Какие знаешь уровни переменных в Ansible?

Уровни переменных в Ansible

В Ansible существует сложная иерархия переменных, которая определяет их приоритет (от низшего к высшему) и область видимости. Понимание этих уровней критически важно для создания предсказуемых, безопасных и сопровождаемых конфигураций. Система приоритетов Ansible, называемая variable precedence, определяет, какое значение будет использовано, если переменная определена в нескольких источниках.

Иерархия приоритетов (от высшего к низшему)

1. Extra Variables (-e в командной строке). Наивысший приоритет. Переменные, заданные через ansible-playbook -e "var=value". Используются для переопределения любых других значений, часто для отладки или передачи секретов.
2. Facts, Discovered by setup module. Информация об управляемом хосте (память, ОС, диски), собранная автоматически. Имеет очень высокий приоритет, чтобы гарантировать точность данных о системе.
3. Play Variables (vars в плейбуке). Переменные, определенные в секции vars: плейбука. Имеют приоритет над переменными, определенными в инвентаре или ролях.
4. Inventory Variables. Это один из самых широких уровней, который можно разделить на несколько подуровней:

    *   **Host Variables**: Определены непосредственно для конкретного хоста в инвентаре (в INI-файле рядом с хостом или в `<hostname>.yml` в директории `host_vars/`).
    *   **Group Variables**: Определены для групп хостов (в INI-файле в секции `[groupname:vars]` или в `<groupname>.yml` в директории `group_vars/`). Ansible ищет переменные для группы, к которой принадлежит хост, и для всех ее родительских групп.

1. Role Defaults (defaults/main.yml). Наименьший приоритет среди всех определений переменных в ролях. Предназначены для задания безопасных, базовых значений, которые легко переопределить на любом другом уровне.

Практическое применение и примеры

Рассмотрим пример структуры проекта и приоритетов:

# inventory/production.yml
[webservers]
web1.example.com ansible_ssh_host=192.168.1.10
web2.example.com

[webservers:vars]
http_port=8080
package_state=present

# group_vars/webservers.yml
---
package_name: nginx
service_name: nginx

# host_vars/web1.example.com.yml
---
http_port=80  # Переопределит значение 8080 из группы

# playbook.yml
---
- hosts: webservers
  vars:
    service_state: started  # Переменная уровня плейбука
  roles:
    - { role: webserver, package_state: latest } # Здесь latest переопределит present из инвентаря

# Запуск с extra variable, которая переопределит ВСЕ
ansible-playbook -i inventory/production.yml playbook.yml -e "package_name=apache2"
# На хосте web1.example.com итоговые значения будут:
# package_name = apache2 (из -e), http_port=80 (из host_vars), service_state=started (из playbook vars)

Ключевые принципы работы с переменными

• Предсказуемость переопределения: Зная иерархию, вы можете контролировать, где задавать значения: базовые — в defaults/, специфичные для окружения — в group_vars/, а срочные изменения — через -e.
• Безопасность: Секреты (пароли, ключи) никогда не должны храниться в plain-text переменных. Для этого используют Ansible Vault или внешние системы (hashicorp_vault, aws_secrets_manager).
• Организация кода: Рекомендуется структурировать переменные по директориям group_vars/ и host_vars/, что делает конфигурацию наглядной.
• Отладка: Если переменная принимает неожиданное значение, используйте команду ansible-inventory --host <hostname> -i <inventory> или модуль debug в плейбуке, чтобы увидеть все переменные, доступные для хоста, и понять, какое определение "победило".

Важные замечания

• ansible.cfg: Настройки из этого файла (например, host_key_checking) — это не переменные для плейбуков, а параметры работы Ansible.
• Registered Variables: Результаты выполнения задачи, сохраненные через register, существуют только в контексте данного плейбука для конкретного хоста и не входят в общую иерархию приоритетов.
• Set Facts (set_fact): Факты, установленные модулем set_fact во время выполнения плейбука, имеют приоритет, аналогичный discovered facts, и переопределяют большинство других источников, кроме -e.

Таким образом, мастерство DevOps-инженера в контексте Ansible во многом заключается в грамотном использовании этой многоуровневой системы: размещении переменных в правильных местах для обеспечения гибкости, безопасности и простоты поддержки инфраструктуры как кода.