包含与导入、描述角色结构、系统角色的使用

2023-12-22 20:18:45

包含与导入

1、管理大型的playbook

如果playbook很长或很复杂，我们可以将其分成较小的文件以便于管理
可采用模块化方式将多个playbook组合为一个主要playbook，或者将文件中的任务列表插入play

2、包含或导入文件

Ansible可以使用两种操作将内容带入playbook。可以包含内容，也可以导入内容
包含内容是一个动态操作。在playbook运行期间，Ansible会在内容到达时处理所包含的内容
导入内容是一个静态操作。在运行开始之前，Ansible在最初解析playbook时预处理导入的内容

3、导入playbook

import_playbook指令允许将包含play列表的外部文件导入playbook。换句话说，可以把一个或多个额外playbook文件导入到主playbook文件中
由于导入的内容是一个完整的playbook，因此import_playbook功能只能在playbook的顶层使用，不能在play内使用。如果导入多个playbook，则将按顺序导入并运行它们
导入两个额外playbook的主playbook的简单示例如下所

演示：

演示实例：

在playbook目录下创建两个需要导入的playbook
~~~
[root@localhost playbook]# cat install.yml 
---
- hosts: 192.168.145.162
  tasks:
    - name: install httpd
      yum:
        name: httpd
        state: present

[root@localhost playbook]# cat start.yml 
---
- hosts: 192.168.145.162
  tasks:
    - name: start httpd
      service:
        name: httpd
        state: started

查看需要执行的playbook文件
[root@localhost ansible]# cat play.yml 
---
- hosts: 192.168.145.162
  tasks:
- name: install httpd
  import_playbook: playbook/install.yml


- name: start httpd
  import_playbook: playbook/start.yml

查看层级关系
[root@localhost ansible]# tree 
.
├── ansible.cfg
├── hosts
├── inventory
├── playbook
│   ├── install.yml
│   └── start.yml
├── playbook.yml
├── play.yml
└── roles

执行playbook
[root@localhost ansible]# ansible-playbook play.yml 

PLAY [192.168.145.162] **************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

PLAY [192.168.145.162] **************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
changed: [192.168.145.162]

PLAY [192.168.145.162] **************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [start httpd] ******************************************************************
changed: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=5    changed=2    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   
~~~

4、包含和导入任务

导入任务文件：

可以使用import_tasks功能将任务文件静态导入playbook内的play中。
导入任务文件时，在解析该playbook时将直接插入该文件中的任务。
Playbook中的import_tasks的位置控制插入任务的位置以及运行多个导入的顺序

演示：

演示实例：
查看playbook目录下写的需要导入的任务文件
[root@localhost playbook]# cat install.yml 
---
- name: install httpd
  yum:
    name: httpd
    state: present

[root@localhost playbook]# cat start.yml 
---
- name: start httpd
  service:
    name: httpd
    state: started

查看playbook主要执文件
[root@localhost ansible]# cat play.yml 
---
- hosts: all
  tasks:
    - name: install httpd
      import_tasks: playbook/install.yml


    - name: start httpd
      import_tasks: playbook/start.yml

执行playbook
[root@localhost ansible]# ansible-playbook play.yml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
ok: [192.168.145.162]

TASK [start httpd] ******************************************************************
ok: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

注意：import_tasks和import_playbook处于不同的级别；import_playbook是与tasks平级；import_tasks则是tasks的子任务

演示实例二：使用import_playbook和import_tasks混合使用

查看playbook目录下的需要导入的playbook文件和任务文件
[root@localhost playbook]# cat install.yml 
- name: install httpd
  yum:
    name: httpd
    state: present
[root@localhost playbook]# cat start.yml 
---
- hosts: all
  tasks:
    - name: start httpd
      service:
        name: httpd
        state: started

查看主要执行文件
[root@localhost ansible]# cat play.yml 
---
- hosts: all
  tasks:
    - name: install httpd
      import_tasks: playbook/install.yml


- name: start httpd
  import_playbook: playbook/start.yml

执行playbook
[root@localhost ansible]# ansible-playbook play.yml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
ok: [192.168.145.162]

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [start httpd] ******************************************************************
ok: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=4    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

注意：使用混合模式的时候，import_playbook不能是第一个执行，必须从第二个开始执行

导入任务文件时，在解析该playbook时将直接插入该文件中的任务。由于import_tasks在解析playbook时静态导入任务，因此对其工作方式有一些影响

使用import_tasks功能时，导入时设置的when等条件语句将应用于导入的每个任务
无法将循环用于import_tasks功能
如果使用变量来指定要导入的文件的名称，则将无法使用主机或组清单变量

包含任务文件

可以使用include_tasks功能将任务文件动态导入playbook内的play中
在play运行并且这部分play到达前，include_tasks功能不会处理playbook中的内容
Playbook内容的处理顺序会影响包含任务功能的工作方式

如：

使用include_tasks功能时，包含时设置的when等条件语句将确定任务是否包含在play中
如果运行ansible-playbook --list-tasks以列出playbook中的任务，则不会显示已包含任务文件中的任务
相比之下，import_tasks功能不会列出导入任务文件的任务，而列出已导入任务文件中的各个任务
不能使用ansible-playbook --start-at-task从已包含任务文件中的任务开始执行playbook
不能使用notify语句触发已包含任务文件中的处理程序名称。可以在包含整个任务文件的主playbook中触发处理程序，在这种情况下，已包含文件中的所有任务都将运行

任务文明的用例：

如果新服务器需要全面配置，则管理员可以创建不同的任务集合，分别用于创建用户、安装软件包、配置服务、配置特权、设置对共享文件系统的访问权限、强化服务器、安装安全更新，以及安装监控代理等。每一任务集合可通过单独的自包含任务文件进行管理
如果服务器由开发人员、系统管理员和数据库管理员统一管理，则每个组织可以编写自己的任务文件，再由系统经理进行审核和集成
如果服务器要求特定的配置，它可以整合为按照某一条件来执行的一组任务。换句话说，仅在满足特定标准时才包含任务
如果一组服务器需要运行某一项/组任务，则它/它们可以仅在属于特定主机组的服务器上运行

管理任务文件

为方便管理，可以创建专门用于任务文件的目录，并将所有任务文件保存在该目录中。然后playbook就可以从该目录包含或导入任务文件。这样就可以构建复杂的playbook，同时简化其结构和组件的管理

为外部play和任务定义变量

使用Ansible的导入和包含功能将外部文件中的play或任务合并到playbook中极大地增强了在Ansible环境中重用任务和playbook的能力
使用相同的技术使play文件更具有可重用性。将play文件合并到playbook中时，传递变量以用于执行该play

演示实例：

1：

查看需要导入的外部playbook文件
[root@localhost ansible]# cat playbook/install.yaml 
- name: install {{ package }}
  yum:
    name: "{{ package }}"
    state: present
[root@localhost ansible]# cat playbook/service.yaml 
- name: start {{ package }} service
  service:
    name: "{{ package }}"
    state: started

查看变量文件
[root@localhost ansible]# cat files/vars.yaml 
package: httpd

查看主要执行的文件
[root@localhost ansible]# cat playbook/main.yaml 
---
- hosts: all
  vars_files:
    ../files/vars.yaml
  tasks:
    - import_tasks: install.yaml
    - import_tasks: service.yaml

执行playbook
[root@localhost ansible]# ansible-playbook playbook/main.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
ok: [192.168.145.162]

TASK [start httpd service] **********************************************************
ok: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

2：

查看需要导入的外部playbook文件
[root@localhost ansible]# cat playbook/mariadb.yaml 
---
- hosts: all
  vars_files:
    ../files/vars.yaml
  tasks:
    - name: install {{ package }}
      yum:
        name: "{{ package }}"
        state: present

查看变量文件
[root@localhost ansible]# cat files/vars.yaml 
package: mariadb-server

查看主要执行的文件
[root@localhost ansible]# cat playbook/main.yaml 
- name: install package
  import_playbook: mariadb.yaml

执行play
[root@localhost ansible]# ansible-playbook playbook/main.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install mariadb-server] *******************************************************
changed: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=2    changed=1    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

描述角色结构

一、What‘s 角色

Ansible角色提供了一种方法，让用户能以通用的方式更加轻松地重复利用Ansible代码。我们可以在标准化目录结构中打包所有任务、变量、文件、模板，以及调配基础架构或部署应用所需的其他资源只需通过复制相关的目录，将角色从一个项目复制到另一个项目。然后，只需从一个play调用该角色就能执行它
借助编写良好的角色，可以从playbook中向角色传递调整其行为的变量，设置所有站点相关的主机名、IP地址、用户名，或其他在本地需要的具体详细信息
除了自行编写、使用、重用和共享角色外，还可以从其他来源获取角色。一些角色已包含在rhel-system-roles软件包中，用户也可以从Ansible Galaxy网站获取由社区提供支持的许多角色

使用rhel-system-roles软件包使用角色

在控制节点上查看本地的角色
[root@localhost ~]# ls /usr/share/ansible/roles/

安装rhel-system-roles
[root@localhost ~]# ls /usr/share/ansible/roles/
[root@localhost ~]# yum list | grep rhel-system-roles
rhel-system-roles.noarch                    1.0-10.el7_7               extras   
rhel-system-roles-techpreview.noarch        1.0-2.el7                  extras   
[root@localhost ~]# yum install -y rhel-system-roles
已加载插件：fastestmirror, langpacks
Loading mirror speeds from cached hostfile
epel/x86_64/metalink                                          | 6.1 kB  00:00:00     
 * base: mirrors.cqu.edu.cn
 * epel: mirrors.ustc.edu.cn
 * extras: mirrors.cqu.edu.cn
 * updates: mirrors.cqu.edu.cn

在次查看本地的角色
[root@localhost ~]# ls /usr/share/ansible/roles/
linux-system-roles.kdump    linux-system-roles.storage   rhel-system-roles.postfix
linux-system-roles.network  linux-system-roles.timesync  rhel-system-roles.selinux
linux-system-roles.postfix  rhel-system-roles.kdump      rhel-system-roles.storage
linux-system-roles.selinux  rhel-system-roles.network    rhel-system-roles.timesync

Ansible具备的优点：

角色可以分组内容，从而与他人轻松共享代码
可以编写角色来定义系统类型的基本要素：Web服务器、数据库服务器、Git存储库，或满足其他用途
角色使得较大型项目更容易管理
角色可以由不同的管理员并行开发

二、Ansible角色结构

1、结构说明

Ansible角色由子目录和文件的标准化结构定义
*目录定义角色本身的名称。
文件整理到子目录中，子目录按照各个文件在角色中的用途进行命名，如tasks和handlers。files和templates子目录中包含由其他YAML文件中的任务引用的文件

2、Ansible角色子目录

子目录	功能
defaults	此目录中的main.yml文件包含角色变量的默认值，使用角色时可以覆盖这些默认值。
	这些变量的优先级较低，应该在play中更改和自定义。
files	此目录包含由角色任务引用的静态文件。
handlers	此目录中的main.yml文件包含角色的处理程序定义。
meta	此目录中的main.yml文件包含与角色相关的信息，如作者、许可证、平台和可选的角色依赖项。
tasks	此目录中的main.yml文件包含角色的任务定义。
templates	此目录包含由角色任务引用的Jinja2模板。
tests	此目录可以包含清单和名为test.yml的playbook，可用于测试角色。
vars	此目录中的main.yml文件定义角色的变量值。这些变量通常用于角色内部用途。
	这些变量的优先级较高，在playbook中使用时不应更改。

注意：并非每个角色都拥有所有这些目录。

三、定义变量和默认值

1、定义变量

角色变量通过在角色目录层次结构中创建含有键值对的vars/main.yml文件来定义（键值对：key = value）
这些角色变量在角色YAML文件中引用：{{ VAR_NAME }}，这些变量具有较高的优先级，无法被清单变量覆盖

2、定义默认值

默认变量允许为可在play中使用的变量设置默认值，以配置角色或自定义其行为
它们通过在角色目录层次结构中创建含有键值对的defaults/main.yml文件来定义
默认变量具有任何可用变量中最低的优先级。它们很容易被包括清单变量在内的任何其他变量覆盖
这些变量旨在让用户在编写使用该角色的play时可以准确地自定义或控制它将要执行的操作。它们可用于向角色提供所需的信息，以正确地配置或部署某些对象
在vars/main.yml或defaults/main.yml中定义具体的变量，但不要在两者中都定义，有意要覆盖变量的值时，应使用默认变量

3、注意事项

角色不应该包含特定于站点的数据。它们绝对不应包含任何机密，如密码或私钥
这是因为角色应该是通用的，可以重复利用并*共享。特定于站点的详细信息不应硬编码到角色中
机密应当通过其他途径提供给角色。这是用户可能要在调用角色时设置角色变量的一个原因
play中设置的角色变量可以提供机密，或指向含有该机密的Ansible Vault加密文件。

四、在palybook中使用ansbible角色

1、在playbook中简单调用Ansible角色

[root@localhost playbook]# cat main.yaml 
---
- host: all
  roles:
    - role_one
    - role_two
    - role_three

2、角色调用

对于每个指定的角色，角色任务、角色处理程序、角色变量和角色依赖项将按照顺序导入到playbook中
角色中的任何copy、script、template或include_tasks/import_tasks任务都可引用角色中相关的文件、模板或任务文件，且无需相对或绝对路径名称
Ansible将分别在角色的files、templates或tasks子目录中寻找它们

实例1：
[root@localhost playbook]# cat main.yaml 
---
- host: all
  gather_facts: no
  roles:
    - role: roles/role_one
    - role: roles/role_two
    - role: roles/role_three

重要：

内嵌设置的角色变量（角色参数）具有非常高的优先级。它们将覆盖大多数其他变量
务必要谨慎，不要重复使用内嵌设置在play中任何其他位置的任何角色变量的名称，因为角色变量的值将覆盖清单变量和任何play中的vars

五、控制执行顺序

1、顺序控制

对于playbook中的每个play，任务按照任务列表中的顺序来执行。执行完所有任务后，将执行任务通知的处理程序。
将角色添加到play中，角色任务将添加到任务列表的开头。如果play中包含第二个角色任务，其任务列表添加到第一个角色之后
角色处理程序添加到play中的方式与角色任务添加到play中相同，每个play定义一个处理程序列表；角色处理程序先添加到处理程序列表，后跟play的handlers部分中的任何处理程序
在某些情形中，可能需要在角色之前执行一些play任务。若要支持这样的情形，可以为play配置pre_tasks部分，列在此部分中的所有任务将在执行任何角色之前执行。如果这些任务中有任何一个通知了处理程序，则这些处理程序任务也在角色或普通任务之前执行
play也支持post_tasks关键字。这些任务在play的普通任务和它们通知的任何处理程序运行之后执行

实例演示：

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  gather_facts: no
  pre_tasks:
    - debug:
        msg: "This is one test"


  tasks:
    - name: This is twotest
      debug:
        msg: ‘This is two test‘


  post_tasks:
    - debug:
        msg: "This is three test"

执行play
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [debug] ************************************************************************
ok: [192.168.145.162] => {
    "msg": "This is one test"
}

TASK [This is twotest] **************************************************************
ok: [192.168.145.162] => {
    "msg": "This is two test"
}

TASK [debug] ************************************************************************
ok: [192.168.145.162] => {
    "msg": "This is three test"
}

PLAY RECAP **************************************************************************
192.168.145.162            : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  gather_facts: no
  tasks:
    - name: This is onetest
      debug:
        msg: "This is one test"
      notify: onetest
      changed_when: yes


  post_tasks:
    - name: This is twotest
      debug:
        msg: "This is two test"
      notify: twotest
      changed_when: yes


  pre_tasks:
    - name: Thsi is threetest
      debug:
        msg: "This is three test"
      notify: threetest
      changed_when: yes


  handlers:
    - name: onetest
      debug:
        msg: "print the one test"


    - name: twotest
      debug:
        msg: "print the two test"


    - name: threetest
      debug:
        msg: "print the three test" 


执行playbook
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [Thsi is threetest] ************************************************************
changed: [192.168.145.162] => {
    "msg": "This is three test"
}

RUNNING HANDLER [threetest] *********************************************************
ok: [192.168.145.162] => {
    "msg": "print the three test"
}

TASK [This is onetest] **************************************************************
changed: [192.168.145.162] => {
    "msg": "This is one test"
}

RUNNING HANDLER [onetest] ***********************************************************
ok: [192.168.145.162] => {
    "msg": "print the one test"
}

TASK [This is twotest] **************************************************************
changed: [192.168.145.162] => {
    "msg": "This is two test"
}

RUNNING HANDLER [twotest] ***********************************************************
ok: [192.168.145.162] => {
    "msg": "print the two test"
}

PLAY RECAP **************************************************************************
192.168.145.162            : ok=6    changed=3    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

6、在上例中，每个部分中都执行debug任务来通知my handler处理程序。my handler任务执行了三次

在执行了所有pre_tasks任务后
在执行了所有角色任务和tasks部分中的任务后
在执行了所有post_tasks后

7、除了将角色包含在play的roles部分中外，也可以使用普通任务将角色添加到play中。

使用include_role模块可以动态包含角色，使用import_role模块则可静态导入角色。
注意：include_role模块是在Ansible 2.3中新增的，而import_role模块则是在Ansible 2.4中新增的

系统角色演示实例

1、时间同步角色示例

RHEL系统中时间同步角色的playbook是：rhel-system-rolses.timesync
首次使用时间同步角色可以在rhel-system-roles.timesync/README.md查看使用的帮助文档；里面包含使用的示例

演示实例：

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  vars:
    timesync_ntp_servers:
      -hostname: 192.168.145.162
        iburst:yes


  roles:
    - rhel-system-roles.timesync

查看控制节点时间
[root@localhost ansible]# date 
2021年 08月 02日 星期一 22:23:25 CST

执行playbook
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if only NTP is needed] *********************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if single PTP is needed] *******************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if both NTP and PTP are needed] ************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Determine current NTP provider] ******************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Select NTP provider] *****************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Install chrony] **********************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Install ntp] *************************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Install linuxptp] ********************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Run phc_ctl on PTP interface] ********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if PTP interface supports HW timestamping] ***
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Get chrony version] ******************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Get ntp version] *********************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Generate chrony.conf file] ***********************
fatal: [192.168.145.162]: FAILED! => {"changed": false, "msg": "AnsibleUndefinedVariable: ‘ansible.parsing.yaml.objects.AnsibleUnicode object‘ has no attribute ‘hostname‘"}

PLAY RECAP **************************************************************************
192.168.145.162            : ok=6    changed=0    unreachable=0    failed=1    skipped=7    rescued=0    ignored=0   

查看受控主机上的原始时间
[root@server2 ~]# date
2021年 08月 02日 星期一 22:23:59 CST

2、调用Selinux角色示例

rhel-system-roles.selinux角色可以简化SELinux配置设置的管理。它通过利用SELinux相关的Ansible模块来实施
Selinux角色可以执行的任务

包括：

设置enforcing或permissive模式
对文件系统层次结构的各部分运行restorecon
设置SELinux布尔值
永久设置SELinux文件上下文
设置SELinux用户映射

演示实例：

实例说明：使用rhel-system-roles.selinux角色配置修改selinux的属性时，不能立即完整更改，需要重启；
其工作方式为，该角色将一个布尔值变量selinux_reboot_required设为True，如果需要重新引导，则失败。
你可以使用block/rescure结构来从失败中恢复，具体操作为：如果该变量未设为true，则让play失败，如果值是true，则重新引导受管主机并重新运行该角色

查看受控主机上selinux的状态
[root@localhost ansible]# ansible all -a ‘cat /etc/selinux/config‘
192.168.145.162 | CHANGED | rc=0 >>

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected. 
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted 

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  vars:
    selinux_policy: targeted
    selinux_state: disabled
  tasks:
    - name: apply selinux role
      block:
        - include_role:
            name: rhel-system-roles.selinux


      rescue:
        - name: required reboot
          fail:
          when: not selinux_reboot_required


        - name: reboot host
          reboot:


        - name: Reapply SElinux role to complete changes
          include_role:
            name: rhel-system-roles.selinux

执行playbook
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [include_role : rhel-system-roles.selinux] *************************************

TASK [rhel-system-roles.selinux : Install SELinux python2 tools] ********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux python3 tools] ********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : refresh facts] ************************************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux tool semanage on Fedora] **********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if enabled] ***********
[WARNING]: SELinux state temporarily changed from ‘enforcing‘ to ‘permissive‘. State
change will take effect next reboot.
changed: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if disabled] **********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set ansible facts if needed] **********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Fail if reboot is required] ***********************
fatal: [192.168.145.162]: FAILED! => {"changed": false, "msg": "Reboot is required to apply changes. Re-execute the role after boot."}

TASK [required reboot] **************************************************************
skipping: [192.168.145.162]

TASK [reboot host] ******************************************************************
changed: [192.168.145.162]

TASK [Reapply SElinux role to complete changes] *************************************

TASK [rhel-system-roles.selinux : Install SELinux python2 tools] ********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux python3 tools] ********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : refresh facts] ************************************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux tool semanage on Fedora] **********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if enabled] ***********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if disabled] **********
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set ansible facts if needed] **********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Fail if reboot is required] ***********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : debug] ********************************************
ok: [192.168.145.162] => {
    "msg": "SELinux is disabled on system - some SELinux modules can crash"
}

TASK [rhel-system-roles.selinux : Drop all local modifications] *********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux boolean local modifications] ****
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux file context local modifications] ***
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux port local modifications] *******
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux login local modifications] ******
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Reload SELinux policy] ****************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set SELinux booleans] *****************************

TASK [rhel-system-roles.selinux : Set SELinux file contexts] ************************

TASK [rhel-system-roles.selinux : Restore SELinux labels on filesystem tree] ********

TASK [rhel-system-roles.selinux : Restore SELinux labels on filesystem tree in check mode] ***

TASK [rhel-system-roles.selinux : Set an SELinux label on a port] *******************

TASK [rhel-system-roles.selinux : Set linux user to SELinux user mapping] ***********

PLAY RECAP **************************************************************************
192.168.145.162            : ok=11   changed=2    unreachable=0    failed=0    skipped=20   rescued=1    ignored=0   

执行playbook后，查看受管主机上的selinux状态
[root@localhost ansible]# ansible all -a ‘cat /etc/selinux/config‘
192.168.145.162 | CHANGED | rc=0 >>

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected. 
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

3、配置SELinux角色

用于配置rhel-system-roles.selinux角色的变量的详细记录位于其README.md文件中
selinux_state变量设置SELinux的运行模式。它可以设为enforcing、permissive或disabled。如果未设置，则不更改模式（在上一个实例中已经演示了）
selinux_booleans变量取一个要调整的SELinux布尔值的列表作为值。列表中的每一项是变量的散列/字典：布尔值的name、state（它应是on还是off），以及该设置是否应在重新引导后persistent
selinux_fcontext变量取一个要永久设置（或删除）的文件上下文的列表作为值。它的工作方式与selinux fcontent命令非常相似
selinux_restore_dirs变量指定要对其运行restorecon的目录的列表
selinux_ports变量取应当具有特定SELinux类型的端口的列表作为值

包含与导入、描述角色结构、系统角色的使用

码农公寓

包含与导入

描述角色结构

系统角色演示实例

相关文章