第2章
Ansible基础元素介绍
第1章介绍了Ansible的功能作用、通信发展史、基础的安装部署及处理Ansible安装问题所需的Python多环境管理工具Pyenv和Virutalenv。在前期基本工作准备妥当的基础上，本章进一步深入学习Ansible的基础元素，会相继接触Ansible目录结构简介、Ansible系列命令、Ansible Inventory配置规范、Ansible模式匹配规则等，其中部分内容，诸如Inventory、Ansible-playbook等在后续涉及章节会更深入介绍。本章主要是为大家呈现Ansible及系列命令的基础入门介绍，所介绍的内容相互之间没有紧密关系，可选择性地阅读感兴趣章节。
2.1 Ansible目录结构介绍
Ansible是开源工具，整个开发过程或二次开发均遵循GPL协议，所以所有源码均可见。作为一款日常工作所需的核心软件，我们有必要知道其目录分布及各目录功能。通过如下命令我们可以获取Ansible所有文件存放目录：
# rpm -ql ansible
该命令输出内容较多，大致分为如下几类：
❑配置文件目录/etc/ansible/
❑执行文件目录/usr/bin/
❑Lib库依赖目录/usr/lib/pythonX.X/site-packages/ansible/
❑Help文档目录/usr/share/doc/ansible-X.X.X/
❑Man文档目录/usr/share/man/man1/
整体的目录概要可参考如图2-1所示的Ansible目录树结构。
图2-1 Ansible目录树结构
其中，如下目录运维常要配置，需熟练掌握。
1）配置文件目录/etc/ansible/，主要功能为：Inventory主机信息配置、Ansible工具功能配置等。所有Ansible的配置均存放在该目录下，运维日常的所有配置类操作也均基于此目录进行。
2）执行文件目录/usr/bin/，主要功能为：Ansible系列命令默认存放目录。Ansible所有的可执行文件均存放在该目录下。
在/usr/lib/pythonXXX/site-packages/下，该目录是系统当前默认的Python路径，因为Ansible是基于Python编写的，所以Ansible的所有lib库文件和模块文件也均存放于该目录下。希望了解Ansible源码的话可至该目录下查看其工作原理，当然也可至GitHub
上下载历史或最新Ansible 版本。
2.2 Ansible配置文件解析
Inventory用于定义Ansible的主机列表配置，Ansible的自身配置文件只有一个，即ansible.cfg, Ansible安装好后它默认存放于/etc/ansible/目录下。ansible.cfg配置文件可以存在于多个地方，Ansible读取配置文件的顺序依次是当前命令执行目录→用户家目录下的．ansible.cfg→/etc/ansible.cfg，先找到哪个就使用哪个的配置。其ansible.cfg配置的所有内容均可在命令行通过参数的形式传递或定义在Playbooks中。
配置文件ansible.cfg约有350行语句，大多数为注释行默认配置项。该文件遵循INI格式，分为如下几类配置。
（1）[defaults]
该类配置下定义常规的连接类配置，如inventory、library、remote_tmp、local_tmp、forks、poll_interval、sudo_user、ask_sudo_pass、ask_pass、transport、remote_port等。
[defaults]
# inventory = /etc/ansible/hosts # 定义Inventory
# library = /usr/share/my_modules/ # 自定义lib库存放目录
# remote_tmp = $HOME/.ansible/tmp # 临时文件远程主机存放目录
# local_tmp = $HOME/.ansible/tmp # 临时文件本地存放目录
# forks = 5 # 默认开启的并发数
# poll_interval = 15 # 默认轮询时间间隔
# sudo_user = root # 默认sudo用户
# ask_sudo_pass = True # 是否需要sudo密码
# ask_pass = True # 是否需要密码
# roles_path = /etc/ansible/roles # 默认下载的Roles存放的目录
# host_key_checking = False # 首次连接是否需要检查key认证，建议设为False
# timeout = 10 # 默认超时时间
# timeout = 10 # 如没有指定用户，默认使用的远程连接用户
# log_path = /var/log/ansible.log # 执行日志存放目录
# module_name = command # 默认执行的模块
# action_plugins = /usr/share/ansible/plugins/action # action插件的存放目录
# callback_plugins = /usr/share/ansible/plugins/callback # callback插件的存放目录
# connection_plugins = /usr/share/ansible/plugins/connection # connection插件的
# 存放目录
# lookup_plugins = /usr/share/ansible/plugins/lookup # lookup插件的存放目录
# vars_plugins = /usr/share/ansible/plugins/vars # vars插件的存放目录
# filter_plugins = /usr/share/ansible/plugins/filter # filter插件的存放目录
# test_plugins = /usr/share/ansible/plugins/test # test插件的存放目录
# strategy_plugins = /usr/share/ansible/plugins/strategy# strategy插件的存放目录
# fact_caching = memory # getfact缓存的主机信息存放方式
# retry_files_enabled = False
# retry_files_save_path = ～/.ansible-retry # 错误重启文件存放目录
…
上述是日常可能用到的配置，这些多数保持默认即可。
（2）[privilege_escalation]
出于安全角度考虑，部分公司不希望直接以root的高级管理员权限直接部署应用，往往会开放普通用户权限并给予sudo的权限，该部分配置主要针对sudo用户提权的配置。
[privilege_escalation]
# become=True # 是否sudo
# become_method=sudo # sudo方式
# become_user=root # sudo后变为root用户
# become_ask_pass=False # sudo后是否验证密码
（3）[paramiko_connection]
定义paramiko_connection配置，该部分功能不常用，了解即可。
[paramiko_connection] # 该配置不常用到
# record_host_keys=False # 不记录新主机的key以提升效率
# pty=False # 禁用sudo功能
（4）[ssh_connection]
Ansible默认使用SSH协议连接对端主机，该部署是主要是SSH连接的一些配置，但配置项较少，多数默认即可。
[ssh_connection]
# pipelining = False # 管道加速功能，需配合requiretty使用方可生效
（5）[accelerate]
Ansible连接加速相关配置。因为有部分使用者不满意Ansible的执行速度，所以Ansible在连接和执行速度方面也在不断地进行优化，该配置项在提升Ansibile连接速度时会涉及，多数保持默认即可。
[accelerate]
# accelerate_port = 5099 # 加速连接端口
# accelerate_timeout = 30 # 命令执行超时时间，单位秒
# accelerate_connect_timeout = 5.0 # 连接超时时间，单位秒
# accelerate_daemon_timeout = 30 # 上一个活动连接的时间，单位分钟
# accelerate_multi_key = yes
（6）[selinux]
关于selinux的相关配置几乎不会涉及，保持默认配置即可。
[selinux]
# libvirt_lxc_noseclabel = yes
# libvirt_lxc_noseclabel = yes
（7）[colors]
Ansible对于输出结果的颜色也进行了详尽的定义且可配置，该选项对日常功能应用影响不大，几乎不用修改，保持默认即可。
[colors]
# highlight = white
# verbose = blue
# warn = bright purple
# error = red
# debug = dark gray
# deprecate = purple
# skip = cyan
# unreachable = red
# ok = green
# changed = yellow
# diff_add = green
# diff_remove = red
# diff_lines = cyan
上面尽可能全地介绍了运维工作中可能需要修改的配置选项，除了在关闭首次连接提示（host_key_checking = False）或提速调整（[accelerate]区域块配置调整）时可能会稍做调整，其中绝大多数选项默认即可，Ansible安装好后无需任何改动即可使用。
2.3 Ansible命令用法详解
Ansible命令行执行方式有Ad-Hoc、Ansible-playbook两种方式，Web化执行方式其官方提供了付费产品Tower（10台以内免费），个人的话可以基于其提供的API开发类似的Web化产品。关于命令行执行的两种方式Ad-Hoc和Ansible-playbooks、什么是Ad-Hoc及Ad-Hoc与Ansible-playbook的区别我们在第3章有详细介绍，这里不再赘述。需简要说明的是两者没有本质上的区别，Ad-Hoc主要用于临时命令的执行，Ansibel-playbook可以理解为Ad-Hoc的集合，通过一定的规则编排在一起。两者的操作也极其简便，且提供了如with_items、failed_when、changed_when、until、ignore_errors等丰富的逻辑条件和Dry-run的Check Mode。但在Chceck Mode下并不真正执行命令，即将执行的操作不会对端服务器产生任何影响，只模拟命令的执行过程是否能正常执行。
通过第1章的学习我们知道，Ansible的通信默认基于SSH，因此我们需要对主机先进行认证。Ansible认证方式有密码认证和公私钥认证两种方式，其实完全等同于SSH的认证，所以这里关于这两种认证方式不做过多介绍。Ansible默认使用（笔者也建议各位使用）公私钥认证方式，究其原因无非是出于安全的考虑，密码不用明文存放。以本机为例，执行如下命令即可添加本机认证信息。
// 随机生成公私钥对，ssh-keygen是Linux下认证密钥生成、管理和转换工具，详细用法可参考其man文档
ssh-keygen -N "" -b 4096 -t rsa -C "stanley@magedu.com" -f/root/.ssh/stanley.rsa
// 为本机添加密钥认证
ssh-copy-id -i /root/.ssh/stanley.rsa root@localhost
输入的时候会有如下提示：
Are you sure you want to continue connecting (yes/no)?
输入全小写的英文字母yes即可。
而后会有类似如下提示输入对应root用户的密码信息：
root@localhost's password:
输入正确的密码信息后结果认证，随后在当前命令行输入如下命令尝试免密码登录：
ssh -i /root/.ssh/stanley.rsa root@localhost
如不提示输入密码即可直接登录则表示密钥验证成功。当然，这里只是为大家简要演示密钥认证的过程，实际应用中为方便起见，一般会使用非root用户生成默认文件名为id_rsa、id_rsa.pub的密钥对，在使用时通过sudo的方式获取权限。
Ansible的命令使用格式如下：
ansible <host-pattern> [options]
<host-pattern>是Inventory中定义的主机或主机组，可以为ip、hostname、Inventory中的group组名、具有“.”或“*”或“:”等特殊字符的匹配型字符串，<>表示该选项是必须项，不可忽略。
[options]是Ansible的参数选项，[ ]表示该选项中的参数任选其一。
Ansible命令可用选项非常多，这里列举如下会用到的选项，详细选项可参考man或第3章。
❑-m NAME, --module-name=NAME：指定执行使用的模块。
❑-u USERNAME, --user=USERNAME：指定远程主机以USERNAME运行命令。
❑-s, --sudo：相当于Linux系统下的sudo命令。
❑-U SUDO_USERNAME, --sudo-user=SUDO_USERNAME：使用sudo，相当于Linux下的sudo命令。
具体示例如下：
// 以bruce用户执行ping存活检测
ansible all -m ping -u bruce
//以bruce sudo至root执行ping存活检测
ansible all -m ping -u bruce --sudo
//以bruce sudo至batman用户执行ping存活检测
ansible all -m ping -u bruce --sudo --sudo-user batman
但在新版本中Ansible的sudo命令废弃，改为--become或-b，如上命令需改为如下：
//以bruce sudo至root执行ping存活检测
ansible all -m ping -u bruce -b
//以bruce sudo至batman用户执行ping存活检测
ansible all -m ping -u bruce -b --become-user batman
Ansible-playbook的命令用法和Ansible略有不同，虽然参数选项与Ansible有很多相同的地方，但也新增了针对Ansible-playbook特有的参数。
Ansible-playbook的命令使用格式如下：
ansible-playbook playbook.yml
ansible-playbook命令后跟事先编辑好的playbook.yml文件即可。本节只简单介绍其用法，在第4、5、6章有大量内容介绍其写法、高级用法及优化方向。Ansible-playbook新增的功能参数如下：
❑--ask-vault-pass：加密playbook文件时提示输入密码。
❑-D, --diff：当更新的文件数及内容较少时，该选项可显示这些文件不同的地方，该选项结合-C用会有较好的效果。
❑-e EXTRA_VARS, --extra-vars=EXTRA_VARS：在Playbook中引入外部变量。
❑--flush-cache：将fact清除到的远程主机缓存。
❑--force-handlers：强制运行handlers的任务，即使在任务失败的情况下。
❑-i INVENTORY：指定要读取的Inventory文件。
❑--list-tags：列出所有可用的tags。
❑--list-tasks：列出所有即将被执行的任务。
❑--skip-tags=SKIP_TAGS：跳过指定的tags任务。
❑--start-at-task=START_AT_TASK：从第几条任务开始执行。
❑--step：逐步执行Playbook定义的任务，并经人工确认后继续执行下一步任务。
❑--syntax-check：检查Playbook中的语法书写。
❑-t TAGS, --tags=TAGS：指定执行该tags的任务。
在日常工作中，大家经常会遇到批量添加认证的问题，而逐条添加认证方式，如机械地对每台主机都一条条添加认证，那是一件非常麻烦的事，也违反了我们期望的自动化方式。具体的批量添加认证方式请参考第9章。如前面所介绍，Ansible不仅有ansible、ansible-playbook命令，还有ansible-galaxy、ansible-pull、ansible-doc、ansible-vault、ansible-console（2.0版本新增）命令，掌握Ansible的基础用法后，我们将更深一步学习Ansible系列命令。
2.4 Ansible系列命令用法详解与使用场景介绍
如何获取Ansible的系列命令呢？在终端键入ansible后连续按两次Tab键，会补全所有以ansible字母开头的命令，这些命令均是Ansible系列命令。本节我们来逐一介绍Ansible的系列命令使用。
❑ansible
❑ansible-galaxy
❑ansible-pull
❑ansible-doc
❑ansible-playbook
❑ansible-vault
❑ansible-console
2.4.1 ansible
命令ansible是日常工作中使用率非常高的命令之一，man中是如此定义其功能的：run a command somewhere else，可见其灵活性。ansible命令主要在如下场景使用：
❑非固化需求
❑临时一次性操作
❑二次开发接口调用
那么什么是非固化需求和临时一次性操作呢？简单来讲，比如工作中我临时想查看web1服务器组是否存活，或我想临时复制本地的/etc/fstab到web服务器组的/tmp目录下做测试，类如这些没有规律的、临时需要做的任务，我们称之为非固化需求、临时一次性操作。具体的命令使用如下：
// 检查服务器存活
ansible web1 -m ping
// 复制本地文件到远程
ansible web1 -m copy -a "src=/etc/fstab dest=/tmp/fstab owner=root group=root
mode=644 backup=yes"
Ansible的返回结果都非常友好，一般会用3种颜色来表示执行结果：红色、绿色、橘黄色。其中红色表示执行过程有异常，一般会中止剩余所有的任务，如图2-2所示的Ansible执行结果错误的结果返回；绿色和橘黄色表示执行过程没有异常，所有任务均正常执行，但橘黄色表示命令执行结束后目标有状态的变化。如图2-3所示，Ansible执行结果正确的结果返回中的圆圈1为橘黄色显示；而绿色表示命令执行结束后目标没有状态变化，如图2-3中的圆圈2显示。
图2-2 Ansible执行结果错误的结果返回
图2-3 Ansible执行结果正确的结果返回
不仅ansible命令的执行结果如此设置，Ansible系列命令均如此设置，所以判断Ansible系列命令的执行结果是否正常是一件非常容易的事情，只要看颜色即可。
2.4.2 ansible-galaxy
这里的galaxy和三星手机没有任何关系。ansible-galaxy的功能可以简单地理解为GitHub或PIP的功能，通过ansible-galaxy命令，我们可以根据下载量和关注量等信息，查找和安装优秀的Roles。Roles是Ansible非常重要的一项功能，关于Roles的详细功能会在第6章介绍。在ansible-galaxy上，我们可以上传和下载Roles，这里也是优秀Roles的聚集地，下载地址为https://galaxy.ansible.com。
ansible-galaxy命令使用格式如下：
ansible-galaxy [init|info|install|list|remove] [--help] [options] ...
ansible-galaxy命令分三大部分：
（1）[init|info|install|list|remove]
init：初始化本地的Roles配置，以备上传Roles至galaxy。
❑info：列表指定Role的详细信息。
❑install：下载并安装galaxy指定的Roles到本地。
❑list：列出本地已下载的Roles。
❑remove：删除本地已下载的Roles。
Ansible 2.0版本中，针对ansible-galaxy增加了login、import、delete、setup等功能，但这些功能需基于login在galaxy认证成功后方可执行，主要为了方便对galaxy上已有的Roles的配置工作。
（2）help用法显示[--help]
针对第一部分的init、info等功能，其后跟--help可单独显示该项用法。例如：
ansible-galaxy init --help
执行后会返回ansible-galaxy init选项的用法说明。
Usage: ansible-galaxy init [options] role_name
Options:
-f, --force Force overwriting an existing role
-h, --help show this help message and exit
-c, --ignore-certs Ignore SSL certificate validation errors.
-p INIT_PATH, --init-path=INIT_PATH
The path in which the skeleton role will be created.
The default is the current working directory.
--offline Don't query the galaxy API when creating roles
-s API_SERVER, --server=API_SERVER
The API server destination
-v, --verbose verbose mode (-vvv for more, -vvvv to enable
connection debugging)
--version show program's version number and exit
其他选项与help用法一样。
（3）参数项[options]
该部分结合第一部分的参数完成ansible-galaxy完整的功能用法，如：
ansible-galaxy init [options] role_name即ansible-galaxy init后跟[-f|-h|-c|-p|--off line|-s SERVER|-v|--version]参数，后跟role-name成为一条完整的命令。
具体可参考如下：
// 下载用户hectcastro的Nginx这个Role到本地并忽略错误（默认存放在/etc/ansible/roles/）
ansible-galaxy --ignore-errors install azavea.git
因为ansible-galaxy是对https://galaxy.ansible.com网站的上传、下载、配置类工作，如有类似如下报错，请确保该网站可正常访问。
the API server (galaxy.ansible.com) is not responding, please try again later.
2.4.3 ansible-pull
该指令的使用涉及Ansible的另一种工作模式：pull模式（Ansible默认使用push模式）。这和通常使用的push模式工作机理刚好相反，其适用于以下场景：①你有数量巨大的机器需要配置，即使使用高并发线程依旧要花费很多时间；②你要在刚启动的、没有网络连接的主机上运行Anisble。
ansible-pull命令使用格式如下：
ansible-pull [options] [playbook.yml]
通过ansible-pull结合Git和crontab一并实现，其原理如下：通过crontab定期拉取指定的Git版本到本地，并以指定模式自动运行预先制订好的指令。
具体示例参考如下：
*/20 * * * * root /usr/local/bin/ansible-pull -o -C 2.1.0 -d /srv/www/king-gw/
-i /etc/ansible/hosts -U git:// git.kingifa.com/king-gw-ansiblepull >> /var/log/
ansible-pull.log 2>&1
ansible-pull通常在配置大批量机器的场景下会使用，灵活性稍有欠缺，但效率几乎可以无限提升，对运维人员的技术水平和前瞻性规划有较高要求。
2.4.4 ansible-doc
ansible-doc是Ansible模块文档说明，针对每个模块都有详细的用法说明及应用案例介绍，功能和Linux系统man命令类似。该命令使用方式如下：
ansible-doc [options] [module...]
ansible-doc命令后跟[options]参数或[模块名]，显示模块用法说明，具体示例如下：
// 列出支持的模块
ansible-doc -l
// 模块功能说明
ansible-doc ping
2.4.5 ansible-playbook
ansible-playbook是日常应用中使用频率最高的命令，其工作机制是：通过读取预先编写好的playbook文件实现批量管理。要实现的功能与命令ansible一样，可以理解为按一定条件组成的ansible任务集。
ansible-playbook命令后跟YML格式的playbook文件，执行事先编排好的任务集，命令使用方式如下：
ansible-playbook playbook.yml
具体示例如下：
// 执行gw.yml这个playbook中定义的所有任务集
ansible-playbook gw.yml
Playbook具有编写简单、可定制性高、灵活方便，以及可固化日常所有操作的特点，运维人员应熟练掌握。
2.4.6 ansible-vault
ansible-vault主要用于配置文件加密，如编写的Playbook配置文件中包含敏感信息，不希望其他人随意查看，ansible-vault可加密/解密这个配置文件，具体使用方式如下：
Usage: ansible-vault [create|decrypt|edit|encrypt|rekey|view] [--help] [options]
file_name
具体示例如下。
设定如下密码，加密a.yml文件。
ansible-vault encrypt a.yml
会有以下输入加密密码提示：
Vault password:
Confirm Vault password:
Encryption successful
这时，再打开a.yml文件后会发现该文件乱码，只有通过如下命令解密后方可正常查看。
ansible-vault decrypt a.yml
输入预设的密码后方可解密。
Vault password:
Decryption successful
此时a.yml文件可正常查看。
到此，我们对Ansible的用法及系列命令已经有了概念性的了解和掌握，接下来我们进一步了解Ansible Inventory文件的配置管理。
2.4.7 ansible-console
ansible-console是Ansible为用户提供的一款交互式工具，用户可以在ansible-console虚拟出来的终端上像Shell一样使用Ansible内置的各种命令，这为习惯于使用Shell交互方式的用户提供了良好的使用体验。ansible-console主要是针对1.X版本中ansible-shell工具而研发的，目前官网还没有对ansible-console进行详细的用法说明，最新版本的Ansible软件包也没有对应的man文档说明。经笔者实测，ansible-console命令的使用格式如下。
在终端键入ansible-console命令后，会进入如图2-4所示的类似Shell一样的交互式终端环境。
图2-4 ansible-console命令用法1
图2-4中的“root@all (4)[f:5]$”是提示符，该提示符表示“当前的使用用户@当前所在的Inventory中定义的组，默认是all分组(Inventory中all组所有主机的数量)[forks：线程数]$”。
使用cd命令可切换至指定Hosts或分组，同时提示符的相应信息也会随之变动，如图2-5所示。
图2-5 ansible-console命令用法2
如图2-5中的Ansible-console命令用法2所示，cd至webs分组后，原来的root@all (4) [f:5]$也相应地变更为root@webs (3)[f:5]，表示当前分组为webs分组，该分组所拥有的主机总数为3台。执行forks 2后，提示符再次变更为root@webs (3)[f:2]$，表示设置并发的线程数为2。
所有的操作与Shell类似，而且支持Tab键补全，如启动httpd服务时，键入service后连续按两次Tab键后会自动补全剩余的命令选项。ansible-console命令用法3如图2-6所示。
图2-6 ansible-console命令用法3
如需启动httpd服务，使用命令service name=httpd state=started，命令用法与Ad-Hoc一致，只是格式上的使用习惯不同而已。如想获取service模块更详细的用法，输入help service命令即可。ansible-console命令用法4如图2-7所示。
图2-7 ansible-console命令用法4
使用完毕如希望退出，按快捷键Ctrl+D或Ctrl+C即可退出当前的虚拟终端。
ansible-console命令在实际工作中用于Ad-Hoc和Ansible-playbooks之间的场景，常用于集中一批临时操作或命令，使用Ad-Hoc要键入很多次但整体操作的复杂度又不至于使用Playbooks时，这时ansible-console是最佳选择。
2.5 Ansible Inventory配置及详解
Inventory是Ansible管理主机信息的配置文件，相当于系统HOSTS文件的功能，默认存放在/etc/ansible/hosts。为方便批量管理主机，便捷使用其中的主机分组，Ansible通过Inventory来定义其主机和组，在使用时通过-i或--inventory-file指定读取，与Ansible命令结合使用时组合如下：
ansible -i /etc/ansible/hosts webs -m ping
如果只有一个Inventory时可不用指定路径，默认读取/etc/ansible/hosts。Inventory可以同时存在多个，而且支持动态生成，如AWS EC2、Cobbler等均支持，本节我们来学习Inventory的使用规则。
2.5.1 定义主机和组
Inventory配置文件遵循INI文件风格，中括号中的字符为组名。其支持将同一个主机同时归并到多个不同的组中，分组的功能为IT人员维护主机列表提供了非常大的便利。此外，若目标主机使用了非默认的SSH端口，还可以在主机名称之后使用冒号加端口号来标明，以行为单位分隔配置，详细信息可参考以下代码中的注释。
#“# ”开头的行表示该行为注释行，即当时行的配置不生效
# Inventory可以直接为IP地址
192.168.37.149
# Inventory同样支持Hostname的方式，后跟冒号加数字表示端口号，默认22号端口
ntp.magedu.com:2222
nfs.magedu.com
# 中括号内的内容表示一个分组的开始，紧随其后的主机均属于该组成员，空行后的主机亦属于该组，即
web2.magedu.com这台主机也属于[websevers]组
[websevers]
web1.magedu.com
web[10:20].magedu.com # [10:20]表示10～20之间的所有数字（包括10和20），即表示web10.
magedu.com、web11.magedu.com……web20.magedu.com的所有主机
web2.magedu.com[dbservers]
db-a.magedu.com
db-[b:f].magedu.com # [b:f]表示b到f之间的所有数字（包括b和f），即表示db-b.magedu.
com、db-e.magedu.com……db-f.magedu.com的所有主机
2.5.2 定义主机变量
在日常工作中，通常会遇到非标准化的需求配置，如考虑到安全性问题，业务人员通常将企业内部的Web服务80端口修改为其他端口号，而该功能可以直接通过修改Inventory配置来实现，在定义主机时为其添加主机变量，以便在Playbook中使用针对某一主机的个性化要求。
[webservers]
web1.magedu.com http_port=808 maxRequestsPerChild=801 # 自定义http_port的端口号为
808，配置maxRequestsPerChild为801
Ansible其实支持多种方式修改或自定义变量，Inventory是其中的一种修改方式，在第6章中我们会详细介绍。不管哪种修改方式，大家一定要有自己的修改规范，以便于区别管理已有配置。
2.5.3 定义组变量
Ansible支持定义组变量，主要针对大量机器的变量定义需求，赋予指定组内所有主机在Playbook中可用的变量，等同于逐一给该组下的所有主机赋予同一变量。定义组变量的参考案例如下：
[groupservers]
web1.magedu.com
web2.magedu.com
[groupservers:vars]
ntp_server=ntp.magedu.com # 定义groupservers组中所有主机ntp_server值为ntp.magedu.
com
nfs_server=nfs.magedu.com # 定义groupservers组中所有主机nfs_server值为nfs.magedu.
com
2.5.4 定义组嵌套及组变量
Inventory中，组还可以包含其他的组（嵌套），并且也可以向组中的主机指定变量。不过，这些变量只能在Ansible-playbook中使用，而Ansible不支持。组与组之间可以相互调用，并且可以向组中的主机指定变量。
参考示例如下：
[apache]
httpd1.magedu.com
httpd2.magedu.com
[nginx]
ngx1.magedu.com
ngx2.magedu.com
[webservers:children]
apache
nginx
[webservers:vars]
ntp_server=ntp.magedu.com
Ansible以简单为其核心理念，上述实现在业务日常使用中并不常见，大家了解其用法即可。
2.5.5 多重变量定义
变量除了可以在Inventory中一并定义，也可以独立于Inventory文件之外单独存储到YAML格式的配置文件中，这些文件通常以．yml、.yaml、.json为后缀或者无后缀。变量通常从如下4个位置检索：
❑Inventory配置文件（默认/etc/ansible/hosts）
❑Playbook中vars定义的区域
❑Roles中vars目录下的文件
❑Roles同级目录group_vars和hosts_vars目录下的文件
假如foosball主机同属于raleigh和webservers组，那么其变量在如下文件中设置均有效：
/etc/ansible/group_vars/raleigh # can optionally end in '.yml', '.yaml', or
'.json'
/etc/ansible/group_vars/webservers
/etc/ansible/host_vars/foosball
对于变量的读取，Ansible遵循如上优先级顺序，因此大家设置变量时尽量沿用同一种方式，以方便维护人员管理。
2.5.6 其他Inventory参数列表
除了支持如上的功能外，Ansible基于SSH连接Inventory中指定的远程主机时，还内置了很多其他参数，用于指定其交互方式，如下列举了部分重要参数：
ansible_ssh_host：指定连接主机ansible_ssh_port，指定SSH连接端口，默认22
ansible_ssh_user：指定SSH连接用户ansible_ssh_pass，指定SSH连接密码ansible_sudo_
pass：指定SSH连接时sudo密码
ansible_ssh_private_key_file：指定特有私钥文件
…
其他内置参数还有数十个，这些参数均可以直接写在命令行或Playbook文件中，以覆盖配置文件中的定义。更多参数请参考官网。
2.6 Ansible与正则
正则表达式（Patterns）是各类高级语言的必定支持的方法之一，Ansible也不例外。其Patterns功能等同于正则表达式，语法使用也和正则类同，这大大便利了运维的使用。其对于Ansible的灵活性有着极大贡献，该功能同样支持Ansible-playbook。其用法也非常简单。
ansible <pattern_goes_here> -m <module_name> -a <arguments>
该功能主要针对Inventory的主机列表使用，我们通过一些案例可以更好地了解其功能及用法。在如下示例中主要针对webservers进行正则匹配：
// 重启webservers组所有主机的httpd服务
ansible webservers -m service -a "name=httpd state=restarted"
（1）All（全量）匹配
匹配所有主机，all或*号功能相同。如检测所有主机存活情况。
// all和*功能相同，但*号需引起来
ansible all -m ping
ansible "*" -m ping
检查192.168.1.0/24网段所有主机存活状况。
ansible 192.168.1.* -m ping
（2）逻辑或（or）匹配
如我们希望同时对多台主机或多个组同时执行，相互之间用“:”（冒号）分隔即可。
web1:web2
使用方式如下：
ansible "web1:web2" -m ping
（3）逻辑非（! ）匹配
逻辑非用感叹号（! ）表示，主要针对多重条件的匹配规则，使用方式如下：
// 所有在webservers组但不在phoenix组的主机
webservers:! phoenix
（4）逻辑与（&）匹配
和逻辑非一样，逻辑与也主要针对多重条件的匹配规则，只是逻辑上的判断不同。逻辑与使用&表示，请看如下示例：
// webservers组和staging组中同时存在的主机
webservers:&staging
（5）多条件组合
Ansible同样支持多条件的复杂组合，该情况企业应用不多，这里做简单举例说明。
//webservers和dbservers两个组中的所有主机在staging组中存在且在 phoenix组中不存在的主机
webservers:dbservers:&staging:! phoenix
（6）模糊匹配
*通配符在Ansible表示0个或多个任意字符，主要应用于一些模糊规则匹配，在平时的使用中应用频率非常高，请参考如下示例：
// 所有以．magedu.com结尾的主机均符合
*.magedu.com
// one开头．com结尾的所有主机和dbservers组中的所有主机
one*.com:dbservers
（7）域切割
Ansible底层基于Python，因此也支持域切割。Python字符串域切割的示例如下：
str = '12345678'
print str[0:1]
通过[0:1]即可获取数值1。该功能在Ansible中也支持，以如下Inventory内容为例：
[webservers]
cobweb
webbing
weber
通过截取数组下标可以获得对应变量值。
webservers[0] # == cobweb
webservers[-1] # == weber
webservers[0:1] # == webservers[0], webservers[1]
# == cobweb, webbing
webservers[1:] # == webbing, weber
（8）正则匹配
Ansible同样完整支持正则匹配功能，“～”开始表示正则匹配。
～(web|db).*\.example\.com
检测beta.example.com、web.example.com、green.example.com、beta.example.org、web. example.org、green.example.org的存活，使用如下匹配模式：
ansible "～(beta|web|green)\.example\.(com|org)" -m ping
检测Inventory中所有以192.168开头的服务器存活信息：
ansible ～192\.168\.[0-9]\{\2}.[0-9]\{2, } -m ping
关于Ansible的正则功能到此结束，相信大家在浏览的过程中对其灵活程度也会有所感触，在对Ansible的实际应用过程中也会不断地加深对其理解。
2.7 本章小结
本章着重为大家介绍了Ansible目录结构功能及Ansible命令使用方式。在对Ansible的使用有概念性的了解后，又介绍Ansible系列命令的功能作用，通过简单的案例加深对各命令功能的理解。Inventory是Ansible的核心功能点之一，本章用了约一半内容讲解了Inventory的入门、书写规范、使用技巧及其与正则的结合使用。正则作为运维必备技能与Ansible的结合也使得Ansible愈显灵活，功能也愈显强大，请务必熟练掌握。下章我们将为大家介绍Ansible Ad-Hoc命令集的进阶使用。