AnsibleでLinuxサーバーのパッチ適用を自動化する方法｜dnf・aptモジュールとserialによるローリング更新

この記事のポイント

・dnf/aptモジュールのstate:latestで複数台に一括パッチ適用できる
・serialを使うとローリング更新で障害リスクを段階的に抑えられる
・pre_tasks/post_tasksで適用前後の自動検証を組み込める
・register/assertでパッチ失敗を即座に検知して処理を止められる

# inventory/hosts.yml（YAMLインベントリ）
all:
  children:
    webservers:
      hosts:
        web01.example.internal:
          ansible_host: 192.168.10.11
        web02.example.internal:
          ansible_host: 192.168.10.12
        web03.example.internal:
          ansible_host: 192.168.10.13
    dbservers:
      hosts:
        db01.example.internal:
          ansible_host: 192.168.10.21
    staging:
      hosts:
        stg01.example.internal:
          ansible_host: 192.168.10.101

roles/
  patch_apply/
    tasks/
      main.yml      # エントリポイント
      rhel.yml      # RHEL/Rocky/AlmaLinux向けdnfタスク
      debian.yml    # Ubuntu/Debian向けaptタスク
    handlers/
      main.yml      # サービス再起動ハンドラー
    defaults/
      main.yml      # 変数デフォルト値（reboot_after_patch: false等）
    meta/
      main.yml      # roleのメタ情報

# roles/patch_apply/tasks/rhel.yml
---
- name: dnfキャッシュを更新する
  ansible.builtin.dnf:
    update_cache: yes

- name: 全パッケージを最新に更新する（RHEL/Rocky Linux）
  ansible.builtin.dnf:
    name: '*'
    state: latest
    security: "{{ security_only | default(false) }}"
  register: dnf_result
  notify: check reboot required

- name: dnf更新の適用結果を確認する
  ansible.builtin.debug:
    msg: "更新されたパッケージ数: {{ dnf_result.results | default([]) | length }}"

# roles/patch_apply/tasks/debian.yml
---
- name: aptパッケージリストを更新する
  ansible.builtin.apt:
    update_cache: yes
    cache_valid_time: 3600   # 1時間以内の更新はスキップ

- name: 全パッケージをアップグレードする（Ubuntu/Debian）
  ansible.builtin.apt:
    upgrade: dist
  register: apt_result
  notify: check reboot required

- name: 不要なパッケージを削除する（autoremove）
  ansible.builtin.apt:
    autoremove: yes
    purge: yes

# roles/patch_apply/tasks/main.yml
---
- name: RHEL系サーバーのパッチ適用タスクを実行する
  ansible.builtin.include_tasks: rhel.yml
  when: ansible_facts['os_family'] == "RedHat"

- name: Debian系サーバーのパッチ適用タスクを実行する
  ansible.builtin.include_tasks: debian.yml
  when: ansible_facts['os_family'] == "Debian"

# patch_apply.yml（メインPlaybook）
---
- name: Linuxサーバーへのパッチ自動適用
  hosts: webservers
  become: yes
  serial: 1              # 1台ずつ処理（最も安全）
  max_fail_percentage: 0 # 1台でも失敗したら全体を止める

  pre_tasks:
    - name: パッチ適用前の事前チェックを実行する
      ansible.builtin.include_tasks: pre_checks.yml

  roles:
    - patch_apply

  post_tasks:
    - name: パッチ適用後の事後検証を実行する
      ansible.builtin.include_tasks: post_checks.yml

# serialをリストで指定するパターン
- name: Webサーバーへのローリングパッチ適用
  hosts: webservers
  become: yes
  serial:
    - 1        # まず1台だけ試験的に適用
    - 2        # 問題なければ2台ずつ
    - "50%"    # さらに問題なければ残りの半分
  max_fail_percentage: 0

# roles/patch_apply/handlers/main.yml
---
- name: check reboot required
  listen: "check reboot required"
  block:
    # RHEL系：needs-restartingコマンドで確認
    - name: 再起動の要否を確認する（RHEL系）
      ansible.builtin.command: needs-restarting -r
      register: reboot_required_rhel
      changed_when: false
      failed_when: false
      when: ansible_facts['os_family'] == "RedHat"

    # Debian系：/var/run/reboot-requiredファイルで確認
    - name: 再起動の要否を確認する（Debian系）
      ansible.builtin.stat:
        path: /var/run/reboot-required
      register: reboot_required_debian
      when: ansible_facts['os_family'] == "Debian"

    - name: 再起動が必要なサーバーを再起動する
      ansible.builtin.reboot:
        reboot_timeout: 600
        post_reboot_delay: 30
      when: >
        (ansible_facts['os_family'] == "RedHat" and reboot_required_rhel.rc == 1) or
        (ansible_facts['os_family'] == "Debian" and reboot_required_debian.stat.exists)

# pre_checks.yml
---
- name: ルートパーティションの空き容量を確認する
  ansible.builtin.shell: df -BM / | awk 'NR==2 {print $4}' | sed 's/M//'
  register: root_disk_free
  changed_when: false

- name: ディスク空き容量が1GB以上あることを確認する
  ansible.builtin.assert:
    that:
      - root_disk_free.stdout | int >= 1024
    fail_msg: "ディスク空き容量が不足しています: {{ root_disk_free.stdout }}MB。パッチ適用を中止します。"
    success_msg: "ディスク空き容量OK: {{ root_disk_free.stdout }}MB"

- name: パッチ適用前のインストール済みパッケージ一覧を記録する（RHEL系）
  ansible.builtin.command: rpm -qa --queryformat "%{NAME}-%{VERSION}-%{RELEASE}
"
  register: pre_package_list
  changed_when: false
  when: ansible_facts['os_family'] == "RedHat"

- name: パッケージ一覧をコントロールノードに保存する
  ansible.builtin.copy:
    content: "{{ pre_package_list.stdout }}"
    dest: "/tmp/pre_packages_{{ inventory_hostname }}_{{ ansible_date_time.date }}.txt"
  delegate_to: localhost
  when: ansible_facts['os_family'] == "RedHat"

# post_checks.yml
---
- name: httpd（Apache）がアクティブ状態かを確認する
  ansible.builtin.systemd:
    name: httpd
  register: httpd_status
  when: "'webservers' in group_names"

- name: httpdが正常に動作していることをアサートする
  ansible.builtin.assert:
    that:
      - httpd_status.status.ActiveState == "active"
    fail_msg: "httpdが起動していません。パッチ適用後の確認が必要です。"
    success_msg: "httpdの起動を確認しました"
  when: "'webservers' in group_names"

- name: 80番ポートへの疎通を確認する
  ansible.builtin.wait_for:
    host: "{{ ansible_host }}"
    port: 80
    timeout: 30
    state: started
  delegate_to: localhost
  when: "'webservers' in group_names"

- name: パッチ適用完了をログに記録する
  ansible.builtin.lineinfile:
    path: /var/log/ansible_patch.log
    line: "{{ ansible_date_time.iso8601 }} PATCH_APPLIED host={{ inventory_hostname }} user={{ ansible_user_id }}"
    create: yes

PLAY [Linuxサーバーへのパッチ自動適用] ***********************************

TASK [ルートパーティションの空き容量を確認する] ****************************
ok: [web01.example.internal]

TASK [ディスク空き容量が1GB以上あることを確認する] **************************
ok: [web01.example.internal] => {
    "changed": false,
    "msg": "ディスク空き容量OK: 8542MB"
}

TASK [全パッケージを最新に更新する（RHEL/Rocky Linux）] *********************
changed: [web01.example.internal]

TASK [httpdが正常に動作していることをアサートする] **************************
ok: [web01.example.internal] => {
    "changed": false,
    "msg": "httpdの起動を確認しました"
}

PLAY RECAP *************************************************************
web01.example.internal : ok=8    changed=3    unreachable=0    failed=0

#!/bin/bash
# patch_apply_cron.sh - cronから呼び出すパッチ適用ラッパー

LOG_DIR="/var/log/ansible"
TIMESTAMP=$(date +"%Y%m%d_%H%M%S")
LOG_FILE="${LOG_DIR}/patch_${TIMESTAMP}.log"
PLAYBOOK="/opt/ansible/patch_apply.yml"
INVENTORY="/opt/ansible/inventory/hosts.yml"

mkdir -p "${LOG_DIR}"

# ansible-playbookを実行してログを保存
ansible-playbook   -i "${INVENTORY}"   "${PLAYBOOK}"   --become   2>&1 | tee "${LOG_FILE}"

EXIT_CODE=${PIPESTATUS[0]}

# 失敗した場合はログの末尾をメールで通知
if [ ${EXIT_CODE} -ne 0 ]; then
    tail -50 "${LOG_FILE}" | mail -s "[ALERT] Ansible patch failed: ${TIMESTAMP}" ops@example.com
fi

exit ${EXIT_CODE}

# Playbook末尾のpost_tasks内に追加
- name: パッチ適用完了をSlackへ通知する
  community.general.slack:
    token: "{{ slack_token }}"
    channel: "#ops-alerts"
    msg: |
      ✅ パッチ適用完了
      対象: {{ inventory_hostname }}
      OS: {{ ansible_distribution }} {{ ansible_distribution_version }}
      更新パッケージ数: {{ dnf_result.results | default(apt_result.stdout_lines | default([])) | length }}
      実行日時: {{ ansible_date_time.iso8601 }}
  delegate_to: localhost
  when: slack_token is defined

# ドライラン（実際には変更しない）
ansible-playbook -i inventory/hosts.yml patch_apply.yml --check --diff

# 本番適用
ansible-playbook -i inventory/hosts.yml patch_apply.yml

# RHEL 7とRHEL 8以降を分岐するパターン
- name: yumでパッケージ更新（RHEL 7）
  ansible.builtin.yum:
    name: '*'
    state: latest
  when:
    - ansible_facts['os_family'] == "RedHat"
    - ansible_facts['distribution_major_version'] | int <= 7

- name: dnfでパッケージ更新（RHEL 8以降）
  ansible.builtin.dnf:
    name: '*'
    state: latest
  when:
    - ansible_facts['os_family'] == "RedHat"
    - ansible_facts['distribution_major_version'] | int >= 8

# タイムアウトを延ばす場合
- name: 再起動する（タイムアウト延長版）
  ansible.builtin.reboot:
    reboot_timeout: 900       # 15分まで待機
    post_reboot_delay: 60     # 起動後60秒待ってから次のタスクへ
    connect_timeout: 10       # 各接続試行のタイムアウト