Ansibleのwhen条件・loop・tagsでPlaybookを制御する方法｜環境ごとの分岐と対象タスクを絞り込む設計パターン

この記事のポイント

・whenはOS種別・ファクト変数・register結果・グループ判定など多様な条件を記述できる
・loopはリスト・辞書を使った繰り返しで複数ユーザー・パッケージの一括操作を簡潔に書ける
・tagsで「インストールだけ」「設定だけ」を選択実行でき大規模Playbookの運用効率が上がる
・block/rescue/alwaysはPythonのtry/except/finallyに相当するエラーハンドリング構造
・3つを組み合わせれば環境別インストール・一括作成・差分適用を1Playbookで表現できる

---
- name: OSに応じたNginxインストール
  hosts: webservers
  tasks:
    - name: Nginxをインストールする（RHEL系）
      ansible.builtin.dnf:
        name: nginx
        state: present
      when: ansible_os_family == "RedHat"

    - name: Nginxをインストールする（Debian系）
      ansible.builtin.apt:
        name: nginx
        state: present
      when: ansible_os_family == "Debian"

TASK [Nginxをインストールする（RHEL系）] *****
ok: [web01.example.com]

TASK [Nginxをインストールする（Debian系）] *****
skipping: [web01.example.com]

---
- name: サービス状態を確認してから設定を反映する
  hosts: webservers
  tasks:
    - name: サービス情報を収集する
      ansible.builtin.service_facts:

    - name: httpdが起動中の場合のみ設定ファイルを更新する
      ansible.builtin.template:
        src: httpd.conf.j2
        dest: /etc/httpd/conf/httpd.conf
        validate: "httpd -t -f %s"
      when: "'httpd.service' in ansible_facts.services and
             ansible_facts.services['httpd.service'].state == 'running'"
      notify: restart httpd

    - name: MySQLが存在するか確認する
      ansible.builtin.command:
        cmd: rpm -q mariadb-server
      register: mysql_check
      failed_when: false
      changed_when: false

    - name: MySQLが未インストールの場合のみインストールする
      ansible.builtin.dnf:
        name: mariadb-server
        state: present
      when: mysql_check.rc != 0

---
- name: 環境別セキュリティ設定
  hosts: all
  tasks:
    - name: 本番環境のWebサーバーのみSELinuxをenforcingにする
      ansible.builtin.command:
        cmd: setenforce 1
      when:
        - inventory_hostname in groups['webservers']
        - server_env == "production"

    - name: ステージング以外では詳細ログを無効化する
      ansible.builtin.lineinfile:
        path: /etc/nginx/nginx.conf
        regexp: '^access_log'
        line: "access_log off;"
      when: server_env != "staging"

# リスト形式 = すべての条件を満たす場合のみ実行（AND）
when:
  - ansible_os_family == "RedHat"
  - ansible_distribution_major_version | int >= 9
  - server_role is defined

# OR条件は括弧で明示する
when: server_role == "web" or server_role == "proxy"

- name: 必要なパッケージをまとめてインストールする
  ansible.builtin.dnf:
    name: "{{ item }}"
    state: present
  loop:
    - nginx
    - mariadb-server
    - php-fpm
    - firewalld

# より効率的な書き方（loopより推奨）
- name: 必要なパッケージをまとめてインストールする
  ansible.builtin.dnf:
    name:
      - nginx
      - mariadb-server
      - php-fpm
      - firewalld
    state: present

- name: Webアプリ用ユーザーを一括作成する
  ansible.builtin.user:
    name: "{{ item.name }}"
    groups: "{{ item.groups }}"
    comment: "{{ item.comment }}"
    state: present
  loop:
    - { name: "appuser",  groups: "nginx",       comment: "Web Application User" }
    - { name: "deployer", groups: "wheel,nginx",  comment: "Deploy Bot User" }
    - { name: "monitor",  groups: "systemd-journal", comment: "Monitoring Agent" }

# 実行結果の例
TASK [Webアプリ用ユーザーを一括作成する] *****
changed: [web01.example.com] => (item={'name': 'appuser', 'groups': 'nginx', ...})
changed: [web01.example.com] => (item={'name': 'deployer', 'groups': 'wheel,nginx', ...})
changed: [web01.example.com] => (item={'name': 'monitor', 'groups': 'systemd-journal', ...})

- name: Nginxバーチャルホストの設定ファイルを配置する
  ansible.builtin.template:
    src: "vhost.conf.j2"
    dest: "/etc/nginx/conf.d/{{ item.domain }}.conf"
  loop:
    - { domain: "app.example.com",  port: 8080, upstream: "app_pool" }
    - { domain: "api.example.com",  port: 8081, upstream: "api_pool" }
    - { domain: "admin.example.com",port: 8082, upstream: "admin_pool" }
  loop_control:
    label: "{{ item.domain }}"   # ← ドメイン名だけ表示

# label指定後の出力（すっきり）
changed: [web01] => (item=app.example.com)
changed: [web01] => (item=api.example.com)
changed: [web01] => (item=admin.example.com)

- name: 本番環境用ユーザーのみ作成する
  ansible.builtin.user:
    name: "{{ item.name }}"
    state: present
  loop:
    - { name: "appuser",  env: "production" }
    - { name: "testuser", env: "staging"    }
    - { name: "devuser",  env: "development"}
  when: item.env == server_env
  loop_control:
    label: "{{ item.name }} ({{ item.env }})"

---
- name: Webサーバーのフルセットアップ
  hosts: webservers
  tags: webserver        # ← プレイ全体にタグを付ける

  tasks:
    - name: Nginxをインストールする
      ansible.builtin.dnf:
        name: nginx
        state: present
      tags: [install, nginx]     # ← タスクに複数のタグを付ける

    - name: Nginx設定ファイルを配置する
      ansible.builtin.template:
        src: nginx.conf.j2
        dest: /etc/nginx/nginx.conf
      tags: [config, nginx]
      notify: nginx restart

    - name: Nginxを起動・自動起動有効にする
      ansible.builtin.service:
        name: nginx
        state: started
        enabled: true
      tags: [service, nginx]

    - name: ログ収集用の監視エージェントをインストールする
      ansible.builtin.dnf:
        name: node_exporter
        state: present
      tags: [install, monitoring]

# インストールタスクだけ実行する
ansible-playbook site.yml --tags install

# 設定ファイル更新だけ実行する（サービス再起動なし）
ansible-playbook site.yml --tags config

# Nginx関連タスクだけ実行する
ansible-playbook site.yml --tags nginx

# 複数のタグを指定する（いずれかに一致するタスクを実行）
ansible-playbook site.yml --tags "install,config"

# 監視エージェントをスキップしてWebサーバーのみセットアップ
ansible-playbook site.yml --skip-tags monitoring

# 利用可能なタグを事前確認する（実行はしない）
ansible-playbook site.yml --list-tags

# 出力例
  play #1 (webservers): Webサーバーのフルセットアップ
      TASK TAGS: [config, install, monitoring, nginx, service, webserver]

- name: 実行前の事前確認（常に実行する）
  ansible.builtin.debug:
    msg: "対象ホスト: {{ inventory_hostname }}, 環境: {{ server_env }}"
  tags: always     # ← どんな--skip-tagsでも必ず実行

- name: 本番環境の全データを削除する（明示的に指定した時のみ実行）
  ansible.builtin.file:
    path: /var/lib/app/data
    state: absent
  tags: never      # ← --tags neverを指定した時のみ実行（誤実行防止）

---
- name: 環境別Webアプリセットアップ
  hosts: all
  vars:
    app_users:
      - { name: "appuser",   env: "production",   uid: 1001 }
      - { name: "stagingapp",env: "staging",       uid: 1002 }
      - { name: "devapp",    env: "development",   uid: 1003 }

  tasks:
    - name: OS別にNginxをインストールする
      ansible.builtin.package:
        name: nginx
        state: present
      when: ansible_os_family in ["RedHat", "Debian"]
      tags: [install, nginx]

    - name: 対象環境のWebアプリユーザーを作成する
      ansible.builtin.user:
        name: "{{ item.name }}"
        uid: "{{ item.uid }}"
        state: present
      loop: "{{ app_users }}"
      when: item.env == server_env
      loop_control:
        label: "{{ item.name }} ({{ item.env }})"
      tags: [setup, users]

    - name: 本番環境のみSSHパスワード認証を無効化する
      ansible.builtin.lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^PasswordAuthentication'
        line: "PasswordAuthentication no"
      when:
        - ansible_os_family == "RedHat"
        - server_env == "production"
      notify: restart sshd
      tags: [security, ssh, config]

    - name: ファイアウォールでHTTP・HTTPSを開放する
      ansible.builtin.command:
        cmd: "firewall-cmd --add-service={{ item }} --permanent"
      loop:
        - http
        - https
      when: inventory_hostname in groups['webservers']
      tags: [config, firewalld]

# 本番環境でインストールとユーザー作成のみ実行
ansible-playbook site.yml -e "server_env=production" --tags "install,setup"

# ステージングでセキュリティ設定だけ更新
ansible-playbook site.yml -e "server_env=staging" --tags security

# block/rescue/always の基本構造
- name: Webサーバー設定の適用（エラーハンドリング付き）
  block:
    - name: 設定ファイルをデプロイする
      ansible.builtin.template:
        src: httpd.conf.j2
        dest: /etc/httpd/conf/httpd.conf
        owner: root
        group: root
        mode: '0644'

    - name: 設定の構文チェックを実行する
      ansible.builtin.command:
        cmd: httpd -t
      changed_when: false

    - name: httpdを再起動する
      ansible.builtin.service:
        name: httpd
        state: restarted

  rescue:
    - name: 設定ファイルをバックアップから復元する
      ansible.builtin.copy:
        src: /etc/httpd/conf/httpd.conf.bak
        dest: /etc/httpd/conf/httpd.conf
        remote_src: yes

    - name: httpdを元の設定で再起動する
      ansible.builtin.service:
        name: httpd
        state: restarted

    - name: デプロイ失敗を明示的に通知する
      ansible.builtin.fail:
        msg: "rollback completed, but original deploy failed on {{ inventory_hostname }}"

  always:
    - name: 一時ファイルを削除する
      ansible.builtin.file:
        path: /tmp/httpd_deploy_lock
        state: absent
      ignore_errors: yes

# ignore_errors: 特定タスクのみエラーを無視して続行する
- name: 既存のcronジョブを削除する（存在しなくても続行）
  ansible.builtin.cron:
    name: "old-backup-job"
    state: absent
  ignore_errors: yes

# failed_when: 失敗条件を自分で定義する
- name: プロセスの起動確認（grepはプロセスなし時にrc=1を返す）
  ansible.builtin.command:
    cmd: pgrep -x httpd
  register: httpd_check
  failed_when: httpd_check.rc != 0 and httpd_check.rc != 1
  # rc=0: プロセスあり、rc=1: プロセスなし（想定内）、それ以外: 異常

# changed_when: commandモジュールの変更判定を自分で制御する
- name: カスタムスクリプトで設定を変更する
  ansible.builtin.command:
    cmd: /opt/scripts/update-config.sh
  register: update_result
  changed_when: "'Updated' in update_result.stdout"
  # 出力にUpdatedが含まれる場合のみchangedとして扱う

# changed_when: false で副作用なしチェックコマンドをok扱いにする
- name: 設定の整合性チェックを実行する
  ansible.builtin.command:
    cmd: /opt/scripts/check-config.sh
  changed_when: false

# NG: 文字列と整数を比較しているため期待通りに動かないことがある
when: ansible_distribution_major_version == 9

# OK: | int フィルタで整数に変換してから比較する
when: ansible_distribution_major_version | int == 9

# OK: 文字列として比較する
when: ansible_distribution_major_version == "9"

- name: 複数のサービス状態を確認する
  ansible.builtin.service_facts:
  register: all_services

- name: サービス起動確認の結果をデバッグ出力する
  ansible.builtin.debug:
    msg: "{{ item.key }}: {{ item.value.state }}"
  loop: "{{ ansible_facts.services | dict2items }}"
  when: item.key in ['nginx.service', 'mariadb.service', 'firewalld.service']
  loop_control:
    label: "{{ item.key }}"

# import_tasks（静的）: インクルード先のタグが --tags で認識される
- name: Nginx設定タスクをインクルードする
  ansible.builtin.import_tasks: tasks/nginx_config.yml

# include_tasks（動的）: include自体にタグを付けることで対応する
- name: Nginx設定タスクをインクルードする
  ansible.builtin.include_tasks: tasks/nginx_config.yml
  tags: [config, nginx]

  rescue:
    - name: ロールバック処理を実行する
      ansible.builtin.copy:
        src: /etc/app/config.bak
        dest: /etc/app/config
        remote_src: yes

    # これがないとrescue後にPlaybookが続行される（要注意）
    - name: デプロイ失敗を明示的に通知する
      ansible.builtin.fail:
        msg: "Deployment failed and rolled back on {{ inventory_hostname }}"