Что такое идемпотентность в Ansible?

Идемпотентность в Ansible — это гарантия того, что многократное выполнение одного и того же плейбука или задачи приведет систему в одно и то же целевое состояние, независимо от её начального состояния. Если желаемое состояние уже достигнуто, Ansible не будет вносить никаких изменений.

Почему это критически важно для DevOps и управления инфраструктурой?

1. Безопасность: Вы можете без опаски запускать плейбуки много раз — они не сломают уже настроенную систему.
2. Надёжность: Идемпотентность — основа конвергенции (convergence), когда Ansible «подтягивает» систему к описанному состоянию, исправляя дрейф конфигурации (configuration drift).
3. Предсказуемость: Позволяет использовать Ansible для восстановления после сбоев, масштабирования и рутинного обслуживания.

Как это работает на практике? Большинство модулей Ansible реализуют идемпотентность.

• Модуль package (apt, yum): Проверяет, установлен ли пакет, прежде чем пытаться его установить.

  - name: Ensure nginx is installed
    ansible.builtin.apt:
      name: nginx
      state: present  # Будет установлен, только если отсутствует

• Модуль copy: Сравнивает контрольную сумму (checksum) исходного файла и файла на целевом хосте. Копирование произойдет только если файлы различаются.

  - name: Copy application config
    ansible.builtin.copy:
      src: files/app.conf
      dest: /etc/myapp/app.conf
      owner: root
      group: root
      mode: '0644'

• Модуль service: Проверяет текущий статус службы и приводит его к желаемому (started, stopped, restarted).

  - name: Ensure nginx service is running and enabled
    ansible.builtin.service:
      name: nginx
      state: started
      enabled: yes

Исключения: Некоторые модули (например, command или shell) по умолчанию не идемпотентны, так как Ansible не может знать, что делает ваша команда. Для них нужно использовать флаги changed_when и creates/removes.

- name: Run database migration (идемпотентно)
  ansible.builtin.command: /opt/app/bin/migrate
  args:
    creates: /opt/app/.migration_done  # Задача выполнится, только если файла нет

В моих проектах идемпотентность Ansible позволяла безопасно применять одну и ту же конфигурацию к сотням серверов, будучи уверенным, что результат будет одинаковым на всех нодах.