Ansibleのwhen条件・loop・tagsでPlaybookを制御する方法｜環境ごとの分岐と対象タスクを絞り込む設計パターン

この記事のポイント

・whenはOS種別・ファクト変数・register結果・グループ判定など多様な条件を記述できる
・loopはリスト・辞書を使った繰り返しで複数ユーザー・パッケージの一括操作を簡潔に書ける
・tagsで「インストールだけ」「設定だけ」を選択実行でき大規模Playbookの運用効率が上がる
・registerで保存した実行結果をset_factで加工することで動的な変数設計が実現できる
・block/rescue/alwaysはPythonのtry/except/finallyに相当するエラーハンドリング構造

---
- name: OSに応じたNginxインストール
  hosts: webservers
  tasks:
    - name: Nginxをインストールする（RHEL系）
      ansible.builtin.dnf:
        name: nginx
        state: present
      when: ansible_os_family == "RedHat"

    - name: Nginxをインストールする（Debian系）
      ansible.builtin.apt:
        name: nginx
        state: present
      when: ansible_os_family == "Debian"

TASK [Nginxをインストールする（RHEL系）] *****
ok: [web01.example.com]

TASK [Nginxをインストールする（Debian系）] *****
skipping: [web01.example.com]

---
- name: サービス状態を確認してから設定を反映する
  hosts: webservers
  tasks:
    - name: サービス情報を収集する
      ansible.builtin.service_facts:

    - name: httpdが起動中の場合のみ設定ファイルを更新する
      ansible.builtin.template:
        src: httpd.conf.j2
        dest: /etc/httpd/conf/httpd.conf
        validate: "httpd -t -f %s"
      when: "'httpd.service' in ansible_facts.services and
             ansible_facts.services['httpd.service'].state == 'running'"
      notify: restart httpd

    - name: MySQLが存在するか確認する
      ansible.builtin.command:
        cmd: rpm -q mariadb-server
      register: mysql_check
      failed_when: false
      changed_when: false

    - name: MySQLが未インストールの場合のみインストールする
      ansible.builtin.dnf:
        name: mariadb-server
        state: present
      when: mysql_check.rc != 0

---
- name: 環境別セキュリティ設定
  hosts: all
  tasks:
    - name: 本番環境のWebサーバーのみSELinuxをenforcingにする
      ansible.builtin.command:
        cmd: setenforce 1
      when:
        - inventory_hostname in groups['webservers']
        - server_env == "production"

    - name: ステージング以外では詳細ログを無効化する
      ansible.builtin.lineinfile:
        path: /etc/nginx/nginx.conf
        regexp: '^access_log'
        line: "access_log off;"
      when: server_env != "staging"

# リスト形式 = すべての条件を満たす場合のみ実行（AND）
when:
  - ansible_os_family == "RedHat"
  - ansible_distribution_major_version | int >= 9
  - server_role is defined

# OR条件は括弧で明示する
when: server_role == "web" or server_role == "proxy"

- name: MySQLのデータベース一覧を取得する
  ansible.builtin.command:
    cmd: mysql -e "SHOW DATABASES;" --batch --skip-column-names
  register: mysql_db_list
  changed_when: false

# register変数全体をdumpして構造を確認する
- name: register変数の構造を確認する
  ansible.builtin.debug:
    var: mysql_db_list

ok: [db01.example.com] => {
    "mysql_db_list": {
        "changed": false,
        "cmd": ["mysql", "-e", "SHOW DATABASES;", "--batch", "--skip-column-names"],
        "delta": "0:00:00.145231",
        "failed": false,
        "rc": 0,
        "stderr": "",
        "stderr_lines": [],
        "stdout": "information_schema\nmysql\nperformance_schema\nmyapp",
        "stdout_lines": [
            "information_schema",
            "mysql",
            "performance_schema",
            "myapp"
        ]
    }
}

# Pythonのバージョンを取得する（出力例: "Python 3.11.4"）
- name: Pythonバージョンを確認する
  ansible.builtin.command:
    cmd: python3 --version
  register: python_version_raw
  changed_when: false

# set_factで必要な数値部分だけを抽出・変換する
- name: Pythonバージョン文字列を整形する
  ansible.builtin.set_fact:
    python_version: "{{ python_version_raw.stdout.split(' ')[1] }}"
    python_major: "{{ python_version_raw.stdout.split(' ')[1].split('.')[0] | int }}"

# 整形した変数を条件分岐で使う
- name: Python 3.10以上の場合のみパッケージをインストールする
  ansible.builtin.pip:
    name: tomllib
    state: present
  when: python_major | int >= 3

# ルートパーティションの使用率を取得する
- name: ディスク使用率を取得する
  ansible.builtin.command:
    cmd: df / --output=pcent
  register: disk_usage_raw
  changed_when: false

# 出力例（2行: ヘッダ + 値）
# Use%
#  72%
# 末尾の%を除いて整数に変換する
- name: ディスク使用率を整形する
  ansible.builtin.set_fact:
    disk_usage_pct: "{{ disk_usage_raw.stdout_lines[1] | trim | replace('%', '') | int }}"

# 80%以上なら警告を出す
- name: ディスク使用率が高い場合に警告を出す
  ansible.builtin.debug:
    msg: "警告: ディスク使用率が {{ disk_usage_pct }}% に達しています。クリーンアップを検討してください。"
  when: disk_usage_pct | int >= 80

# 複数サービスの稼働状態を一括確認する
- name: 各サービスの稼働状態を確認する
  ansible.builtin.command:
    cmd: systemctl is-active {{ item }}
  loop:
    - nginx
    - mysqld
    - redis
  register: service_status
  failed_when: false
  changed_when: false

# 停止しているサービスだけを起動する
- name: 停止サービスを起動する
  ansible.builtin.systemd:
    name: "{{ item.item }}"
    state: started
  loop: "{{ service_status.results }}"
  when: item.rc != 0
  loop_control:
    label: "{{ item.item }}"

- name: 必要なパッケージをまとめてインストールする
  ansible.builtin.dnf:
    name: "{{ item }}"
    state: present
  loop:
    - nginx
    - mariadb-server
    - php-fpm
    - firewalld

# より効率的な書き方（loopより推奨）
- name: 必要なパッケージをまとめてインストールする
  ansible.builtin.dnf:
    name:
      - nginx
      - mariadb-server
      - php-fpm
      - firewalld
    state: present

- name: Webアプリ用ユーザーを一括作成する
  ansible.builtin.user:
    name: "{{ item.name }}"
    groups: "{{ item.groups }}"
    comment: "{{ item.comment }}"
    state: present
  loop:
    - { name: "appuser",  groups: "nginx",       comment: "Web Application User" }
    - { name: "deployer", groups: "wheel,nginx",  comment: "Deploy Bot User" }
    - { name: "monitor",  groups: "systemd-journal", comment: "Monitoring Agent" }

# 実行結果の例
TASK [Webアプリ用ユーザーを一括作成する] *****
changed: [web01.example.com] => (item={'name': 'appuser', 'groups': 'nginx', ...})
changed: [web01.example.com] => (item={'name': 'deployer', 'groups': 'wheel,nginx', ...})
changed: [web01.example.com] => (item={'name': 'monitor', 'groups': 'systemd-journal', ...})

- name: Nginxバーチャルホストの設定ファイルを配置する
  ansible.builtin.template:
    src: "vhost.conf.j2"
    dest: "/etc/nginx/conf.d/{{ item.domain }}.conf"
  loop:
    - { domain: "app.example.com",  port: 8080, upstream: "app_pool" }
    - { domain: "api.example.com",  port: 8081, upstream: "api_pool" }
    - { domain: "admin.example.com",port: 8082, upstream: "admin_pool" }
  loop_control:
    label: "{{ item.domain }}"   # ← ドメイン名だけ表示

# label指定後の出力（すっきり）
changed: [web01] => (item=app.example.com)
changed: [web01] => (item=api.example.com)
changed: [web01] => (item=admin.example.com)

- name: 本番環境用ユーザーのみ作成する
  ansible.builtin.user:
    name: "{{ item.name }}"
    state: present
  loop:
    - { name: "appuser",  env: "production" }
    - { name: "testuser", env: "staging"    }
    - { name: "devuser",  env: "development"}
  when: item.env == server_env
  loop_control:
    label: "{{ item.name }} ({{ item.env }})"

---
- name: Webサーバーのフルセットアップ
  hosts: webservers
  tags: webserver        # ← プレイ全体にタグを付ける

  tasks:
    - name: Nginxをインストールする
      ansible.builtin.dnf:
        name: nginx
        state: present
      tags: [install, nginx]     # ← タスクに複数のタグを付ける

    - name: Nginx設定ファイルを配置する
      ansible.builtin.template:
        src: nginx.conf.j2
        dest: /etc/nginx/nginx.conf
      tags: [config, nginx]
      notify: nginx restart

    - name: Nginxを起動・自動起動有効にする
      ansible.builtin.service:
        name: nginx
        state: started
        enabled: true
      tags: [service, nginx]

    - name: ログ収集用の監視エージェントをインストールする
      ansible.builtin.dnf:
        name: node_exporter
        state: present
      tags: [install, monitoring]

# インストールタスクだけ実行する
ansible-playbook site.yml --tags install

# 設定ファイル更新だけ実行する（サービス再起動なし）
ansible-playbook site.yml --tags config

# Nginx関連タスクだけ実行する
ansible-playbook site.yml --tags nginx

# 複数のタグを指定する（いずれかに一致するタスクを実行）
ansible-playbook site.yml --tags "install,config"

# 監視エージェントをスキップしてWebサーバーのみセットアップ
ansible-playbook site.yml --skip-tags monitoring

# 利用可能なタグを事前確認する（実行はしない）
ansible-playbook site.yml --list-tags

# 出力例
  play #1 (webservers): Webサーバーのフルセットアップ
      TASK TAGS: [config, install, monitoring, nginx, service, webserver]

- name: 実行前の事前確認（常に実行する）
  ansible.builtin.debug:
    msg: "対象ホスト: {{ inventory_hostname }}, 環境: {{ server_env }}"
  tags: always     # ← どんな--skip-tagsでも必ず実行

- name: 本番環境の全データを削除する（明示的に指定した時のみ実行）
  ansible.builtin.file:
    path: /var/lib/app/data
    state: absent
  tags: never      # ← --tags neverを指定した時のみ実行（誤実行防止）

---
- name: 環境別Webアプリセットアップ
  hosts: all
  vars:
    app_users:
      - { name: "appuser",   env: "production",   uid: 1001 }
      - { name: "stagingapp",env: "staging",       uid: 1002 }
      - { name: "devapp",    env: "development",   uid: 1003 }

  tasks:
    - name: OS別にNginxをインストールする
      ansible.builtin.package:
        name: nginx
        state: present
      when: ansible_os_family in ["RedHat", "Debian"]
      tags: [install, nginx]

    - name: 対象環境のWebアプリユーザーを作成する
      ansible.builtin.user:
        name: "{{ item.name }}"
        uid: "{{ item.uid }}"
        state: present
      loop: "{{ app_users }}"
      when: item.env == server_env
      loop_control:
        label: "{{ item.name }} ({{ item.env }})"
      tags: [setup, users]

    - name: 本番環境のみSSHパスワード認証を無効化する
      ansible.builtin.lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^PasswordAuthentication'
        line: "PasswordAuthentication no"
      when:
        - ansible_os_family == "RedHat"
        - server_env == "production"
      notify: restart sshd
      tags: [security, ssh, config]

    - name: ファイアウォールでHTTP・HTTPSを開放する
      ansible.builtin.command:
        cmd: "firewall-cmd --add-service={{ item }} --permanent"
      loop:
        - http
        - https
      when: inventory_hostname in groups['webservers']
      tags: [config, firewalld]

# 本番環境でインストールとユーザー作成のみ実行
ansible-playbook site.yml -e "server_env=production" --tags "install,setup"

# ステージングでセキュリティ設定だけ更新
ansible-playbook site.yml -e "server_env=staging" --tags security

# block/rescue/always の基本構造
- name: Webサーバー設定の適用（エラーハンドリング付き）
  block:
    - name: 設定ファイルをデプロイする
      ansible.builtin.template:
        src: httpd.conf.j2
        dest: /etc/httpd/conf/httpd.conf
        owner: root
        group: root
        mode: '0644'

    - name: 設定の構文チェックを実行する
      ansible.builtin.command:
        cmd: httpd -t
      changed_when: false

    - name: httpdを再起動する
      ansible.builtin.service:
        name: httpd
        state: restarted

  rescue:
    - name: 設定ファイルをバックアップから復元する
      ansible.builtin.copy:
        src: /etc/httpd/conf/httpd.conf.bak
        dest: /etc/httpd/conf/httpd.conf
        remote_src: yes

    - name: httpdを元の設定で再起動する
      ansible.builtin.service:
        name: httpd
        state: restarted

    - name: デプロイ失敗を明示的に通知する
      ansible.builtin.fail:
        msg: "rollback completed, but original deploy failed on {{ inventory_hostname }}"

  always:
    - name: 一時ファイルを削除する
      ansible.builtin.file:
        path: /tmp/httpd_deploy_lock
        state: absent
      ignore_errors: yes

rescue:
  - name: 失敗の詳細を表示する
    ansible.builtin.debug:
      msg: >
        失敗したタスク: {{ ansible_failed_task.name }}
        終了コード: {{ ansible_failed_result.rc | default('N/A') }}
        エラー内容: {{ ansible_failed_result.msg | default('詳細なし') }}

  - name: 終了コードが2の場合はディスク不足として処理する
    ansible.builtin.command:
      cmd: /usr/local/bin/cleanup-disk.sh
    when: ansible_failed_result.rc is defined and ansible_failed_result.rc == 2

- name: 外側のblock（全体の安全ネット）
  block:
    - name: 内側のblock（バックアップフェーズ）
      block:
        - name: データベースバックアップ
          ansible.builtin.command:
            cmd: "mysqldump -u root mydb > /tmp/mydb.sql"
      rescue:
        - name: バックアップ失敗を通知して処理を中止する
          ansible.builtin.fail:
            msg: "バックアップなしに本番作業は続行できません"

  rescue:
    - name: 全体処理の失敗を記録する
      ansible.builtin.debug:
        msg: "バックアップを含む全体処理が失敗しました。手動での確認が必要です"

# ignore_errors: 特定タスクのみエラーを無視して続行する
- name: 既存のcronジョブを削除する（存在しなくても続行）
  ansible.builtin.cron:
    name: "old-backup-job"
    state: absent
  ignore_errors: yes

# failed_when: 失敗条件を自分で定義する
- name: プロセスの起動確認（grepはプロセスなし時にrc=1を返す）
  ansible.builtin.command:
    cmd: pgrep -x httpd
  register: httpd_check
  failed_when: httpd_check.rc != 0 and httpd_check.rc != 1
  # rc=0: プロセスあり、rc=1: プロセスなし（想定内）、それ以外: 異常

# changed_when: commandモジュールの変更判定を自分で制御する
- name: カスタムスクリプトで設定を変更する
  ansible.builtin.command:
    cmd: /opt/scripts/update-config.sh
  register: update_result
  changed_when: "'Updated' in update_result.stdout"
  # 出力にUpdatedが含まれる場合のみchangedとして扱う

# changed_when: false で副作用なしチェックコマンドをok扱いにする
- name: 設定の整合性チェックを実行する
  ansible.builtin.command:
    cmd: /opt/scripts/check-config.sh
  changed_when: false

---
- name: httpdのパッチ適用とロールバック設計
  hosts: webservers
  gather_facts: yes

  tasks:
    - name: httpd パッチ適用ブロック
      block:
        # 更新前バージョンを記録（ロールバック用）
        - name: 現在のhttpdバージョンを取得する
          ansible.builtin.command:
            cmd: rpm -q httpd
          register: httpd_version_before
          changed_when: false

        # パッケージ更新
        - name: httpdを最新バージョンに更新する
          ansible.builtin.dnf:
            name: httpd
            state: latest

        # サービス再起動
        - name: httpdを再起動する
          ansible.builtin.service:
            name: httpd
            state: restarted

        # 動作確認（200が返れば正常）
        - name: Webサーバーの応答を確認する
          ansible.builtin.uri:
            url: "http://{{ inventory_hostname }}/server-status"
            status_code: 200
          retries: 3
          delay: 5

      rescue:
        - name: 失敗タスクと原因を記録する
          ansible.builtin.debug:
            msg: >
              パッチ適用失敗: {{ ansible_failed_task.name }}
              エラー内容: {{ ansible_failed_result.msg | default('詳細なし') }}

        # httpd_version_beforeが未定義の場合（バージョン取得自体が失敗）はスキップ
        - name: ロールバック（旧バージョンに戻す）
          ansible.builtin.dnf:
            name: "{{ httpd_version_before.stdout }}"
            state: present
          when: httpd_version_before is defined and httpd_version_before.rc == 0

        - name: httpdを再起動する（ロールバック後）
          ansible.builtin.service:
            name: httpd
            state: restarted

      always:
        - name: 最終的なhttpdの稼働状態を確認する
          ansible.builtin.service_facts:

        - name: 適用結果を表示する
          ansible.builtin.debug:
            msg: "httpd の最終状態: {{ ansible_facts.services['httpd.service'].state }}"

rescue:
  - name: ロールバックを実行する
    ansible.builtin.command:
      cmd: /usr/local/bin/rollback.sh
    register: rollback_result

always:
  - name: ロールバック結果をalwaysから参照して表示する
    ansible.builtin.debug:
      msg: >
        ロールバック実行: {{ rollback_result is defined }}
        ロールバック結果: {{ rollback_result.rc | default('未実行') }}

# NG: 文字列と整数を比較しているため期待通りに動かないことがある
when: ansible_distribution_major_version == 9

# OK: | int フィルタで整数に変換してから比較する
when: ansible_distribution_major_version | int == 9

# OK: 文字列として比較する
when: ansible_distribution_major_version == "9"

# 複数サービスの確認結果をregisterで保存する
- name: 各サービスの稼働状態を確認する
  ansible.builtin.command:
    cmd: systemctl is-active {{ item }}
  loop:
    - nginx
    - mysqld
    - redis
  register: service_check
  failed_when: false
  changed_when: false

# .results リストをループして停止サービスだけ起動する
- name: 停止サービスを起動する
  ansible.builtin.systemd:
    name: "{{ item.item }}"    # item.item = 元のループデータ（サービス名）
    state: started
  loop: "{{ service_check.results }}"
  when: item.rc != 0           # item.rc = そのループ回の終了コード
  loop_control:
    label: "{{ item.item }}"

# import_tasks（静的）: インクルード先のタグが --tags で認識される
- name: Nginx設定タスクをインクルードする
  ansible.builtin.import_tasks: tasks/nginx_config.yml

# include_tasks（動的）: include自体にタグを付けることで対応する
- name: Nginx設定タスクをインクルードする
  ansible.builtin.include_tasks: tasks/nginx_config.yml
  tags: [config, nginx]

  rescue:
    - name: ロールバック処理を実行する
      ansible.builtin.copy:
        src: /etc/app/config.bak
        dest: /etc/app/config
        remote_src: yes

    # これがないとrescue後にPlaybookが続行される（要注意）
    - name: デプロイ失敗を明示的に通知する
      ansible.builtin.fail:
        msg: "Deployment failed and rolled back on {{ inventory_hostname }}"

  always:
    # 通知タスクが失敗してもPlaybook全体の結果に影響させない
    - name: 結果を管理者へ通知する
      ansible.builtin.uri:
        url: "https://hooks.example.com/notify"
        method: POST
        body: "{{ inventory_hostname }}: deploy completed"
      ignore_errors: yes

    - name: 一時ファイルを削除する
      ansible.builtin.file:
        path: /tmp/deploy_lock
        state: absent
      ignore_errors: yes

# スキップ対策: is defined チェックを追加する
- name: バックアップのステータスを報告する
  ansible.builtin.debug:
    msg: "バックアップ完了: {{ backup_result.stdout }}"
  when:
    - backup_result is defined
    - backup_result.rc == 0