conf file] **********************************************
skipping: [yuqinghao]
TASK [timesync : Generate ntpd sysconfig file] ****************************************
skipping: [yuqinghao]
TASK [timesync : Generate ptp4l.conf file] ********************************************
skipping: [yuqinghao]
TASK [timesync : Generate ptp4l sysconfig file] ***************************************
skipping: [yuqinghao]
TASK [timesync : Generate phc2sys sysconfig file] *************************************
skipping: [yuqinghao]
TASK [timesync : Generate timemaster.conf file] ***************************************
skipping: [yuqinghao]
TASK [timesync : Update network sysconfig file] ***************************************
changed: [yuqinghao]
TASK [timesync : Disable chronyd] *****************************************************
skipping: [yuqinghao]
TASK [timesync : Disable ntpd] ********************************************************
fatal: [yuqinghao]: FAILED! => {"changed": false, "msg": "Could not find the requested service ntpd: host"}
...ignoring
TASK [timesync : Disable ntpdate] *****************************************************
fatal: [yuqinghao]: FAILED! => {"changed": false, "msg": "Could not find the requested service ntpdate: host"}
...ignoring
TASK [timesync : Disable sntp] ********************************************************
fatal: [yuqinghao]: FAILED! => {"changed": false, "msg": "Could not find the requested service sntp: host"}
...ignoring
TASK [timesync : Disable ptp4l] *******************************************************
fatal: [yuqinghao]: FAILED! => {"changed": false, "msg": "Could not find the requested service ptp4l: host"}
...ignoring
TASK [timesync : Disable phc2sys] *****************************************************
fatal: [yuqinghao]: FAILED! => {"changed": false, "msg": "Could not find the requested service phc2sys: host"}
...ignoring
TASK [timesync : Disable timemaster] **************************************************
fatal: [yuqinghao]: FAILED! => {"changed": false, "msg": "Could not find the requested service timemaster: host"}
...ignoring
TASK [timesync : Enable chronyd] ******************************************************
changed: [yuqinghao]
TASK [timesync : Enable ntpd] *********************************************************
skipping: [yuqinghao]
TASK [timesync : Enable ptp4l] ********************************************************
skipping: [yuqinghao]
TASK [timesync : Enable phc2sys] ******************************************************
skipping: [yuqinghao]
TASK [timesync : Enable timemaster] ***************************************************
skipping: [yuqinghao]
RUNNING HANDLER [timesync : restart chronyd] ******************************************
changed: [yuqinghao]
PLAY RECAP ****************************************************************************
yuqinghao : ok=17 changed=6 unreachable=0 failed=0 skipped=18 rescued=0 ignored=6
验证
[root@ansible project]# date && ssh yuqinghao 'date'
Wed Feb 24 00:09:32 CST 2021
Wed Feb 24 00:09:32 CST 2021
使用ansible galaxy部署角色
Ansible Galaxy [https://galaxy.ansible.com]是一个Ansible内容公共资源库，这些内容由许许多多Ansible管理员和用户编写。它包含数千个Ansible角色，具有可搜索的数据库，可帮助Ansible用户确定或许有助于他们完成管理任务的角色。Ansible Galaxy含有面向新的Ansible用户和角色开发人员的文档和视频链接。
Ansible Galaxy命令行工具
从命令行搜索角色
ansible-galaxy search子命令在Ansible Galaxy中搜索角色。如果以参数形式指定了字符串，则可用于按照关键字在Ansible Galaxy中搜索角色。用户可以使用--author、--platforms和--galaxy-tags选项来缩小搜索结果的范围。也可以将这些选项用作主要的搜索键。例如，命令ansible-galaxy search --author geerlingguy将显示由用户geerlingguy提交的所有角色。
[root@ansible ~]# ansible-galaxy search 'robertdebock.httpd' --platforms EL
Found 13 roles matching your search:
Name Description
---- -----------
robertdebock.ca Install and configure a certificate authority on your syst>
robertdebock.certbot Install and configure certbot on your system.
robertdebock.haproxy Install and configure haproxy on your system.
robertdebock.httpd Install and configure httpd on your system.
robertdebock.mediawiki Install and configure mediawiki on your system.
robertdebock.moodle Install and configure moodle on your system.
robertdebock.nextcloud Install and configure Nextcloud on your system.
robertdebock.owncloud Install and configure owncloud on your system.
robertdebock.php Install and configure php on your system.
robertdebock.php_fpm The purpose of this role is to install and configure php_f>
robertdebock.phpmyadmin Install and configure phpmyadmin on your system.
robertdebock.roundcubemail Install and configure roundcubemail on your system.
robertdebock.zabbix_web Install and configure zabbix_web on your system.
ansible-galaxy info子命令显示与角色相关的更多详细信息
Ansible Galaxy从多个位置获取这一信息，包括角色的meta/main.yml文件及其GigHub存储库。以下命令显示了Ansible Galaxy提供的geerlingguy.redis角色的相关信息。
[root@ansible ~]# ansible-galaxy info robertdebock.httpd
Role: robertdebock.httpd
description: Install and configure httpd on your system.
active: True
commit: f7a825a8a7a1b1d04c315e8c90b232bc91fa11d8
commit_message: Collections FQCN.
commit_url: https://api.github.com/repos/robertdebock/ansible-role-httpd/git/c>
company: none
created: 2017-11-10T16:04:25.981866Z
download_count: 114746
forks_count: 10
github_branch: master
github_repo: ansible-role-httpd
github_user: robertdebock
id: 21855
imported: 2021-02-23T02:52:52.799194-05:00
is_valid: True
issue_tracker_url: https://github.com/robertdebock/ansible-role-httpd/issues
license: Apache-2.0
min_ansible_version: 2.10
modified: 2021-02-23T07:52:52.806717Z
open_issues_count: 0
path: ('/root/.ansible/roles', '/usr/share/ansible/roles', '/etc/ansible/roles>
role_type: ANS
stargazers_count: 4
travis_status_url:
从Ansible Galaxy安装角色
ansible-galaxy install子命令从Ansible Galaxy下载角色，并将它安装到控制节点本地。
默认情况下，角色安装到用户的roles_path下的第一个可写目录中。根据为Ansible设置的默认roles_path，角色通常将安装到用户的~/.ansible/roles目录。默认的roles_path可能会被用户当前Ansible配置文件或环境变量ANSIBLE_ROLES_PATH覆盖，这将影响ansible-galaxy的行为。
用户可以通过使用-p DIRECTORY选项，指定具体的目录来安装角色。
在下例中，ansible-galaxy将geerlingguy.redis角色安装到playbook项目的roles目录中。命令的当前工作目录是/opt/project。
[root@ansible ~]# ansible-galaxy install robertdebock.httpd -p project/roles/
- downloading role 'httpd', owned by robertdebock
- downloading role from https://github.com/robertdebock/ansible-role-httpd/archive/master.tar.gz
- extracting robertdebock.httpd to /root/project/roles/robertdebock.httpd
- robertdebock.httpd (master) was installed successfully
[root@ansible ~]# ls project/roles/
robertdebock.httpd test timesync
卸载（不用-p指定位置 默认移除 .ansible/roles/ 里的）
[root@ansible ~]# ansible-galaxy remove robertdebock.httpd -p project/roles/
- successfully removed robertdebock.httpd
管理下载的角色
ansible-galaxy命令也可管理本地的角色，如位于playbook项目的roles目录中的角色。ansible-galaxy list子命令列出本地找到的角色。
[root@ansible ~]# ansible-galaxy list
# /usr/share/ansible/roles
- linux-system-roles.certificate, (unknown version)
- linux-system-roles.kdump, (unknown version)
- linux-system-roles.kernel_settings, (unknown version)
- linux-system-roles.logging, (unknown version)
- linux-system-roles.metrics, (unknown version)
- linux-system-roles.nbde_client, (unknown version)
- linux-system-roles.nbde_server, (unknown version)
- linux-system-roles.network, (unknown version)
- linux-system-roles.postfix, (unknown version)
- linux-system-roles.selinux, (unknown version)
- linux-system-roles.storage, (unknown version)
- linux-system-roles.timesync, (unknown version)
- linux-system-roles.tlog, (unknown version)
- rhel-system-roles.certificate, (unknown version)
- rhel-system-roles.kdump, (unknown version)
- rhel-system-roles.kernel_settings, (unknown version)
- rhel-system-roles.logging, (unknown version)
- rhel-system-roles.metrics, (unknown version)
- rhel-system-roles.nbde_client, (unknown version)
- rhel-system-roles.nbde_server, (unknown version)
- rhel-system-roles.network, (unknown version)
- rhel-system-roles.postfix, (unknown version)
- rhel-system-roles.selinux, (unknown version)
- rhel-system-roles.storage, (unknown version)
- rhel-system-roles.timesync, (unknown version)
- rhel-system-roles.tlog, (unknown version)
# /etc/ansible/roles