AnsibleのLookupプラグイン設計入門｜ファイル・環境変数・外部データを変数として動的取得する実践パターン

この記事のポイント

・Lookupプラグインはコントロールノードで評価され、外部データを変数に変換する仕組み
・file・env・csvfile・pipe・passwordの5種で現場の大半のユースケースを網羅できる
・query()を使うとLookupをリスト形式で返せてloopと組み合わせやすくなる
・pipeプラグインは外部入力をそのまま渡すとシェルインジェクションのリスクがある

# playbook例
- name: authorized_keysにSSH公開鍵を登録する
  hosts: webservers
  vars:
    pub_key: "{{ lookup('file', '/home/ansible/.ssh/id_rsa.pub') }}"
  tasks:
    - name: deploy user の authorized_keys に公開鍵を追加
      ansible.posix.authorized_key:
        user: deploy
        state: present
        key: "{{ pub_key }}"

# 複数ファイルを一度に取得（改行区切りの文字列として連結される）
vars:
  multi_keys: "{{ lookup('file', '/home/ansible/.ssh/id_rsa.pub',
                                 '/home/jenkins/.ssh/id_rsa.pub') }}"

# 環境変数を変数として利用する例
- name: 環境変数からデプロイ環境を取得する
  hosts: all
  vars:
    deploy_env: "{{ lookup('env', 'DEPLOY_ENV') | default('staging', true) }}"
    aws_region: "{{ lookup('env', 'AWS_DEFAULT_REGION') }}"
  tasks:
    - name: 環境名を表示
      debug:
        msg: "デプロイ先: {{ deploy_env }}"

$ DEPLOY_ENV=production ansible-playbook deploy.yml

TASK [環境名を表示] *****
ok: [web01] => {
    "msg": "デプロイ先: production"
}
ok: [web02] => {
    "msg": "デプロイ先: production"
}

# /etc/ansible/server_config.csv の内容
hostname,app_port,db_user,max_conn
web01,8080,webapp,100
web02,8081,webapp,100
db01,5432,dbadmin,200

# csvfileプラグインでホスト名をキーに値を検索する
- name: CSVからアプリポートを取得して確認する
  hosts: webservers
  vars:
    app_port: "{{ lookup('csvfile',
                  inventory_hostname
                  + ' file=/etc/ansible/server_config.csv col=1 delimiter=,') }}"
  tasks:
    - name: アプリケーションポートを確認
      debug:
        msg: "{{ inventory_hostname }} のポート: {{ app_port }}"

# 実行結果
TASK [アプリケーションポートを確認] *****
ok: [web01] => {"msg": "web01 のポート: 8080"}
ok: [web02] => {"msg": "web02 のポート: 8081"}

# gitのコミットハッシュとデプロイ日時を変数として取得する
- name: デプロイ情報を記録する
  hosts: appservers
  vars:
    git_commit:  "{{ lookup('pipe', 'git -C /home/ansible/myapp rev-parse --short HEAD') }}"
    deploy_time: "{{ lookup('pipe', 'date +%Y%m%d-%H%M%S') }}"
  tasks:
    - name: /var/www/myapp/deploy_info.txt を生成
      copy:
        content: "commit={{ git_commit }}\ndeployed_at={{ deploy_time }}\n"
        dest: /var/www/myapp/deploy_info.txt

# 管理対象ノード（app01）上のdeploy_info.txtの内容
commit=a3f92d1
deployed_at=20260922-113500

# DBユーザーのパスワードを自動生成して保存する
- name: MariaDBの初期パスワードを設定する
  hosts: dbservers
  vars:
    db_root_password: "{{ lookup('password',
                           '/etc/ansible/credentials/db_root
                           length=20 chars=ascii_letters,digits') }}"
  tasks:
    - name: MariaDB root パスワードを設定
      community.mysql.mysql_user:
        name: root
        password: "{{ db_root_password }}"
        login_unix_socket: /var/lib/mysql/mysql.sock
        update_password: on_create

# query()でリストとして取得してloopで処理する例
- name: 複数の設定ファイルの内容を一覧表示
  debug:
    msg: "{{ item }}"
  loop: "{{ query('file', '/etc/ansible/conf/app.conf',
                          '/etc/ansible/conf/db.conf') }}"

# roles/ssh_keys/tasks/main.yml
- name: チームメンバーの公開鍵を配布する
  ansible.posix.authorized_key:
    user: deploy
    state: present
    key: "{{ lookup('file', item) }}"
  loop:
    - /home/ansible/keys/alice_id_rsa.pub
    - /home/ansible/keys/bob_id_rsa.pub
    - /home/ansible/keys/charlie_id_rsa.pub

# 実行結果（10台のwebserversグループに一括適用）
TASK [チームメンバーの公開鍵を配布する] *****
changed: [web01] => (item=/home/ansible/keys/alice_id_rsa.pub)
ok: [web01] => (item=/home/ansible/keys/bob_id_rsa.pub)
changed: [web01] => (item=/home/ansible/keys/charlie_id_rsa.pub)
...（10台分繰り返し）

PLAY RECAP ****
web01  : ok=3  changed=2  ...
web02  : ok=3  changed=2  ...

# group_vars/all.yml
env_name: "{{ lookup('env', 'TARGET_ENV') | default('staging', true) }}"

# roles/app_config/templates/app.conf.j2
[server]
environment = {{ env_name }}
log_level   = {% if env_name == 'production' %}warn{% else %}debug{% endif %}
max_connections = {% if env_name == 'production' %}200{% else %}50{% endif %}

# CI/CDからの実行（GitHub Actions の step 例）
# - run: TARGET_ENV=production ansible-playbook -i inventories/production/ deploy.yml

# ローカル確認時（staging）
# $ TARGET_ENV=staging ansible-playbook -i inventories/staging/ deploy.yml

# /etc/ansible/server_config.csv
hostname,app_port,max_workers,db_host
app01,8080,4,db-primary.internal
app02,8081,4,db-primary.internal
app03,8082,2,db-replica.internal

# playbook（server_config.csvの値を使ってアプリ設定を構成する）
- name: アプリケーションの設定ファイルを生成する
  hosts: appservers
  vars:
    app_port:    "{{ lookup('csvfile',
                     inventory_hostname
                     + ' file=/etc/ansible/server_config.csv col=1 delimiter=,') }}"
    max_workers: "{{ lookup('csvfile',
                     inventory_hostname
                     + ' file=/etc/ansible/server_config.csv col=2 delimiter=,') }}"
    db_host:     "{{ lookup('csvfile',
                     inventory_hostname
                     + ' file=/etc/ansible/server_config.csv col=3 delimiter=,') }}"
  tasks:
    - name: /etc/app/app.conf を生成
      template:
        src: app.conf.j2
        dest: /etc/app/app.conf
      notify: restart app

# app01上の /etc/app/app.conf 生成後の内容確認
[root@app01 ~]# cat /etc/app/app.conf
[app]
port = 8080
workers = 4
database_host = db-primary.internal

AnsibleのPlaybook設計を現場で体系的に学びたい方へ

LookupプラグインはAnsibleの変数設計を理解していることで真価を発揮します。vars優先順位・インベントリ変数・Vault連携まで含めた設計を体系的に身につけたい方は、現役エンジニアによる実践ハンズオンを活用してください。
＞＞ Ansible実践セミナーの詳細はこちら

# エラーメッセージの例
TASK [authorized_keyに公開鍵を追加] fatal: [web01]: FAILED! => {
    "msg": "An unhandled exception occurred while running the lookup
    plugin 'file'. Error was a ,
    original message: could not locate file in lookup:
    /home/ansible/keys/alice_id_rsa.pub"
}