包含与导入

1、管理大型的playbook

1. 如果playbook很长或很复杂，我们可以将其分成较小的文件以便于管理
2. 可采用模块化方式将多个playbook组合为一个主要playbook，或者将文件中的任务列表插入play

2、包含或导入文件

1. Ansible可以使用两种操作将内容带入playbook。可以包含内容，也可以导入内容
2. 包含内容是一个动态操作。在playbook运行期间，Ansible会在内容到达时处理所包含的内容
3. 导入内容是一个静态操作。在运行开始之前，Ansible在最初解析playbook时预处理导入的内容

3、导入playbook

1. import_playbook指令允许将包含play列表的外部文件导入playbook。换句话说，可以把一个或多个额外playbook文件导入到主playbook文件中
2. 由于导入的内容是一个完整的playbook，因此import_playbook功能只能在playbook的顶层使用，不能在play内使用。如果导入多个playbook，则将按顺序导入并运行它们
3. 导入两个额外playbook的主playbook的简单示例如下所

演示：

演示实例：

在playbook目录下创建两个需要导入的playbook
~~~
[root@localhost playbook]# cat install.yml 
---
- hosts: 192.168.145.162
  tasks:
    - name: install httpd
      yum:
        name: httpd
        state: present

[root@localhost playbook]# cat start.yml 
---
- hosts: 192.168.145.162
  tasks:
    - name: start httpd
      service:
        name: httpd
        state: started

查看需要执行的playbook文件
[root@localhost ansible]# cat play.yml 
---
- hosts: 192.168.145.162
  tasks:
- name: install httpd
  import_playbook: playbook/install.yml


- name: start httpd
  import_playbook: playbook/start.yml

查看层级关系
[root@localhost ansible]# tree 
.
├── ansible.cfg
├── hosts
├── inventory
├── playbook
│   ├── install.yml
│   └── start.yml
├── playbook.yml
├── play.yml
└── roles

执行playbook
[root@localhost ansible]# ansible-playbook play.yml 

PLAY [192.168.145.162] **************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

PLAY [192.168.145.162] **************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
changed: [192.168.145.162]

PLAY [192.168.145.162] **************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [start httpd] ******************************************************************
changed: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=5    changed=2    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   
~~~

4、包含和导入任务

导入任务文件：

1. 可以使用import_tasks功能将任务文件静态导入playbook内的play中。
2. 导入任务文件时，在解析该playbook时将直接插入该文件中的任务。
3. Playbook中的import_tasks的位置控制插入任务的位置以及运行多个导入的顺序

演示：

演示实例：
查看playbook目录下写的需要导入的任务文件
[root@localhost playbook]# cat install.yml 
---
- name: install httpd
  yum:
    name: httpd
    state: present

[root@localhost playbook]# cat start.yml 
---
- name: start httpd
  service:
    name: httpd
    state: started

查看playbook主要执文件
[root@localhost ansible]# cat play.yml 
---
- hosts: all
  tasks:
    - name: install httpd
      import_tasks: playbook/install.yml


    - name: start httpd
      import_tasks: playbook/start.yml

执行playbook
[root@localhost ansible]# ansible-playbook play.yml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
ok: [192.168.145.162]

TASK [start httpd] ******************************************************************
ok: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

注意：import_tasks和import_playbook处于不同的级别；import_playbook是与tasks平级；import_tasks则是tasks的子任务

演示实例二：使用import_playbook和import_tasks混合使用

查看playbook目录下的需要导入的playbook文件和任务文件
[root@localhost playbook]# cat install.yml 
- name: install httpd
  yum:
    name: httpd
    state: present
[root@localhost playbook]# cat start.yml 
---
- hosts: all
  tasks:
    - name: start httpd
      service:
        name: httpd
        state: started

查看主要执行文件
[root@localhost ansible]# cat play.yml 
---
- hosts: all
  tasks:
    - name: install httpd
      import_tasks: playbook/install.yml


- name: start httpd
  import_playbook: playbook/start.yml

执行playbook
[root@localhost ansible]# ansible-playbook play.yml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
ok: [192.168.145.162]

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [start httpd] ******************************************************************
ok: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=4    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

注意：使用混合模式的时候，import_playbook不能是第一个执行，必须从第二个开始执行

导入任务文件时，在解析该playbook时将直接插入该文件中的任务。由于import_tasks在解析playbook时静态导入任务，因此对其工作方式有一些影响

1. 使用import_tasks功能时，导入时设置的when等条件语句将应用于导入的每个任务
2. 无法将循环用于import_tasks功能
3. 如果使用变量来指定要导入的文件的名称，则将无法使用主机或组清单变量

包含任务文件

1. 可以使用include_tasks功能将任务文件动态导入playbook内的play中
2. 在play运行并且这部分play到达前，include_tasks功能不会处理playbook中的内容
3. Playbook内容的处理顺序会影响包含任务功能的工作方式

如：

• 使用include_tasks功能时，包含时设置的when等条件语句将确定任务是否包含在play中
• 如果运行ansible-playbook --list-tasks以列出playbook中的任务，则不会显示已包含任务文件中的任务
• 相比之下，import_tasks功能不会列出导入任务文件的任务，而列出已导入任务文件中的各个任务
• 不能使用ansible-playbook --start-at-task从已包含任务文件中的任务开始执行playbook
• 不能使用notify语句触发已包含任务文件中的处理程序名称。可以在包含整个任务文件的主playbook中触发处理程序，在这种情况下，已包含文件中的所有任务都将运行

任务文明的用例：

1. 如果新服务器需要全面配置，则管理员可以创建不同的任务集合，分别用于创建用户、安装软件包、配置服务、配置特权、设置对共享文件系统的访问权限、强化服务器、安装安全更新，以及安装监控代理等。每一任务集合可通过单独的自包含任务文件进行管理
2. 如果服务器由开发人员、系统管理员和数据库管理员统一管理，则每个组织可以编写自己的任务文件，再由系统经理进行审核和集成
3. 如果服务器要求特定的配置，它可以整合为按照某一条件来执行的一组任务。换句话说，仅在满足特定标准时才包含任务
4. 如果一组服务器需要运行某一项/组任务，则它/它们可以仅在属于特定主机组的服务器上运行

管理任务文件

1. 为方便管理，可以创建专门用于任务文件的目录，并将所有任务文件保存在该目录中。然后playbook就可以从该目录包含或导入任务文件。这样就可以构建复杂的playbook，同时简化其结构和组件的管理

为外部play和任务定义变量

1. 使用Ansible的导入和包含功能将外部文件中的play或任务合并到playbook中极大地增强了在Ansible环境中重用任务和playbook的能力
2. 使用相同的技术使play文件更具有可重用性。将play文件合并到playbook中时，传递变量以用于执行该play

演示实例：

1：

查看需要导入的外部playbook文件
[root@localhost ansible]# cat playbook/install.yaml 
- name: install {{ package }}
  yum:
    name: "{{ package }}"
    state: present
[root@localhost ansible]# cat playbook/service.yaml 
- name: start {{ package }} service
  service:
    name: "{{ package }}"
    state: started

查看变量文件
[root@localhost ansible]# cat files/vars.yaml 
package: httpd

查看主要执行的文件
[root@localhost ansible]# cat playbook/main.yaml 
---
- hosts: all
  vars_files:
    ../files/vars.yaml
  tasks:
    - import_tasks: install.yaml
    - import_tasks: service.yaml

执行playbook
[root@localhost ansible]# ansible-playbook playbook/main.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install httpd] ****************************************************************
ok: [192.168.145.162]

TASK [start httpd service] **********************************************************
ok: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

2：

查看需要导入的外部playbook文件
[root@localhost ansible]# cat playbook/mariadb.yaml 
---
- hosts: all
  vars_files:
    ../files/vars.yaml
  tasks:
    - name: install {{ package }}
      yum:
        name: "{{ package }}"
        state: present

查看变量文件
[root@localhost ansible]# cat files/vars.yaml 
package: mariadb-server

查看主要执行的文件
[root@localhost ansible]# cat playbook/main.yaml 
- name: install package
  import_playbook: mariadb.yaml

执行play
[root@localhost ansible]# ansible-playbook playbook/main.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [install mariadb-server] *******************************************************
changed: [192.168.145.162]

PLAY RECAP **************************************************************************
192.168.145.162            : ok=2    changed=1    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

描述角色结构

一、What‘s 角色

1. Ansible角色提供了一种方法，让用户能以通用的方式更加轻松地重复利用Ansible代码。 我们可以在标准化目录结构中打包所有任务、变量、文件、模板，以及调配基础架构或部署应用所需的其他资源 只需通过复制相关的目录，将角色从一个项目复制到另一个项目。然后，只需从一个play调用该角色就能执行它
2. 借助编写良好的角色，可以从playbook中向角色传递调整其行为的变量，设置所有站点相关的主机名、IP地址、用户名，或其他在本地需要的具体详细信息
3. 除了自行编写、使用、重用和共享角色外，还可以从其他来源获取角色。一些角色已包含在rhel-system-roles软件包中，用户也可以从Ansible Galaxy网站获取由社区提供支持的许多角色

使用rhel-system-roles软件包使用角色

在控制节点上查看本地的角色
[root@localhost ~]# ls /usr/share/ansible/roles/

安装rhel-system-roles
[root@localhost ~]# ls /usr/share/ansible/roles/
[root@localhost ~]# yum list | grep rhel-system-roles
rhel-system-roles.noarch                    1.0-10.el7_7               extras   
rhel-system-roles-techpreview.noarch        1.0-2.el7                  extras   
[root@localhost ~]# yum install -y rhel-system-roles
已加载插件：fastestmirror, langpacks
Loading mirror speeds from cached hostfile
epel/x86_64/metalink                                          | 6.1 kB  00:00:00     
 * base: mirrors.cqu.edu.cn
 * epel: mirrors.ustc.edu.cn
 * extras: mirrors.cqu.edu.cn
 * updates: mirrors.cqu.edu.cn

在次查看本地的角色
[root@localhost ~]# ls /usr/share/ansible/roles/
linux-system-roles.kdump    linux-system-roles.storage   rhel-system-roles.postfix
linux-system-roles.network  linux-system-roles.timesync  rhel-system-roles.selinux
linux-system-roles.postfix  rhel-system-roles.kdump      rhel-system-roles.storage
linux-system-roles.selinux  rhel-system-roles.network    rhel-system-roles.timesync

Ansible具备的优点：

1. 角色可以分组内容，从而与他人轻松共享代码
2. 可以编写角色来定义系统类型的基本要素：Web服务器、数据库服务器、Git存储库，或满足其他用途
3. 角色使得较大型项目更容易管理
4. 角色可以由不同的管理员并行开发

二、Ansible角色结构

1、结构说明

1. Ansible角色由子目录和文件的标准化结构定义
2. 顶级目录定义角色本身的名称。
3. 文件整理到子目录中，子目录按照各个文件在角色中的用途进行命名，如tasks和handlers。files和templates子目录中包含由其他YAML文件中的任务引用的文件

2、Ansible角色子目录

注意：并非每个角色都拥有所有这些目录。

三、定义变量和默认值

1、定义变量

1. 角色变量通过在角色目录层次结构中创建含有键值对的vars/main.yml文件来定义（键值对：key = value）
2. 这些角色变量在角色YAML文件中引用：{{ VAR_NAME }}，这些变量具有较高的优先级，无法被清单变量覆盖

2、定义默认值

1. 默认变量允许为可在play中使用的变量设置默认值，以配置角色或自定义其行为
2. 它们通过在角色目录层次结构中创建含有键值对的defaults/main.yml文件来定义
3. 默认变量具有任何可用变量中最低的优先级。它们很容易被包括清单变量在内的任何其他变量覆盖
4. 这些变量旨在让用户在编写使用该角色的play时可以准确地自定义或控制它将要执行的操作。它们可用于向角色提供所需的信息，以正确地配置或部署某些对象
5. 在vars/main.yml或defaults/main.yml中定义具体的变量，但不要在两者中都定义，有意要覆盖变量的值时，应使用默认变量

3、注意事项

1. 角色不应该包含特定于站点的数据。它们绝对不应包含任何机密，如密码或私钥
2. 这是因为角色应该是通用的，可以重复利用并自由共享。特定于站点的详细信息不应硬编码到角色中
3. 机密应当通过其他途径提供给角色。这是用户可能要在调用角色时设置角色变量的一个原因
4. play中设置的角色变量可以提供机密，或指向含有该机密的Ansible Vault加密文件。

四、在palybook中使用ansbible角色

1、在playbook中简单调用Ansible角色

[root@localhost playbook]# cat main.yaml 
---
- host: all
  roles:
    - role_one
    - role_two
    - role_three

2、角色调用

1. 对于每个指定的角色，角色任务、角色处理程序、角色变量和角色依赖项将按照顺序导入到playbook中
2. 角色中的任何copy、script、template或include_tasks/import_tasks任务都可引用角色中相关的文件、模板或任务文件，且无需相对或绝对路径名称
3. Ansible将分别在角色的files、templates或tasks子目录中寻找它们

实例1：
[root@localhost playbook]# cat main.yaml 
---
- host: all
  gather_facts: no
  roles:
    - role: roles/role_one
    - role: roles/role_two
    - role: roles/role_three

重要：

1. 内嵌设置的角色变量（角色参数）具有非常高的优先级。它们将覆盖大多数其他变量
2. 务必要谨慎，不要重复使用内嵌设置在play中任何其他位置的任何角色变量的名称，因为角色变量的值将覆盖清单变量和任何play中的vars

五、控制执行顺序

1、顺序控制

1. 对于playbook中的每个play，任务按照任务列表中的顺序来执行。执行完所有任务后，将执行任务通知的处理程序。
2. 将角色添加到play中，角色任务将添加到任务列表的开头。如果play中包含第二个角色任务，其任务列表添加到第一个角色之后
3. 角色处理程序添加到play中的方式与角色任务添加到play中相同，每个play定义一个处理程序列表；角色处理程序先添加到处理程序列表，后跟play的handlers部分中的任何处理程序
4. 在某些情形中，可能需要在角色之前执行一些play任务。若要支持这样的情形，可以为play配置pre_tasks部分，列在此部分中的所有任务将在执行任何角色之前执行。如果这些任务中有任何一个通知了处理程序，则这些处理程序任务也在角色或普通任务之前执行
5. play也支持post_tasks关键字。这些任务在play的普通任务和它们通知的任何处理程序运行之后执行

实例演示：

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  gather_facts: no
  pre_tasks:
    - debug:
        msg: "This is one test"


  tasks:
    - name: This is twotest
      debug:
        msg: ‘This is two test‘


  post_tasks:
    - debug:
        msg: "This is three test"

执行play
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [debug] ************************************************************************
ok: [192.168.145.162] => {
    "msg": "This is one test"
}

TASK [This is twotest] **************************************************************
ok: [192.168.145.162] => {
    "msg": "This is two test"
}

TASK [debug] ************************************************************************
ok: [192.168.145.162] => {
    "msg": "This is three test"
}

PLAY RECAP **************************************************************************
192.168.145.162            : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  gather_facts: no
  tasks:
    - name: This is onetest
      debug:
        msg: "This is one test"
      notify: onetest
      changed_when: yes


  post_tasks:
    - name: This is twotest
      debug:
        msg: "This is two test"
      notify: twotest
      changed_when: yes


  pre_tasks:
    - name: Thsi is threetest
      debug:
        msg: "This is three test"
      notify: threetest
      changed_when: yes


  handlers:
    - name: onetest
      debug:
        msg: "print the one test"


    - name: twotest
      debug:
        msg: "print the two test"


    - name: threetest
      debug:
        msg: "print the three test" 


执行playbook
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [Thsi is threetest] ************************************************************
changed: [192.168.145.162] => {
    "msg": "This is three test"
}

RUNNING HANDLER [threetest] *********************************************************
ok: [192.168.145.162] => {
    "msg": "print the three test"
}

TASK [This is onetest] **************************************************************
changed: [192.168.145.162] => {
    "msg": "This is one test"
}

RUNNING HANDLER [onetest] ***********************************************************
ok: [192.168.145.162] => {
    "msg": "print the one test"
}

TASK [This is twotest] **************************************************************
changed: [192.168.145.162] => {
    "msg": "This is two test"
}

RUNNING HANDLER [twotest] ***********************************************************
ok: [192.168.145.162] => {
    "msg": "print the two test"
}

PLAY RECAP **************************************************************************
192.168.145.162            : ok=6    changed=3    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

6、在上例中，每个部分中都执行debug任务来通知my handler处理程序。my handler任务执行了三次

1. 在执行了所有pre_tasks任务后
2. 在执行了所有角色任务和tasks部分中的任务后
3. 在执行了所有post_tasks后

7、除了将角色包含在play的roles部分中外，也可以使用普通任务将角色添加到play中。

1. 使用include_role模块可以动态包含角色，使用import_role模块则可静态导入角色。
2. 注意：include_role模块是在Ansible 2.3中新增的，而import_role模块则是在Ansible 2.4中新增的

系统角色演示实例

1、时间同步角色示例

1. RHEL系统中时间同步角色的playbook是：rhel-system-rolses.timesync
2. 首次使用时间同步角色可以在rhel-system-roles.timesync/README.md查看使用的帮助文档；里面包含使用的示例

演示实例：

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  vars:
    timesync_ntp_servers:
      -hostname: 192.168.145.162
        iburst:yes


  roles:
    - rhel-system-roles.timesync

查看控制节点时间
[root@localhost ansible]# date 
2021年 08月 02日 星期一 22:23:25 CST

执行playbook
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if only NTP is needed] *********************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if single PTP is needed] *******************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if both NTP and PTP are needed] ************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Determine current NTP provider] ******************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Select NTP provider] *****************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Install chrony] **********************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Install ntp] *************************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Install linuxptp] ********************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Run phc_ctl on PTP interface] ********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Check if PTP interface supports HW timestamping] ***
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Get chrony version] ******************************
ok: [192.168.145.162]

TASK [rhel-system-roles.timesync : Get ntp version] *********************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.timesync : Generate chrony.conf file] ***********************
fatal: [192.168.145.162]: FAILED! => {"changed": false, "msg": "AnsibleUndefinedVariable: ‘ansible.parsing.yaml.objects.AnsibleUnicode object‘ has no attribute ‘hostname‘"}

PLAY RECAP **************************************************************************
192.168.145.162            : ok=6    changed=0    unreachable=0    failed=1    skipped=7    rescued=0    ignored=0   

查看受控主机上的原始时间
[root@server2 ~]# date
2021年 08月 02日 星期一 22:23:59 CST

2、调用Selinux角色示例

1. rhel-system-roles.selinux角色可以简化SELinux配置设置的管理。它通过利用SELinux相关的Ansible模块来实施
2. Selinux角色可以执行的任务

包括：

• 设置enforcing或permissive模式
• 对文件系统层次结构的各部分运行restorecon
• 设置SELinux布尔值
• 永久设置SELinux文件上下文
• 设置SELinux用户映射

演示实例：

1. 实例说明：使用rhel-system-roles.selinux角色配置修改selinux的属性时，不能立即完整更改，需要重启；
2. 其工作方式为，该角色将一个布尔值变量selinux_reboot_required设为True，如果需要重新引导，则失败。
3. 你可以使用block/rescure结构来从失败中恢复，具体操作为：如果该变量未设为true，则让play失败，如果值是true，则重新引导受管主机并重新运行该角色

查看受控主机上selinux的状态
[root@localhost ansible]# ansible all -a ‘cat /etc/selinux/config‘
192.168.145.162 | CHANGED | rc=0 >>

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected. 
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted 

查看playbook
[root@localhost ansible]# cat playbook.yaml 
---
- hosts: all
  vars:
    selinux_policy: targeted
    selinux_state: disabled
  tasks:
    - name: apply selinux role
      block:
        - include_role:
            name: rhel-system-roles.selinux


      rescue:
        - name: required reboot
          fail:
          when: not selinux_reboot_required


        - name: reboot host
          reboot:


        - name: Reapply SElinux role to complete changes
          include_role:
            name: rhel-system-roles.selinux

执行playbook
[root@localhost ansible]# ansible-playbook playbook.yaml 

PLAY [all] **************************************************************************

TASK [Gathering Facts] **************************************************************
ok: [192.168.145.162]

TASK [include_role : rhel-system-roles.selinux] *************************************

TASK [rhel-system-roles.selinux : Install SELinux python2 tools] ********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux python3 tools] ********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : refresh facts] ************************************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux tool semanage on Fedora] **********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if enabled] ***********
[WARNING]: SELinux state temporarily changed from ‘enforcing‘ to ‘permissive‘. State
change will take effect next reboot.
changed: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if disabled] **********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set ansible facts if needed] **********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Fail if reboot is required] ***********************
fatal: [192.168.145.162]: FAILED! => {"changed": false, "msg": "Reboot is required to apply changes. Re-execute the role after boot."}

TASK [required reboot] **************************************************************
skipping: [192.168.145.162]

TASK [reboot host] ******************************************************************
changed: [192.168.145.162]

TASK [Reapply SElinux role to complete changes] *************************************

TASK [rhel-system-roles.selinux : Install SELinux python2 tools] ********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux python3 tools] ********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : refresh facts] ************************************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Install SELinux tool semanage on Fedora] **********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if enabled] ***********
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set permanent SELinux state if disabled] **********
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set ansible facts if needed] **********************
ok: [192.168.145.162]

TASK [rhel-system-roles.selinux : Fail if reboot is required] ***********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : debug] ********************************************
ok: [192.168.145.162] => {
    "msg": "SELinux is disabled on system - some SELinux modules can crash"
}

TASK [rhel-system-roles.selinux : Drop all local modifications] *********************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux boolean local modifications] ****
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux file context local modifications] ***
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux port local modifications] *******
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Purge all SELinux login local modifications] ******
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Reload SELinux policy] ****************************
skipping: [192.168.145.162]

TASK [rhel-system-roles.selinux : Set SELinux booleans] *****************************

TASK [rhel-system-roles.selinux : Set SELinux file contexts] ************************

TASK [rhel-system-roles.selinux : Restore SELinux labels on filesystem tree] ********

TASK [rhel-system-roles.selinux : Restore SELinux labels on filesystem tree in check mode] ***

TASK [rhel-system-roles.selinux : Set an SELinux label on a port] *******************

TASK [rhel-system-roles.selinux : Set linux user to SELinux user mapping] ***********

PLAY RECAP **************************************************************************
192.168.145.162            : ok=11   changed=2    unreachable=0    failed=0    skipped=20   rescued=1    ignored=0   

执行playbook后，查看受管主机上的selinux状态
[root@localhost ansible]# ansible all -a ‘cat /etc/selinux/config‘
192.168.145.162 | CHANGED | rc=0 >>

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected. 
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted 

3、配置SELinux角色

1. 用于配置rhel-system-roles.selinux角色的变量的详细记录位于其README.md文件中
2. selinux_state变量设置SELinux的运行模式。它可以设为enforcing、permissive或disabled。如果未设置，则不更改模式（在上一个实例中已经演示了）
3. selinux_booleans变量取一个要调整的SELinux布尔值的列表作为值。列表中的每一项是变量的散列/字典：布尔值的name、state（它应是on还是off），以及该设置是否应在重新引导后persistent
4. selinux_fcontext变量取一个要永久设置（或删除）的文件上下文的列表作为值。它的工作方式与selinux fcontent命令非常相似
5. selinux_restore_dirs变量指定要对其运行restorecon的目录的列表
6. selinux_ports变量取应当具有特定SELinux类型的端口的列表作为值