Bash-Skript oder Ansible: wo die Grenze verläuft

#!/usr/bin/env bash
set -euo pipefail

log() { printf '%s %s\n' "$(date -Is)" "$*" >&2; }

tmp="$(mktemp -d)"
trap 'rm -rf "$tmp"' EXIT      # räumt auch bei Abbruch auf

# Nur ein Lauf gleichzeitig, sonst zerlegen sich zwei Cron-Jobs gegenseitig
exec 9>/var/lock/deploy.lock
if ! flock -n 9; then
  log "läuft bereits, breche ab"
  exit 0
fi

bash -n deploy.sh              # reine Syntaxprüfung ohne Ausführung
shellcheck -S style deploy.sh  # findet Quoting-Fehler und set -e-Fallen
shfmt -d -i 2 deploy.sh        # zeigt Formatabweichungen als Diff

# Auf einem Wegwerf-System, nicht auf der Produktion
sudo ./deploy.sh                                 # erster Lauf
sudo rpm -Va > /tmp/nach-lauf1.txt || true       # RHEL, Rocky, Alma
# Debian, Ubuntu: sudo debsums -ac > /tmp/nach-lauf1.txt || true

sudo ./deploy.sh                                 # zweiter Lauf, direkt danach
sudo rpm -Va > /tmp/nach-lauf2.txt || true

# Leerer Diff: der zweite Lauf hat an paketierten Dateien nichts verändert
diff -u /tmp/nach-lauf1.txt /tmp/nach-lauf2.txt

- name: Paket installieren
  ansible.builtin.package:
    name: nginx
    state: present

- name: Konfiguration ausrollen
  ansible.builtin.template:
    src: nginx.conf.j2
    dest: /etc/nginx/nginx.conf
    owner: root
    group: root
    mode: "0644"
    validate: "nginx -t -c %s"
  notify: nginx neu laden

- name: Dienst aktivieren und starten
  ansible.builtin.service:
    name: nginx
    state: started
    enabled: true

- name: nginx neu laden
  ansible.builtin.service:
    name: nginx
    state: reloaded

cd ansible
ansible-lint roles/ site.yml

# Trockenlauf auf einem Host
ansible-playbook -i inventories/stage site.yml --check --diff --limit web01

# Echter Lauf
ansible-playbook -i inventories/stage site.yml --diff --limit web01

# Direkt noch einmal: im Recap muss changed=0 stehen
ansible-playbook -i inventories/stage site.yml --diff --limit web01 | tail -n 5

- name: Einmalige Initialisierung
  ansible.builtin.command:
    cmd: /opt/app/bin/init-db
    creates: /var/lib/app/.initialized     # macht die Task idempotent

- name: Version auslesen, ändert nichts
  ansible.builtin.command:
    cmd: /opt/app/bin/app --version
  register: app_version
  changed_when: false
  check_mode: false

- name: Export, braucht ausdrücklich bash
  ansible.builtin.shell:
    cmd: |
      set -euo pipefail
      /opt/app/bin/export > /var/backups/app.dump
    executable: /bin/bash
  changed_when: true

[defaults]
inventory      = inventories/prod
forks          = 20
host_key_checking = true

[ssh_connection]
pipelining = true
ssh_args   = -o ControlMaster=auto -o ControlPersist=60s