Fiche mémo Ansible

Vue d'ensemble

Lecture seule

ansible --versionansible-inventory -i inventaire.ini --graphansible local -i inventaire.ini -m ansible.builtin.pingansible local -i inventaire.ini -m ansible.builtin.setup

• Contexte : Terminal ; inventaire de test avec localhost ansible_connection=local.
• Droits : utilisateur normal.
• Effet : affiche la version, l'arbre de l'inventaire, teste la connexion Python et liste les faits ; ne modifie rien.
• Vérification : SUCCESS pour ping ; les faits s'affichent en JSON.
• Retour arrière : sans objet.

Inventaire minimal

[local]
localhost ansible_connection=local

Paramètres de connexion : ansible_connection, ansible_host, ansible_user, ansible_python_interpreter. Variables : group_vars/ et host_vars/. Plusieurs -i : le dernier l'emporte.

Playbook minimal

- name: Préparer un dossier de test
  hosts: local
  gather_facts: false
  tasks:
    - name: Créer le dossier de sortie
      ansible.builtin.file:
        path: ./sortie
        state: directory
        mode: "0755"

Vérifier avant d'agir

ansible-playbook -i inventaire.ini preparer.yml --syntax-checkansible-playbook -i inventaire.ini preparer.yml --list-hostsansible-playbook -i inventaire.ini preparer.yml --list-tasksansible-playbook -i inventaire.ini preparer.yml --check --diff --limit local

• Contexte : preparer.yml et inventaire.ini dans un dossier de test.
• Droits : utilisateur normal.
• Effet : contrôle de syntaxe, listes et simulation ; aucune modification de la cible.
• Vérification : changed=N en simulation ; rien n'existe encore sur la cible.
• Retour arrière : sans objet.

Exécuter pour de bon

Attention, effet notable. Cette commande a un effet notable. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

ansible-playbook -i inventaire.ini preparer.yml

• Contexte : après --check --diff relu ; localhost ou hôte jetable.
• Droits : utilisateur normal ; sur un hôte distant, utilisateur SSH (et sudo si become).
• Effet : applique l'état décrit par le playbook ; ici, crée un dossier.
• Vérification : bilan changed=1 au premier passage, changed=0 au second (idempotence).
• Retour arrière : supprimer ce qui a été créé (en relisant le nom), ou détruire l'hôte jetable (instantané avant).

Options utiles d'ansible-playbook

Variables, faits, handlers, modèles

- name: Exemple condensé
  hosts: local
  gather_facts: true
  vars:
    mode_reglage: essai
  tasks:
    - name: Déposer le fichier de réglages
      ansible.builtin.template:
        src: templates/reglages.conf.j2
        dest: ./sortie/reglages.conf
        mode: "0644"
      notify: Signaler le changement
  handlers:
    - name: Signaler le changement
      ansible.builtin.debug:
        msg: "Réglages modifiés sur {{ inventory_hostname }} ({{ ansible_facts['os_family'] }})"

• Handlers : après toutes les tâches, dans l'ordre de définition, une seule fois ; meta: flush_handlers pour avancer.
• Rendu Jinja2 sur le nœud de contrôle ; template : src, dest, owner, group, mode entre guillemets, validate, backup.
• Valeur YAML commençant par {{ : entre guillemets.
• Variables magiques : inventory_hostname, groups, group_names, hostvars, playbook_dir.

Ansible Vault

Attention, effet notable. Cette commande peut créer ou modifier une configuration. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

ansible-vault create --ask-vault-pass secrets-demo.ymlansible-vault view --ask-vault-pass secrets-demo.ymlansible-vault encrypt_string --ask-vault-pass --stdin-name 'mot_de_passe_demo'

• Contexte : dossier de test jetable ; mot de passe de coffre et valeurs fictifs. L'option --stdin-name de encrypt_string est à confirmer avec ansible-vault encrypt_string --help (non relue).
• Droits : utilisateur normal.
• Effet : create écrit un fichier chiffré ; view l'affiche ; encrypt_string chiffre une valeur saisie au prompt (pas dans la ligne de commande, qui resterait dans l'historique du shell).
• Vérification : head -1 secrets-demo.yml commence par $ANSIBLE_VAULT;.
• Retour arrière : supprimer le fichier de test.

Autres sous-commandes : edit, rekey, decrypt (laisse un fichier en clair sur le disque).

Élévation de droits et Linux/RHEL

become au niveau de la tâche plutôt que du play ; mot de passe sudo au prompt, jamais dans l'inventaire.

Pièges fréquents