В роли Ansible задача shell: mkdir -p /opt/app/releases/{{ release_id }} && chown app:app /opt/app/releases/{{ release_id }} при каждом прогоне плейбука помечается как changed, даже если директория уже создана и владелец уже верный. Почему модуль shell в этом случае не идемпотентен, и как переписать задачу так, чтобы статус changed отражал реальное изменение?

Короткий ответ

Модули shell/command по умолчанию не умеют определять, изменилось ли что-то на самом деле — Ansible просто помечает их как changed, если команда завершилась с кодом 0, независимо от того, создала ли она что-то новое; правильное решение — заменить shell-команду на специализированные модули ansible.builtin.file (для создания директории и смены владельца) и, если команда необходима, использовать параметры creates/removes или явный changed_when на основе анализа вывода.

Как это работает подробнее

специализированные модули (file, copy, template, package и т.п.) перед действием проверяют текущее состояние системы (есть ли файл, какой у него владелец, какое содержимое) и сообщают changed только если реальное состояние отличается от желаемого; у shell/command такой проверки нет, потому что Ansible не умеет заранее знать семантику произвольной команды, поэтому по умолчанию он консервативно считает любой успешный запуск изменением.

Пример кода

playbook.ymlКопировать

# было: неидемпотентно
- name: Create release dir
  ansible.builtin.shell: >
    mkdir -p /opt/app/releases/{{ release_id }} &&
    chown app:app /opt/app/releases/{{ release_id }}
# стало: идемпотентно
- name: Create release dir
  ansible.builtin.file:
    path: "/opt/app/releases/{{ release_id }}"
    state: directory
    owner: app
    group: app
    mode: "0755"

Что использовать на практике

• Практика. использовать shell/command стоит только когда нет подходящего модуля, и в этом случае обязательно задавать creates: /opt/app/releases/{{ release_id }} (задача не выполнится повторно, если путь уже существует) или changed_when: false/кастомное условие по stdout, если команда действительно безопасно перезапускаемая, но сама по себе не меняет состояние на повторных запусках; для создания директорий и прав всегда предпочтительнее ansible.builtin.file, который нативно идемпотентен.

Подводные камни

• Ошибка. частая ошибка — оставлять задачи shell/command помеченными как changed на каждом прогоне и игнорировать это, из-за чего handlers, завязанные на notify от такой задачи, срабатывают при каждом запуске плейбука (например, лишний перезапуск сервиса); другая ошибка — добавлять changed_when: false там, где команда действительно может что-то менять, что маскирует реальные изменения и усложняет аудит.