ansible的系统角色的使用和角色结构创建方式

1. 时间同步角色示例

​ RHEL系统中时间同步角色的playbook是：rhel-system-rolses.timesync

​ 首次使用时间同步角色可以在rhel-system-roles.timesync/README.md查看使用的帮助文档；里面包含使用的示例

演示实例：

[root@ansible ansible]# cat playbook/time.yml 
---
- name: time
  hosts: all
  vars:
    timesync_ntp_servers:
      - hostname: time1.aliyun.com
        iburst: yes
    timezone: UTC

  roles:
    - rhel-system-roles.timesync

2. SELINUX角色示例

rhel-system-roles.selinux角色可以简化SELinux配置设置的管理。它通过利用SELinux相关的Ansible模块来实施。与自行编写任务相比，使用此角色的优势是它能让用户摆脱编写这些任务的职责。取而代之，用户将为角色提供变量以对其进行配置，且角色中维护的代码将确保应用用户需要的SELinux配置。

此角色可以执行的任务包括：

• 设置enforcing或permissive模式
• 对文件系统层次结构的各部分运行restorecon
• 设置SELinux布尔值
• 永久设置SELinux文件上下文
• 设置SELinux用户映射

2.1 调用SELinux角色

有时候，SELinux角色必须确保重新引导受管主机，以便能够完整应用其更改。但是，它本身从不会重新引导主机。如此一来，用户便可以控制重新引导的处理方式。

其工作方式为，该角色将一个布尔值变量selinux_reboot_required设为True，如果需要重新引导，则失败。你可以使用block/rescure结构来从失败中恢复，具体操作为：如果该变量未设为true，则让play失败，如果值是true，则重新引导受管主机并重新运行该角色。Play中的块看起来应该类似于：

- name: Apply SELinux role
  block:
    - include_role:
      name: rhel-system-roles.selinux
  rescue:
    - name: Check for failure for other reasons than required reboot
      fail:
      when: not selinux_reboot_required
      
    - name: Restart managed host
      reboot:
      
    - name: Reapply SELinux role to complete changes
      include_role:
        name: rhel-system-roles.selinux

2.2 配置SELinux角色

用于配置rhel-system-roles.selinux角色的变量的详细记录位于其README.md文件中。以下示例演示了使用此角色的一些方法。

selinux_state变量设置SELinux的运行模式。它可以设为enforcing、permissive或disabled。如果未设置，则不更改模式。

selinux_state: enforcing

selinux_booleans变量取一个要调整的SELinux布尔值的列表作为值。列表中的每一项是变量的散列/字典：布尔值的name、state（它应是on还是off），以及该设置是否应在重新引导后persistent。

本例将httpd_enable_homedirs永久设为on：

selinux_booleans:
  - name: 'httpd_enable_homedirs'
    state: 'on'
    persistent: 'yes'

selinux_fcontext变量取一个要永久设置（或删除）的文件上下文的列表作为值。它的工作方式与selinux fcontent命令非常相似。

以下示例确保策略中包含一条规则，用于将/srv/www下所有文件的默认SELinux类型设为httpd_sys_content_t。

selinux_fcontexts:
  - target: '/srv/www(/.*)?'
    setype: 'httpd_sys_content_t'
    state: 'present'

selinux_restore_dirs变量指定要对其运行restorecon的目录的列表：

selinux_restore_dirs:
  - /srv/www

selinux_ports变量取应当具有特定SELinux类型的端口的列表作为值。

selinux_ports:
  - ports: '82'
    setype: 'http_port_t'
    proto: 'tcp'
    state: 'present'

3.角色结构创建方式

3.1 角色创建流程

​ 在Ansible中创建角色不需要特别的开发工具。创建和使用角色包含三个步骤：

1. 创建角色目录结构
2. 定义角色内容
3. 在playbook中使用角色

3.2 角色目录创建说明

​ 默认情况下，Ansible在Ansible Playbook所在目录的roles子目录中查找角色。这样，用户可以利用playbook和其他支持文件存储角色

​ 如果Ansible无法在该位置找到角色，它会按照顺序在Ansible配置设置roles_path所指定的目录中查找

• 此变量包含要搜索的目录的冒号分隔列表。此变量的默认值为：

  ~/.ansible/roles:/usr/share/ansible/roles:/etc/ansible/roles
  

• 例如：在

  /etc/ansible/ansible.cfg

  文件中添加

  *roles_path（以冒号分隔）*

  [root@localhost ~]# grep roles_path /etc/ansible/ansible.cfg 
  roles_path    = ~/.ansible/roles:/usr/share/ansible/roles:/etc/ansible/roles　　
  

​ 这允许用户将角色安装到由多个项目共享的系统上。

• 例如，用户可能将自己的角色安装在自己的主目录下的**~/.ansible/roles子目录中，而系统可能将所有用户的角色安装在/usr/share/ansible/roles**目录中

3.3 角色各目录说明

​ README.md提供人类可读的基本角色描述、有关如何使用该角色的文档和示例，以及其发挥作用所需要满足的任何非Ansible要求

​ meta子目录包含一个main.yml文件，该文件指定有关模块的作者、许可证、兼容性和依赖项的信息

​ files子目录包含固定内容的文件，而templates子目录则包含使用时可由角色部署的模板

​ 其他子目录中可以包含main.yml文件，它们定义默认的变量值、处理程序、任务、角色元数据或变量，具体取决于所处的子目录

注意：

如果某一子目录存在但为空，如本例中的handlers，它将被忽略。如果某一角色不使用功能，则其子目录可以完全省略。例如，本例中的vars子目录已被省略

4. 创建角色框架

4.1 角色框架构建

​ ansible-galaxy命令行工具可用于管理Ansible角色，包括新角色的创建。用户可以运行ansible-galaxy init来创建新角色的目录结构（init：初始化）

​ 指定角色的名称作为命令的参数，该命令在当前工作目录中为新角色创建子目录

演示实例：

​ 创建一个httpd角色

[root@ansible ansible]# ls
ansible.cfg  inventory  playbook  roles
[root@ansible ansible]# ansible-galaxy init roles/httpd
- Role roles/httpd was created successfully
[root@ansible ansible]# ls roles/
httpd
[root@ansible ansible]# tree roles/httpd/
roles/httpd/
├── defaults
│   └── main.yml
├── files
├── handlers
│   └── main.yml
├── meta
│   └── main.yml
├── README.md
├── tasks
│   └── main.yml
├── templates
├── tests
│   ├── inventory
│   └── test.yml
└── vars
    └── main.yml

8 directories, 8 files
[root@ansible ansible]#