Ansible Einstieg für Admins: von der Handarbeit zum reproduzierbaren Playbook

# RHEL / Rocky / Alma
sudo dnf install -y ansible-core

# Debian / Ubuntu
sudo apt install -y ansible-core

# Distributionsunabhängig, wenn du eine neuere Version brauchst
pipx install --include-deps ansible

ansible --version   # zeigt Config-Datei, Python-Version und Collection-Pfade

ssh-keygen -t ed25519 -C "ansible@control" -f ~/.ssh/id_ed25519_ansible
ssh-copy-id -i ~/.ssh/id_ed25519_ansible.pub ansible@web01.example.internal

# Auf dem Ziel: sudo ohne Passwortabfrage, nur für diesen einen Benutzer
echo 'ansible ALL=(ALL) NOPASSWD:ALL' | sudo tee /etc/sudoers.d/ansible
sudo chmod 0440 /etc/sudoers.d/ansible
sudo visudo -c

mkdir -p ~/infra/{group_vars,host_vars,roles,templates}
cd ~/infra && git init

[defaults]
inventory = ./inventory.yml
remote_user = ansible
callback_result_format = yaml
interpreter_python = auto_silent
host_key_checking = True

[ssh_connection]
pipelining = True

all:
  children:
    web:
      hosts:
        web01.example.internal:
        web02.example.internal:
    db:
      hosts:
        db01.example.internal:
    produktion:
      children:
        web:
        db:

ansible all -m ansible.builtin.ping
ansible web -m ansible.builtin.command -a 'uptime'
ansible all -m ansible.builtin.setup -a 'filter=ansible_distribution*'
ansible db -b -m ansible.builtin.package -a 'name=htop state=present'

- name: Zertifikat nur einmal erzeugen
  ansible.builtin.command:
    cmd: /usr/local/bin/gen-cert.sh
    creates: /etc/pki/tls/certs/app.crt

- name: Cache leeren und Ergebnis auswerten
  ansible.builtin.command: /usr/local/bin/flush-cache
  register: flush
  changed_when: "'geleert' in flush.stdout"

---
- name: Basiskonfiguration Webserver
  hosts: web
  become: true

  tasks:
    - name: Pakete installieren
      ansible.builtin.package:
        name:
          - nginx
          - chrony
        state: present

    - name: Konfiguration ausrollen
      ansible.builtin.template:
        src: templates/nginx.conf.j2
        dest: /etc/nginx/nginx.conf
        owner: root
        group: root
        mode: "0644"
        backup: true
      notify: nginx neu laden

    - name: Dienst dauerhaft aktivieren
      ansible.builtin.service:
        name: nginx
        state: started
        enabled: true

  handlers:
    - name: nginx neu laden
      ansible.builtin.service:
        name: nginx
        state: reloaded

ansible-galaxy init roles/baseline
ls roles/baseline
# defaults  files  handlers  meta  tasks  templates  tests  vars

---
- name: Produktion ausrollen
  hosts: produktion
  become: true
  roles:
    - role: baseline
      tags: [baseline]
    - role: webserver
      tags: [web]
      when: inventory_hostname in groups['web']

worker_processes {{ nginx_worker_processes | default(ansible_facts['processor_vcpus']) }};

server {
    listen {{ nginx_port | default(80) }};
    server_name {{ inventory_hostname }};
{% for pfad in nginx_aliase | default([]) %}
    location {{ pfad.url }} { alias {{ pfad.ziel }}; }
{% endfor %}
}

ansible-vault create group_vars/db/vault.yml
# Inhalt der verschlüsselten Datei:
#   vault_db_password: "..."

# group_vars/db/vars.yml bleibt unverschlüsselt und enthält nur die Referenz:
#   db_password: "{{ vault_db_password }}"

ansible-vault view group_vars/db/vault.yml
ansible-vault rekey group_vars/db/vault.yml
ansible-playbook site.yml --vault-password-file ~/.vault-pass

ansible-playbook site.yml --syntax-check
ansible-lint site.yml roles/

# Trockenlauf mit Änderungsanzeige, zuerst gegen einen einzigen Host
ansible-playbook site.yml --check --diff --limit web01.example.internal

# Danach echt, aber weiterhin begrenzt
ansible-playbook site.yml --limit web01.example.internal

# Rest der Gruppe, den bereits erledigten Host ausgenommen
ansible-playbook site.yml --limit 'web:!web01.example.internal'