了解ansible中的角色

本章主要介绍ansible 中角色的使用。

• 了解什么是角色
• 独立地写一个角色
• 使用角色
• 系统自带角色的使用
• ansible Galaxy的使用

---

了解角色

正常情况下,配置一个服务如 apache时，要做一系列的操作:安装、拷贝、启动服务等。如果要在不同的机器上重复配置此服务，需要重新执行这些操作。 

为了简化这些重复劳动，可以把安装、拷贝、启动服务等操作打包成一个整体,这个整体称为角色，如下图所示。

 

如果想在其他机器上安装并配置apache，只要调用此角色即可,这样就可以实现一次劳动、永久回报的效果。 

一个角色本质上就是一个文件夹，此文件夹名就是角色名，此文件夹中包含许多文件,有的是用于执行各种模块的文件，有的是用于拷贝到被管理主机的jinj2模板文件，有的是定义的变量文件。 

为了防止文件太多太乱，在此角色的文件夹中再创建一个个的子目录，用于存放不同的文件。例如，jinja2模板放在templates目录中，普通的文件放在files目录中，变量文件放在 vars目录中,执行模块的各个task放在tasks目录中等。角色目录中每个子目录的作用总结如下图所示。 

所有的角色都放在一个目录中等待被调用，默认目录为ansible.cfg所在目录的roles目录, 如果要修改路径可以在ansible.cfg中用roles path选项指定。 

本章实验都在/home/lduan/demo5下操作，先把demo5目录创建出来并把 ansible.cfg 和hosts拷贝进去，命令如下。 

[bdqn@rhel01 ~]$ mkdir demo5
[bdqn@rhel01 ~]$ cp ansible.cfg hosts demo5/
[bdqn@rhel01 ~]$ cd demo5/
[bdqn@rhel01 demo5]$ ls
ansible.cfg  hosts
[bdqn@rhel01 demo5]$

修改ansible.cfg，添加 roles path = ./roles，命令如下。 

[bdqn@rhel01 demo5]$ cat ansible.cfg 
[defaults]
inventory = ./hosts
command_warnings = False
roles_path = ./roles

[privilege_escalation]
become=True
become_method=sudo
become_user=root
[bdqn@rhel01 demo5]$

---

创建一个角色 

创建一个名称为apache的角色,命令如下。

[bdqn@rhel01 demo5]$ ansible-galaxy init roles/apache
- Role roles/apache was created successfully
[bdqn@rhel01 demo5]$ ls roles/
apache
[bdqn@rhel01 demo5]$

这里apache就是一个角色,看一下apache 中的内容。

[bdqn@rhel01 demo5]$ ls roles/apache/
defaults  files  handlers  meta  README.md  tasks  templates  tests  vars
[bdqn@rhel01 demo5]$

里面有不少目录，如前面介绍的，这些目录分别用于存放不同的文件。回顾上一章在demo4目录中写好的hand-1.yaml的内容。 

[bdqn@rhel01 demo5]$ cat ../demo4/hand-1.yaml 
---
- hosts: server2
  vars:
    myport: 808
  tasks:
  - name: task1安装httpd
    yum: name=httpd state=installed
  - name: task2拷贝配置文件
    template: src=httpd.conf.j2 dest=/etc/httpd/conf/httpd.conf
    notify: restart httpd1
  - name: task3启动httpd服务
    serice: name=httpd state=restarted
  handlers:
  - name: restart httpd1
    service: name=httpd state=restarted
  - name: restart httpd2
    service: name=httpd state=restarted
[bdqn@rhel01 demo5]$

这个文件中包含了以下内容。

1.  vars中是定义变量的。
2. tasks中的代码是正常要执行的。
3. handler中的代码是被触发才会执行的。
4. httpd.conf.j2是被引用的jinja2模板。

下面把这个YAML文件中的内容拆分放在apache角色的不同目录中，把 tasks下的代码放 在tasks目录中,把 handlers下的代码放在handlers目录中等。

把 tasks的内容写入roles/apache/tasks/main.yml中，内容如下。 

[bdqn@rhel01 demo5]$ cat roles/apache/tasks/main.yml 
---
# tasks file for roles/apache
- name: task1安装httpd
  yum: name=httpd state=installed
- name: task2拷贝配置文件
  template: src=httpd.conf.j2 dest=/etc/httpd/conf/httpd.conf
  notify: restart httpd1
- name: task3启动httpd服务
  service: name=httpd state=started
[bdqn@rhel01 demo5]$ 

把 handlers 的内容写入roles/apache/handlers/main.yml 中，内容如下。 

[bdqn@rhel01 demo5]$ cat roles/apache/handlers/main.yml 
---
# handlers file for roles/apache
- name: restart httpd1
  service: name=httpd state=restarted
- name: restart httpd2
  service: name=httpd state=restarted
[bdqn@rhel01 demo5]$ 

在roles/apache/tasks/main.yml 中，template模块拷贝的文件 http.conf.j2所在的目录是roles、apache/templates，所以先把需要的 httod.conf.i2据贝到 roles/apache/templates中，命令如下。 

[bdqn@rhel01 demo5]$ cp ../demo4/httpd.conf.j2 roles/apache/templates/
[bdqn@rhel01 demo5]$ ls roles/apache/templates/
httpd.conf.j2
[bdqn@rhel01 demo5]$

把变量myport写入roles/apache/vars/main.yml中，命令如下。 

[bdqn@rhel01 demo5]$ cat roles/apache/vars/main.yml 
---
# vars file for roles/apache
myport: 8080
[bdqn@rhel01 demo5]$

这里把myport的值改为8080，原来的值为808，会使 httpd.conf.j2中的端口发生变化， 从而会触发handler。

也可以不在roles/apache/vars/main.yml中定义变量，而是在playbook中定义myport 变量,如果在角色的vars 和 playbook中都定义了myport变量，且变量的值不同，则角色的vars中定义的变量生效。 

下面查看apache这个角色的结构，命令所示。

[bdqn@rhel01 demo5]$ tree roles/apache/
roles/apache/
├── defaults
│   └── main.yml
├── files
├── handlers
│   └── main.yml
├── meta
│   └── main.yml
├── README.md
├── tasks
│   └── main.yml
├── templates
│   └── httpd.conf.j2
├── tests
│   ├── inventory
│   └── test.yml
└── vars
    └── main.yml

8 directories, 9 files
[bdqn@rhel01 demo5]$ 

这样apache这个角色我们就算是最终写好了。

---

使用角色 

角色写好之后，只要在playbook中直接调用即可，在playbook中的roles下调用，调用的语法如下。 

roles:

‐ name: 名称1

  role: rolesname1 

‐ name: 名称2

  role: rolesname2

或者

roles:

  ‐ role: rolesname1

  ‐ role: rolesname2 

下面写一个名称为test-role1.yaml的 playbook，里面调用apache这个角色，命令如下。 

[bdqn@rhel01 demo5]$ cat test-role1.yaml 
---
- hosts: server3
  roles:
  - role: apache
[bdqn@rhel01 demo5]$ 

运行此playbook，命令如下

[bdqn@rhel01 demo5]$ ansible-playbook test-role1.yaml 

PLAY [server3] ********************************************************************************************************************************************

TASK [Gathering Facts] ************************************************************************************************************************************
ok: [server3]

TASK [apache : task1安装httpd] ******************************************************************************************************************************
changed: [server3]

TASK [apache : task2拷贝配置文件] *******************************************************************************************************************************
changed: [server3]

TASK [apache : task3启动httpd服务] ****************************************************************************************************************************
changed: [server3]

RUNNING HANDLER [apache : restart httpd1] *****************************************************************************************************************
changed: [server3]

PLAY RECAP ************************************************************************************************************************************************
server3                    : ok=5    changed=4    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

[bdqn@rhel01 demo5]$ 

这里是运行test-role1.yam1之后的完整结果，可以看到运行的结果与前面运行的结果一 样。变量可以在角色的defaults. vars中定义，也可以在playbook中定义，优先级的顺序是: 角色的vars中定义的变量→playbook中定义的变量→角色的defaults 中定义的变量。 

所以，如果同一个变量同时在这三个地方被定义了，则角色的vars中定义的变量生效。先把在roles/apache/vars/main.yml中定义变量myport 的那行注释掉，这个变量将在 playbook中定义，如下所示。 

[bdqn@rhel01 demo5]$ cat roles/apache/vars/main.yml 
---
# vars file for roles/apache
#myport: 8080
[bdqn@rhel01 demo5]$

修改test-tole1.yam1的内容如下。 

[bdqn@rhel01 demo5]$ cat test-role1.yaml 
---
- hosts: server3
  vars:
    myport: 8080
  roles:
  - role: apache
[bdqn@rhel01 demo5]$ 

运行此playbook，命令如下。

[bdqn@rhel01 demo5]$ ansible-playbook test-role1.yaml 

PLAY [server3] ********************************************************************************************************************************************

TASK [Gathering Facts] ************************************************************************************************************************************
ok: [server3]

TASK [apache : task1安装httpd] ******************************************************************************************************************************
ok: [server3]

TASK [apache : task2拷贝配置文件] *******************************************************************************************************************************
ok: [server3]

TASK [apache : task3启动httpd服务] ****************************************************************************************************************************
ok: [server3]

PLAY RECAP ************************************************************************************************************************************************
server3                    : ok=4    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

[bdqn@rhel01 demo5]$ 

到server3上验证 httpd 开启的端口是多少，命令如下。 

[root@rhel03 ~]# netstat -anpt | grep httpd
tcp6       0      0 :::8080                 :::*                    LISTEN      3794/httpd          
[root@rhel03 ~]# 

可以看到。httpd现在使用的端口是8080

---

系统自带的角色 

除我们自己创建的角色外，系统中也包含了一些内置的角色。

在server上切换到root 用户，然后安装软件包rhel-system-roles.noarch，命令如下。 

[root@rhel01 ~]# yum -y install rhel-system-roles.noarch
正在更新 Subscription Management 软件仓库。
无法读取客户身份

本系统尚未在权利服务器中注册。可使用 subscription-manager 进行注册。

上次元数据过期检查：1 day, 20:34:18 前，执行于 2023年12月25日 星期一 14时30分18秒。
依赖关系解决。
===========================================================================================================================================================
 软件包                                      架构                             版本                                      仓库                          大小
===========================================================================================================================================================
安装:
 rhel-system-roles                           noarch                           1.7.3-2.el8                               aa                           1.3 M
安装依赖关系:
 python3-jmespath                            noarch                           0.9.0-11.el8                              aa                            45 k
 python3-netaddr                             noarch                           0.7.19-8.el8                              aa                           1.5 M

事务概要
===========================================================================================================================================================
安装  3 软件包

总计：2.9 M
安装大小：16 M
下载软件包：
运行事务检查
事务检查成功。
运行事务测试
事务测试成功。
运行事务
  准备中  :                                                                                                                                            1/1 
  安装    : python3-netaddr-0.7.19-8.el8.noarch                                                                                                        1/3 
  安装    : python3-jmespath-0.9.0-11.el8.noarch                                                                                                       2/3 
  安装    : rhel-system-roles-1.7.3-2.el8.noarch                                                                                                       3/3 
  运行脚本: rhel-system-roles-1.7.3-2.el8.noarch                                                                                                       3/3 
  验证    : python3-jmespath-0.9.0-11.el8.noarch                                                                                                       1/3 
  验证    : python3-netaddr-0.7.19-8.el8.noarch                                                                                                        2/3 
  验证    : rhel-system-roles-1.7.3-2.el8.noarch                                                                                                       3/3 
已更新安装的产品。

已安装:
  python3-jmespath-0.9.0-11.el8.noarch               python3-netaddr-0.7.19-8.el8.noarch               rhel-system-roles-1.7.3-2.el8.noarch              

完毕！
[root@rhel01 ~]# 

安装好这个软件包之后，在/usr/share/ansible/roles目录中会有许多角色，如下所示。

[root@rhel01 ~]# ls /usr/share/ansible/roles/
linux-system-roles.certificate      linux-system-roles.network   rhel-system-roles.certificate      rhel-system-roles.network
linux-system-roles.crypto_policies  linux-system-roles.postfix   rhel-system-roles.crypto_policies  rhel-system-roles.postfix
linux-system-roles.ha_cluster       linux-system-roles.selinux   rhel-system-roles.ha_cluster       rhel-system-roles.selinux
linux-system-roles.kdump            linux-system-roles.ssh       rhel-system-roles.kdump            rhel-system-roles.ssh
linux-system-roles.kernel_settings  linux-system-roles.sshd      rhel-system-roles.kernel_settings  rhel-system-roles.sshd
linux-system-roles.logging          linux-system-roles.storage   rhel-system-roles.logging          rhel-system-roles.storage
linux-system-roles.metrics          linux-system-roles.timesync  rhel-system-roles.metrics          rhel-system-roles.timesync
linux-system-roles.nbde_client      linux-system-roles.tlog      rhel-system-roles.nbde_client      rhel-system-roles.tlog
linux-system-roles.nbde_server      linux-system-roles.vpn       rhel-system-roles.nbde_server      rhel-system-roles.vpn
[root@rhel01 ~]# 

下面演示rhel-system-roles.selinux这个角色，使用bdqn用户把rhel-system-roles.selinux拷贝到demo5下的roles目录中,命令如下。 

[bdqn@rhel01 demo5]$ cp -r /usr/share/ansible/roles/rhel-system-roles.selinux/ roles/
[bdqn@rhel01 demo5]$ ls roles/
apache  rhel-system-roles.selinux
[bdqn@rhel01 demo5]$

前面在讲解handlers时，为httpd 配置了其他端口808，但是因为SELinux的问题，我们临时把 SELinux关闭了，如下所示。 

[bdqn@rhel01 demo5]$ getenforce 
Permissive
[bdqn@rhel01 demo5]$

可以看到，server2上 SELinux的模式是Permissive。下面我们利用角色rhel-system-roles.selinux把 server2上 SELinux的模式改为Enforcing。 

查看角色rhel-system-roles.selinux中默认的变量，命令如下。 

[bdqn@rhel01 demo5]$ cat roles/rhel-system-roles.selinux/defaults/main.yml 
---
selinux_state: null
selinux_policy: null

# Set up empty lists for SELinux changes.
selinux_booleans: []
selinux_fcontexts: []
selinux_logins: []
selinux_ports: []
selinux_restore_dirs: []

# Purging local modifications is disabled by default.
selinux_all_purge: no
selinux_booleans_purge: no
selinux_fcontexts_purge: no
selinux_ports_purge: no
selinux_logins_purge: no
[bdqn@rhel01 demo5]$ 

其中第一个变量是selinux state，这个变量用于指定SELinux的模式，默认值设置为了null。可以在playbook中定义这个变量，覆盖这个默认的变量值，命令如下。 

[bdqn@rhel01 demo5]$ cat test-role2.yaml 
---
- hosts: server2
  vars:
    selinux_state: enforcing
  roles:
  - role: rhel-system-roles.selinux
[bdqn@rhel01 demo5]$ 

运行此playbook，命令如下。 

[bdqn@rhel01 demo5]$ ansible-playbook test-role2.yaml 

PLAY [server2] ********************************************************************************************************************************************

TASK [Gathering Facts] ************************************************************************************************************************************
ok: [server2]

TASK [rhel-system-roles.selinux : Install SELinux python2 tools] ******************************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Install SELinux python3 tools] ******************************************************************************************
ok: [server2]

TASK [rhel-system-roles.selinux : refresh facts] **********************************************************************************************************
ok: [server2]

TASK [rhel-system-roles.selinux : Install SELinux tool semanage] ******************************************************************************************
ok: [server2]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if enabled] *********************************************************************************
ok: [server2]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if disabled] ********************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Set ansible facts if needed] ********************************************************************************************
ok: [server2]

TASK [rhel-system-roles.selinux : Fail if reboot is required] *********************************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : debug] ******************************************************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Drop all local modifications] *******************************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Purge all SELinux boolean local modifications] **************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Purge all SELinux file context local modifications] *********************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Purge all SELinux port local modifications] *****************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Purge all SELinux login local modifications] ****************************************************************************
skipping: [server2]

TASK [rhel-system-roles.selinux : Set SELinux booleans] ***************************************************************************************************

TASK [rhel-system-roles.selinux : Set SELinux file contexts] **********************************************************************************************

TASK [rhel-system-roles.selinux : Restore SELinux labels on filesystem tree] ******************************************************************************

TASK [rhel-system-roles.selinux : Restore SELinux labels on filesystem tree in check mode] ****************************************************************

TASK [rhel-system-roles.selinux : Set an SELinux label on a port] *****************************************************************************************

TASK [rhel-system-roles.selinux : Set linux user to SELinux user mapping] *********************************************************************************

TASK [rhel-system-roles.selinux : Get SELinux modules facts] **********************************************************************************************
ok: [server2]

TASK [rhel-system-roles.selinux : include_tasks] **********************************************************************************************************
skipping: [server2]

PLAY RECAP ************************************************************************************************************************************************
server2                    : ok=7    changed=0    unreachable=0    failed=0    skipped=16   rescued=0    ignored=0   

[bdqn@rhel01 demo5]$ 

到 server2上查看验证,命令如下。 

[root@rhel02 ~]# getenforce 
Enforcing
[root@rhel02 ~]# 

这里已经把 server2上 SELinux的模式改为了 Enforcing。 

---

修改端口上下文 

在介绍handler 时，可以通过变量myport随意修改端口。但是端口上下文不对，httpd是启动不起来的,所以当初把 server2上的 SELinux 临时关闭了。 

下面介绍如何使用角色rhel-system-roles.selinux修改端口上下文。 

查看角色 rhel-system-roles.selinux中默认的变量，命令如下。 

[bdqn@rhel01 demo5]$ cat roles/rhel-system-roles.selinux/defaults/main.yml 
---
selinux_state: null
selinux_policy: null

# Set up empty lists for SELinux changes.
selinux_booleans: []
selinux_fcontexts: []
selinux_logins: []
selinux_ports: []
selinux_restore_dirs: []

# Purging local modifications is disabled by default.
selinux_all_purge: no
selinux_booleans_purge: no
selinux_fcontexts_purge: no
selinux_ports_purge: no
selinux_logins_purge: no
[bdqn@rhel01 demo5]$ 

这里变量selinux_ports是一个列表，里面的元素需要定义多个变量，但是变量名是什么我们现在还不清楚。 

用vim 编辑器打开roles/rhel-system-roles.selinux/tasks/main.yml，大概第116行是用于定义端口上下文的,命令如下。 

[bdqn@rhel01 demo5]$ vim roles/rhel-system-roles.selinux/tasks/main.yml 
114 - name: Set an SELinux label on a port
115   seport:
116     ports: "{{ item.ports }}"
117     proto: "{{ item.proto | default('tcp') }}"
118     setype: "{{ item.setype }}"
119     state: "{{ item.state | default('present') }}"
120   with_items: "{{ selinux_ports }}"

这里只截取了部分代码，可以看到循环列表selinux ports中的4个变量。其中 proto和 state有默认值，ports和setvpe没有默认值，所以我们在定义列表selinux ports时，至少要在列表的元素中定义ports和 setype这两个变量。 

修改test-role1.yaml的内容如下。 

[bdqn@rhel01 demo5]$ cat test-role1.yaml 
---
- hosts: server3
  vars:
    myport: 808
    selinux_ports:
    - ports: "{{myport}}"
      setype: http_port_t
  roles:
  - role: rhel-system-roles.selinux
  - role: apache
[bdqn@rhel01 demo5]$ 

这里定义了一个变量myport的值为808，然后定义了一个列表selinux_ports。这个列表中只有一个元素，元素中有两个变量ports和 setype。其中 ports这个变量引用myport 的 值，记得要用双引号引起来,setype的值被设置为了http_port_t。 

运行此 playbook，命令如下。 

[bdqn@rhel01 demo5]$ ansible-playbook test-role1.yaml

然后到server3上检查httpd所使用的端口,命令如下。 

[root@rhel03 ~]# netstat -anpt | grep httpd
tcp6       0      0 :::808                  :::*                    LISTEN      7926/httpd          
[root@rhel03 ~]# 

可以看到，httpd此时使用的端口是808。

---

使用 ansible Galaxy 

ansible Galaxy是 ansible的官方社区中心，这里存有大量的ansible所能用到的角色。在 浏览器中打开这个站点(https://galaxy.ansible.com）之后，单击左侧的搜索图标，首页如下图所示。

 进入搜索页面,如下所示。

在搜索框中输入我们要查找的角色名，例如，输人“vsftpd”之后按【Enter】键，会看到一系列和vstpd相关的角色，如下所示。 

 这里单击第一个，可以看到安装方法，复制这个命令即可把这个角色安装在机器上，如下图所示。 

在国内访问国外网站的速度会有些慢，所以为了练习方便，可以使用如下链接的角色： ftp://ftp.rhce.cc/auto/web.tar.gz。 

下面我们安装这个角色,命令如下。

[bdqn@rhel01 demo5]$ ansible-galaxy install ftp://ftp.rhce.cc/auto/web.tar.gz
- downloading role from ftp://ftp.rhce.cc/auto/web.tar.gz
- extracting web to /home/bdqn/demo5/roles/web
- web was installed successfully
[bdqn@rhel01 demo5]$ 

这样就把这个角色安装到当前目录的roles目录中了,如下所示。 

[bdqn@rhel01 demo5]$ ls roles/
apache  rhel-system-roles.selinux  web
[bdqn@rhel01 demo5]$ 

这里多的一个web文件就是一个叫作web的角色，如果要安装到其他目录，可以加-p /path选项指定安装目录。例如，安装在/opt目录中，可以用如下命令。 

[bdqn@rhel01 demo5]$ ansible-galaxy install ftp://ftp.rhce.cc/auto/web.tar.gz -p /opt

除这种安装方式外，还可以把要安装的角色写入一个 YAML文件中。

下面创建一个 aa.yaml，内容如下。 

[bdqn@rhel01 demo5]$ cat aa.yaml 
---
- src: ftp://ftp.rhce.cc/auto/web.tar.gz
  name: webx
[bdqn@rhel01 demo5]$ 

这里src指定了角色所在的 URL,name指定了在本地安装好之后角色的名称为webx。下面开始利用aa,yaml这个文件安装角色,命令如下。 

[bdqn@rhel01 demo5]$ ansible-galaxy install -r aa.yaml -p roles/
- downloading role from ftp://ftp.rhce.cc/auto/web.tar.gz
- extracting webx to /home/bdqn/demo5/roles/webx
- webx was installed successfully
[bdqn@rhel01 demo5]$ 

这里显示安装成功了，其中-p roles可以不写，不写就是当前目录下的roles目录。查看 roles中的内容,命令如下。 

[bdqn@rhel01 demo5]$ ls roles/
apache  rhel-system-roles.selinux  web  webx
[bdqn@rhel01 demo5]$ 

可以看到,已经安装成功了,安装的角色被命名为了webx。