AnsibleのマルチステージInventory設計｜staging・productionのgroup_vars分離とホストパターンによる環境切り替え実践

この記事のポイント

・stagingとproductionは別ディレクトリのInventoryファイルで物理的に分離する
・共通変数はroleのdefaults、環境固有値は各環境のgroup_vars/配下に配置する
・ansible-playbook -i inventories/staging のように実行時に環境を明示指定する
・本番適用前は--check --diffで変更差分を確認してから昇格させる

# プロジェクトのディレクトリ構造
project/
├── inventories/
│   ├── staging/
│   │   ├── hosts             # stagingホスト定義
│   │   └── group_vars/
│   │       ├── all.yml       # staging全体の共通変数
│   │       └── webservers.yml # stagingのwebグループ変数
│   └── production/
│       ├── hosts             # productionホスト定義
│       └── group_vars/
│           ├── all.yml       # production全体の共通変数
│           └── webservers.yml # productionのwebグループ変数
├── roles/
│   └── httpd/
│       ├── tasks/main.yml
│       └── defaults/main.yml # デフォルト値（最低優先度）
└── site.yml                  # 共通のPlaybookエントリーポイント

# inventories/staging/hosts（INI形式）
[webservers]
stg-web01.example.com
stg-web02.example.com

[dbservers]
stg-db01.example.com

[all:vars]
ansible_user=ansible
ansible_ssh_private_key_file=~/.ssh/id_ed25519

# inventories/production/hosts（INI形式）
[webservers]
web01.example.com
web02.example.com
web03.example.com

[dbservers]
db01.example.com
db02.example.com   # productionは冗長構成

[all:vars]
ansible_user=ansible
ansible_ssh_private_key_file=~/.ssh/id_ed25519

# roles/httpd/defaults/main.yml（最低優先度・上書き前提）
httpd_max_workers: 50
httpd_log_level: warn
app_environment: undefined   # 必ず環境ごとに上書きさせる

# inventories/staging/group_vars/all.yml（staging固有）
httpd_max_workers: 10        # リソース節約
httpd_log_level: debug       # デバッグ用に詳細ログ
app_environment: staging

# inventories/production/group_vars/all.yml（production固有）
httpd_max_workers: 200
httpd_log_level: warn
app_environment: production

# inventories/production/group_vars/dbservers/ ディレクトリ
# ├── vars.yml    ← 平文の変数（DB名など）Gitにコミット可
# └── vault.yml  ← ansible-vault encrypt で暗号化済み

# vault.yml の内容（暗号化前）
db_password: "P@ssw0rd!SecureValue"

# 暗号化コマンド
ansible-vault encrypt inventories/production/group_vars/dbservers/vault.yml

# 実行時にVaultパスワードを渡す
ansible-playbook site.yml -i inventories/production   --vault-password-file ~/.vault_pass

# stagingに対して実行
ansible-playbook site.yml -i inventories/staging

# productionに対して実行
ansible-playbook site.yml -i inventories/production

# productionのwebserversグループのみ
ansible-playbook site.yml -i inventories/production --limit webservers

# 特定ホストのみ（ピンポイント適用）
ansible-playbook site.yml -i inventories/production --limit web01.example.com

# Step 1: 対象ホスト一覧を確認（playbookは実行しない）
ansible-playbook site.yml -i inventories/production --list-hosts

# 出力例
#   play #1 (webservers): webservers
#     pattern: ['webservers']
#     hosts (3):
#       web01.example.com
#       web02.example.com
#       web03.example.com

# Step 2: 問題なければ実際に実行する
ansible-playbook site.yml -i inventories/production

# productionに対してドライラン（実際には何も変更しない）
ansible-playbook site.yml -i inventories/production --check --diff

# 出力例（設定ファイルに変更がある場合）
# TASK [httpd : update httpd.conf] *********************
# --- before: /etc/httpd/conf/httpd.conf
# +++ after: /etc/httpd/conf/httpd.conf
# @@ -150,7 +150,7 @@
# -MaxRequestWorkers 150
# +MaxRequestWorkers 200
# changed: [web01.example.com]

# site.yml（productionのWebサーバーへの段階適用）
---
- name: webサーバー設定の段階適用
  hosts: webservers
  serial: 1               # 1台ずつ適用
  max_fail_percentage: 0  # 1台でも失敗したら全体を停止
  roles:
    - httpd

# 台数が多い場合は段階的に増やす
  serial:
    - 1     # まず1台で確認
    - 30%   # 次に30%（複数台）
    - 100%  # 問題なければ残り全台

# roles/httpd/tasks/main.yml（環境変数で分岐する例）
- name: ログローテーション設定
  template:
    src: logrotate.conf.j2
    dest: /etc/logrotate.d/httpd
# テンプレート内で {{ app_environment }} を使って期間を分岐
# staging: rotate 2, production: rotate 7

# NG: ansible.cfgにInventoryを固定すると常にproductionを向く
[defaults]
inventory = inventories/production  # -i を忘れると本番直撃