Ansible per Svogliati

# singoli host nel gruppo "web"
[web]
web1.example.com
web2.example.com
web3.example.com ansible_host=10.0.30.13

# database con porta SSH custom
[db]
db1.example.com ansible_port=2222 ansible_user=ubuntu

# gruppo di gruppi (gerarchia)
[production:children]
web
db

# variabili per tutto un gruppo
[production:vars]
env=prod
ntp_server=ntp.example.com

all:
  children:
    web:
      hosts:
        web1.example.com:
        web2.example.com:
    db:
      hosts:
        db1.example.com:
          ansible_port: 2222
          ansible_user: ubuntu
    production:
      children:
        web:
        db:
      vars:
        env: prod

plugin: amazon.aws.aws_ec2
regions:
  - eu-central-1
filters:
  tag:Environment: production
keyed_groups:
  - key: tags.Role
    prefix: role
hostnames:
  - private-ip-address

---  # sì, i tre trattini servono. no, nessuno sa perché esattamente
- name: Configura web server
  hosts: web
  become: yes        # sudo
  vars:
    http_port: 80
    server_name: example.com

  tasks:
    - name: Installa nginx
      ansible.builtin.apt:
        name: nginx
        state: present
        update_cache: yes

    - name: Copia config nginx
      ansible.builtin.template:
        src: nginx.conf.j2
        dest: /etc/nginx/sites-available/default
        owner: root
        mode: '0644'
      notify: Restart nginx

    - name: Assicurati che nginx sia attivo
      ansible.builtin.systemd:
        name: nginx
        state: started
        enabled: yes

  handlers:
    - name: Restart nginx
      ansible.builtin.systemd:
        name: nginx
        state: restarted

# condizionale
- name: Installa nginx solo su Debian
  ansible.builtin.apt:
    name: nginx
    state: present
  when: ansible_os_family == "Debian"

# loop
- name: Crea più utenti
  ansible.builtin.user:
    name: "{{ item }}"
    state: present
  loop:
    - alice
    - bob
    - charlie

# ignora errori (la versione "vediamo che succede")
- name: Prova qualcosa di rischioso
  ansible.builtin.shell: /usr/local/bin/legacy-script.sh
  ignore_errors: yes
  register: result

# cattura il risultato e usalo dopo
- name: Mostra cosa ha fatto
  ansible.builtin.debug:
    var: result.stdout

server {
    listen {{ http_port }};
    server_name {{ server_name }};

    root /var/www/{{ server_name }};
    index index.html;

    # condizionale dentro il template
    {% if enable_ssl %}
    listen 443 ssl;
    ssl_certificate /etc/letsencrypt/live/{{ server_name }}/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/{{ server_name }}/privkey.pem;
    {% endif %}

    # loop dentro il template
    {% for upstream in backend_servers %}
    location /api/{{ loop.index }} {
        proxy_pass http://{{ upstream.host }}:{{ upstream.port }};
    }
    {% endfor %}
}

roles/
└── nginx/
    ├── defaults/
    │   └── main.yml       # variabili default (priorità bassa)
    ├── vars/
    │   └── main.yml       # variabili "costanti" (priorità alta)
    ├── tasks/
    │   └── main.yml       # i task del role
    ├── handlers/
    │   └── main.yml       # gli handler
    ├── templates/
    │   └── nginx.conf.j2  # template Jinja2
    ├── files/
    │   └── default.html   # file statici da copiare
    ├── meta/
    │   └── main.yml       # dipendenze, autore, supporto OS
    └── README.md          # che nessuno legge

# requirements.yml
roles:
  - name: geerlingguy.docker
    version: "7.4.1"

collections:
  - name: community.general
  - name: ansible.posix

# installazione
ansible-galaxy install -r requirements.yml
ansible-galaxy collection install -r requirements.yml

# cifra un file esistente
ansible-vault encrypt group_vars/all/secrets.yml

# crea un file nuovo già cifrato
ansible-vault create group_vars/all/secrets.yml

# modifica un file cifrato (apre l'editor)
ansible-vault edit group_vars/all/secrets.yml

# vedi il contenuto in chiaro (su stdout)
ansible-vault view group_vars/all/secrets.yml

# cambia la password
ansible-vault rekey group_vars/all/secrets.yml

# lancia il playbook chiedendo la password vault
ansible-playbook site.yml --ask-vault-pass

# meglio: file con la password (in .gitignore!)
ansible-playbook site.yml --vault-password-file ~/.vault_pass.txt

# dry run — non applica nulla, mostra cosa farebbe
ansible-playbook site.yml --check

# mostra anche le diff dei file modificati
ansible-playbook site.yml --check --diff

# verbose — sale a -vvvv per vedere SSH e tutto
ansible-playbook site.yml -vvv

# lancia solo task con un certo tag
ansible-playbook site.yml --tags nginx

# salta task con un certo tag
ansible-playbook site.yml --skip-tags slow

# inizia da un task specifico (per riprendere da dove hai fallito)
ansible-playbook site.yml --start-at-task "Configure database"

# limita a un solo host (per testare)
ansible-playbook site.yml --limit web1.example.com

# test ad-hoc senza playbook
ansible web -m ping
ansible web -m shell -a "uptime"
ansible web -m setup   # mostra tutti i fact dell'host