Ansible角色

阿干tkl

已于 2022-06-16 22:17:22 修改

阅读量442

点赞数

文章标签： linux 运维服务器

于 2022-06-16 22:16:19 首次发布

本文链接：https://blog.csdn.net/m0_58805648/article/details/125324228

版权

1. 创建角色

角色创建流程
在Ansible中创建角色不需要特别的开发工具。创建和使用角色包含三个步骤：

创建角色目录结构
定义角色内容
在playbook中使用角色

1.1 创建角色目录结构

默认情况下，Ansible在Ansible Playbook所在目录的roles子目录中查找角色。这样，用户可以利用playbook和其他支持文件存储角色。

如果Ansible无法在该位置找到角色，它会按照顺序在Ansible配置设置roles_path所指定的目录中查找。此变量包含要搜索的目录的冒号分隔列表。此变量的默认值为：

~/.ansible/roles:/usr/share/ansible/roles:/etc/ansible/roles

这允许用户将角色安装到由多个项目共享的系统上。例如，用户可能将自己的角色安装在自己的主目录下的~/.ansible/roles子目录中，而系统可能将所有用户的角色安装在/usr/share/ansible/roles目录中。

每个角色具有自己的目录，采用标准化的目录结构。例如，以下目录结构包含了定义motd角色的文件。

[root@localhost ~]# tree roles/
roles/
└── motd
    ├── defaults
    │   └── main.yml
    ├── files
    ├── handlers
    ├── meta
    │   └── main.yml
    ├── tasks
    │   └── main.yml
    └── templates
        └── motd.j2

README.md提供人类可读的基本角色描述、有关如何使用该角色的文档和示例，以及其发挥作用所需要满足的任何非Ansible要求。
meta子目录包含一个main.yml文件，该文件指定有关模块的作者、许可证、兼容性和依赖项的信息。
files子目录包含固定内容的文件，而templates子目录则包含使用时可由角色部署的模板。
其他子目录中可以包含main.yml文件，它们定义默认的变量值、处理程序、任务、角色元数据或变量，具体取决于所处的子目录。

如果某一子目录存在但为空，如本例中的handlers，它将被忽略。如果某一角色不使用功能，则其子目录可以完全省略。例如，本例中的vars子目录已被省略。

1.2 创建角色框架

可以使用标准Linux命令创建新角色所需的所有子目录和文件。此外，也可以通过命令行实用程序来自动执行新角色创建过程。

ansible-galaxy命令行工具可用于管理Ansible角色，包括新角色的创建。用户可以运行ansible-galaxy init来创建新角色的目录结构。指定角色的名称作为命令的参数，该命令在当前工作目录中为新角色创建子目录。

[root@localhost playbook-project]# cd roles/
[root@localhost roles]# ansible-galaxy init my_new_role
- Role my_new_role was created successfully
[root@localhost roles]# ls my_new_role/
defaults  files  handlers  meta  README.md  tasks  templates  tests  vars

1.3 定义角色内容

创建目录结构后，用户必须编写角色的内容。ROLENAME/tasks/main.yml任务文件是一个不错的起点，它是由角色运行的主要任务列表。

下列tasks/main.yml文件管理受管主机上的/etc/motd文件。它使用template模块将名为motd.j2的模板部署到受管主机上。因为template模块是在角色任务而非playbook任务内配置的，所以从角色的templates子目录检索motd.j2模板。

[root@localhost ~]# cat roles/motd/tasks/main.yml
---
# tasks file for motd

- name: deliver motd file
  template:
    src: motd.j2
    dest: /etc/motd
    owner: root
    group: root
    mode: 0444

下列命令显示motd角色的motd.j2模板的内容。它引用了Ansible事实和system_owner变量。

[root@localhost ~]# cat roles/motd/templates/motd.j2
This is the system {{ ansible_facts['hostname'] }}.

Today's date is: {{ ansible_facts['date_time']['date'] }}.

Only use this system with permission.
You can ask {{ system_owner }} for access.

该角色为system_owner变量定义一个默认值。角色目录结构中的defaults/main.yml文件就是设置这个值的位置。

下列defaults/main.yml文件将system_owner变量设置为user@host.example.com。此电子邮件地址将写入到该角色所应用的受管主机上的/etc/motd文件中。

[root@localhost ~]# cat roles/motd/defaults/main.yml
---
system_owner: user@host.example.com

1.4 角色内容开发的推荐做法

角色允许以模块化方式编写playbook。为了最大限度地提高新开发角色的效率，请考虑在角色开发中采用以下推荐做法：

在角色自己的版本控制存储库中维护每个角色。Ansible很适合使用基于git的存储库。
角色存储库中不应存储敏感信息，如密码或SSH密钥。敏感值应以变量的形式进行参数化，其默认值应不敏感。使用角色的playbook负责通过Ansible Vault变量文件、环境变量或其他ansible-playbook选项定义敏感变量。
使用ansible-galaxy init启动角色，然后删除不需要的任何目录和文件。
创建并维护README.md和meta/main.yml文件，以记录用户的角色的用途、作者和用法。
让角色侧重于特定的用途或功能。可以编写多个角色，而不是让一个角色承担许多任务。
经常重用和重构角色。避免为边缘配置创建新的角色。如果现有角色能够完成大部分的所需配置，请重构现有角色以集成新的配置方案。使用集成和回归测试技术来确保角色提供所需的新功能，并且不对现有的playbook造成问题。

1.5 定义角色依赖项

角色依赖项使得角色可以将其他角色作为依赖项包含在内。例如，一个定义文档服务器的角色可能依赖于另一个安装和配置web服务器的角色。依赖关系在角色目录层次结构中的meta/main.yml文件内定义。

以下是一个示例meta/main.yml文件。

dependencies:
  - role: apache
    port: 8080
  - role: postgres
    dbname: serverlist
    admin_user: felix

默认情况下，角色仅作为依赖项添加到playbook中一次。若有其他角色也将它作为依赖项列出，它不会再次运行。此行为可以被覆盖，将meta/main.yml文件中的allow_duplicates变量设置为yes即可。

1.6 在playbook中使用角色

要访问角色，可在play的roles:部分引用它。下列playbook引用了motd角色。由于没有指定变量，因此将使用默认变量值应用该角色。

[root@localhost ~]# cat use-motd-role.yml
---
- name: use motd role playbook
  hosts: remote.example.com
  remote_user: devops
  become: true
  roles:
    - motd

执行该playbook时，因为角色而执行的任务可以通过角色名称前缀来加以识别。

[root@localhost ~]# ansible-playbook -i inventory use-motd-role.yml

上述情形假定motd角色位于roles目录中。

1.7 通过变量更改角色的行为

编写良好的角色利用默认变量来改变角色行为，使之与相关的配置场景相符。这有助于让角色变得更为通用，可在各种不同的上下文中重复利用。

如果通过以下方式定义了相同的变量，则角色的defaults目录中定义的变量的值将被覆盖：

在清单文件中定义，作为主机变量或组变量
在playbook项目的group_vars或host_vars目录下的YAML文件中定义
作为变量嵌套在play的vars关键字中定义
在play的roles关键字中包含该角色时作为变量定义

下例演示了如何将motd角色与system_owner角色变量的不同值搭配使用。角色应用到受管主机时，指定的值将取代变量引用。

[root@localhost ~]# cat use-motd-role.yml
---
- name: use motd role playbook
  hosts: remote.example.com
  remote_user: devops
  become: true
  vars:
    system_owner: someone@host.example.com
  roles:
    - role: motd

以这种方式定义时，system_owner变量将替换同一名称的默认变量的值。嵌套在vars关键字内的任何变量定义不会替换在角色的vars目录中定义的同一变量的值。

下例也演示了如何将motd角色与system_owner角色变量的不同值搭配使用。指定的值将替换变量引用，不论是在角色的vars还是defaults目录中定义。

[root@localhost ~]# cat use-motd-role.yml
---
- name: use motd role playbook
  hosts: remote.example.com
  remote_user: devops
  become: true
  roles:
    - role: motd
      system_owner: someone@host.example.com

2 使用ansible galaxy部署角色

2.1 介绍ansible galaxy

Ansible Galaxy https://galaxy.ansible.com/是一个Ansible内容公共资源库，这些内容由许许多多Ansible管理员和用户编写。它包含数千个Ansible角色，具有可搜索的数据库，可帮助Ansible用户确定或许有助于他们完成管理任务的角色。Ansible Galaxy含有面向新的Ansible用户和角色开发人员的文档和视频链接。

在这里插入图片描述

此外，用于从Ansible Galaxy获取和管理角色的ansible-galaxy命令也可用于为您的项目获取和管理自有的git存储库中的角色。

2.1.1 获取Ansible Galaxy帮助

通过Ansible Galaxy网站主页上的Documenttaion标签，可以进入描述如何使用Ansible Galaxy的页面。其中包含了介绍如何从Ansible Galaxy下载和使用角色的内容。该页面也提供关于如何开发角色并上传到Ansible Galaxy的说明。

2.1.2 浏览Ansible Galaxy中的角色

通过Ansible Galaxy网站主页上左侧的Search标签，用户可以访问关于Ansible Galaxy上发布的角色的信息。用户可以使用标记通过角色的名称或通过其他角色属性来搜索Ansible角色。结果按照Best Match分数降序排列，此分数依据角色质量、角色受欢迎程度和搜索条件计算而得。

2.2 Ansible Galaxy命令行工具

2.2.1 从命令行搜索角色

ansible-galaxy search子命令在Ansible Galaxy中搜索角色。如果以参数形式指定了字符串，则可用于按照关键字在Ansible Galaxy中搜索角色。用户可以使用–author、–platforms和–galaxy-tags选项来缩小搜索结果的范围。也可以将这些选项用作主要的搜索键。例如，命令ansible-galaxy search --author geerlingguy将显示由用户geerlingguy提交的所有角色。

结果按照字母顺序显示，而不是Best Match分数降序排列。下例显示了包含redis并且适用于企业Linux(EL)平台的角色的名称。

ansible-galaxy search 'redis' --platforms EL

ansible-galaxy info子命令显示与角色相关的更多详细信息。Ansible Galaxy从多个位置获取这一信息，包括角色的meta/main.yml文件及其GigHub存储库。以下命令显示了Ansible Galaxy提供的geerlingguy.redis角色的相关信息。

ansible-galaxy info geerlingguy.redis

2.2.2 从Ansible Galaxy安装角色

ansible-galaxy install子命令从Ansible Galaxy下载角色，并将它安装到控制节点本地。

默认情况下，角色安装到用户的roles_path下的第一个可写目录中。根据为Ansible设置的默认roles_path，角色通常将安装到用户的~/.ansible/roles目录。默认的roles_path可能会被用户当前Ansible配置文件或环境变量ANSIBLE_ROLES_PATH覆盖，这将影响ansible-galaxy的行为。

用户可以通过使用-p DIRECTORY选项，指定具体的目录来安装角色。

在下例中，ansible-galaxy将geerlingguy.redis角色安装到playbook项目的roles目录中。命令的当前工作目录是/opt/project。

ansible-galaxy install geerlingguy.redis -p roles/

2.2.3 使用要求文件安装角色

可以使用ansible-galaxy，根据某一文本文件中的定义来安装一个角色列表。例如，如果用户的一个playbook需要安装特定的角色，可以在项目目录中创建一个roles/requirements.yml文件来指定所需的角色。此文件充当playbook项目的依赖项清单，使得playbook的开发和调试能与任何支持角色分开进行。

例如，一个用于安装geerlingguy.redis的简单requirements.yml可能类似于如下：

- src: geerlingguy.redis
  version: "1.5.0"

src属性指定角色的来源，本例中为来自Ansible Galaxy的geerlingguy.redis角色。version属性是可选的，指定要安装的角色版本，本例中为1.5.0。

若要使用角色文件来安装角色，可使用-r REQUIREMENTS-FILE选项：

ansible-galaxy install -r roles/requirements.yml -p roles

用户可以使用ansible-galaxy来安装不在Ansible Galaxy中的角色。可以在私有的Git存储库或Web服务器上托管自有的专用或内部角色。下例演示了如何利用各种远程来源配置要求文件。

[root@localhost project]# cat roles/requirements.yml
# from Ansible Galaxy, using the latest version
- src: geerlingguy.redis

# from Ansible Galaxy, overriding the name and using a specific version
- src: geerlingguy.redis
  version: "1.5.0"
  name: redis_prod
  
# from any Git-based repository, using HTTPS
- src: https://gitlab.com/guardianproject-ops/ansible-nginx-acme.git
  scm: git
  version: 56e00a54
  name: nginx-acme
  
# from any Git-based repository, using SSH
- src: git@gitlab.com:guardianproject-ops/ansible-nginx-acme.git
  scm: git
  version: master
  name: nginx-acme-ssh
  
# from a role tar ball, given a URL
# supports 'http', 'https', or 'file' protocols
- src: file:///opt/local/roles/myrole.tar
  name: myrole

src关键字指定Ansible Galaxy角色名称。如果角色没有托管在Ansible Galaxy中，则src关键字将指明角色的URL。

如果角色托管在来源控制存储库中，则需要使用scm属性。ansible-galaxy命令能够从基于git或mercurial的软件存储库下载和安装角色。基于Git的存储库要求scm值为git，而托管在Mercurial存储库中的角色则要求值为hg。如果角色托管在Ansible Galaxy中，或者以tar存档形式托管在Web服务器上，则省略scm关键字。

name关键字用于覆盖角色的本地名称。version关键字用于指定角色的版本。version关键字可以是与严自角色的软件存储库的分支、标记或提交哈希对应的任何值。

若要安装与playbook项目关联的角色，可执行ansible-galaxy install命令：

[root@localhost project]# ansible-galaxy install -r roles/requirements.yml -p roles

2.2.4 管理下载的角色

ansible-galaxy命令也可管理本地的角色，如位于playbook项目的roles目录中的角色。ansible-galaxy list子命令列出本地找到的角色。

ansible-galaxy list

可以使用ansible-galaxy remove子命令本地删除角色。

ansible-galaxy remove nginx-acme-ssh
ansible-galaxy list

在playbook中使用下载并安装的角色的方式与任何其他角色都一样。在roles部分中利用其下载的角色名称来加以引用。如果角色不在项目的roles目录中，则将检查roles_path来查看角色是否安装在了其中一个目录中，将使用第一个匹配项。以下use-role.ymlplaybook引用了redis_prod和geerlingguy.redis角色：

[root@localhost project]# cat use-role.yml
---
- name: use redis_prod for prod machines
  hosts: redis_prod_servers
  remote_user: devops
  become: True
  roles:
    - redis_prod

- name: use geerlingguy.redis for Dev machines
  hosts: redis_dev_servers
  remote_user: devops
  become: True
  roles:
    - geerlingguy.redis

此playbook使不同版本的geerlingguy.redis角色应用到生产和开发服务器。借助这种方式可以对角色更改进行系统化测试和集成，然后再部署到生产服务器上。如果角色的近期更改造成了问题，则借助版本控制来开发角色，就能回滚到过去某一个稳定的角色版本。

3.案例：

[root@control ~]# mkdir web #创建web项目
[root@control ~]# cd web/
[root@control web]# mkdir roles  #创建角色目录
[root@control web]# cd roles/
#创建新结构目录角色取名httpd
[root@control roles]# ansible-galaxy init httpd 
- Role httpd was created successfully
[root@control roles]# ls
httpd
#整体架构
[root@control ~]# tree web/
web/
└── roles
    └── httpd
        ├── defaults
        │   └── main.yml
        ├── files
        ├── handlers
        │   └── main.yml
        ├── meta
        │   └── main.yml
        ├── README.md
        ├── tasks
        │   └── main.yml
        ├── templates
        ├── tests
        │   ├── inventory
        │   └── test.yml
        └── vars
            └── main.yml

10 directories, 8 files
[root@control ~]# 
#把配置文件和清单文件复制到web
[root@control ~]# cd web/
[root@control web]# cp /opt/playbook/httpd/ansible.cfg .
[root@control web]# cp /opt/playbook/httpd/inventory .
[root@control web]# ls
ansible.cfg  inventory  roles
#清单文件的内容
[root@control web]# cat inventory 
[webservers]
web.example.com
# ping 是否能通信
[root@control web]# ansible all -m ping
web.example.com | SUCCESS => {
    "ansible_facts": {
        "discovered_interpreter_python": "/usr/libexec/platform-python"
    },
    "changed": false,
    "ping": "pong"
}

#进入角色目录里面开始写角色
[root@control web]# cd roles
[root@control roles]# cd httpd/
[root@control httpd]# ls
defaults  files  handlers  meta  README.md  tasks  templates  tests  vars
[root@control httpd]# 
# 演示yum安装httpd
#先写任务
[root@control httpd]# cat tasks/main.yml 
---
- name: install httpd #下载httpd
  yum:
    name: httpd
    state: present
    
#确保httpd.conf 有这一行"ServerName {{ web_domain }}:{{ httpd_port }}"
- name: config httpd.conf 
  template:
    src: httpd.conf.j2
    dest: /etc/httpd/conf/httpd.conf
  notify:  #更改httpd主配置文件之后重启
    - restart httpd service

- name: config httpd chosts  #提供虚拟主机
  template:
    src: vhosts.conf.j2
    dest: /etc/httpd/conf.d/vhosts.conf
  notify:  #更改httpd.conf文件后重启
    - restart httpd service

- name: stop firewalld # 关闭防火墙、并开机不自启
  service:
    name: firewalld
    state: stopped
    enabled: no

#它不是默认端口80所以需要关闭SElinux
- name: stop SElinux
  lineinfile:
    path: /etc/selinux/config
    regexp: '^SELINUX='
    line: SELINUX=disabled #确保selinux有这一行（就是关闭）

#启动httpd、并开机自启
- name: start httpd service
  service:
    name: httpd
    state: started
    ebabled: yes

#在这个defaults下面写是可以改变的（vars是写固定的）
[root@control httpd]# cat defaults/main.yml 
---
web_domain: www.exmpale.com
httpd_port: 80

#模板文件
[root@control httpd]# cat templates/vhosts.conf.j2 
<VirtualHost *:{{ httpd_port}}>
    DocumentRoot "/var/www/html" 
    ServerName {{ web_domain }}
    ErrorLog "/var/log/httpd/{{ web_domain }}-error_log"
    CustomLog "/var/log/httpd/{{ web_domain }}-access_log" common
</VirtualHost>

#复制受管主机的主配置文件到template
[root@control templates]# scp web.example.com:/etc/httpd/conf/httpd.conf .
[root@control templates]# mv httpd.conf{,.j2}
[root@control templates]# ls
httpd.conf.j2  vhosts.conf.j2
[root@control templates]# vim httpd.conf.j2 
....省略
ServerName {{ web_domain }}:{{ httpd_port }}
....省略
Listen {{ httpd_port }}
....省略

# 处理程序
[root@control httpd]# cat handlers/main.yml 
---
- name: restart httpd service
  service:
    name: httpd
    state: restarted

[root@control web]# pwd
/root/web
[root@control web]# ls
ansible.cfg  inventory  main.yml  roles
[root@control web]# cat main.yml 
---
- hosts: webservers
  vars: #不在这里写找默认地址
    httpd_port: 8080 
    web_domain: web02.example.com
  roles:
    - httpd
[root@control web]# 

#运行playbook （可以先-C 空跑一下）
[root@control web]# ansible-playbook main.yml 

PLAY [webservers] **************************************************************

TASK [install httpd] ***********************************************************
ok: [web.example.com]

TASK [config httpd.conf] *******************************************************
ok: [web.example.com]

TASK [config httpd chosts] *****************************************************
ok: [web.example.com]

TASK [httpd : stop firewalld] **************************************************
ok: [web.example.com]

TASK [httpd : stop SElinux] ****************************************************
changed: [web.example.com]

TASK [start httpd service] *****************************************************
changed: [web.example.com]

PLAY RECAP *********************************************************************
web.example.com            : ok=6    changed=2    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

[root@control web]#

3.1受管主机操作

#查看是否关闭防火墙、并开机不自启
[root@web ~]# systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; v>
   Active: inactive (dead)
     Docs: man:firewalld(1)
.....省略
#查看是否关闭SElinux
[root@web ~]# cat /etc/selinux/config 
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
...省略

#查看httpd是否已启动
[root@web ~]# ss -antl
State   Recv-Q  Send-Q   Local Address:Port   Peer Address:Port  Process  
LISTEN  0       128            0.0.0.0:22          0.0.0.0:*              
LISTEN  0       128               [::]:22             [::]:*              
LISTEN  0       128                  *:8080              *:*              
[root@web ~]#

在这里插入图片描述