{"id":174,"date":"2026-09-05T17:28:13","date_gmt":"2026-09-05T20:28:13","guid":{"rendered":"https:\/\/www.linuxpro.com.br\/?p=174"},"modified":"2026-09-23T14:20:08","modified_gmt":"2026-09-23T17:20:08","slug":"automatizando-servidores-linux-com-ansible","status":"publish","type":"post","link":"https:\/\/www.linuxpro.com.br\/es\/2026\/09\/automatizando-servidores-linux-com-ansible\/","title":{"rendered":"Automatizando servidores Linux con Ansible"},"content":{"rendered":"

\"Mascote<\/p>\n

Administrar um servidor na m\u00e3o \u00e9 tranquilo. Administrar dez, entrando por SSH em um por um, \u00e9 pedir para errar. O Ansible<\/strong> resolve isso: voc\u00ea descreve o estado desejado em YAML e ele aplica em todos os servidores, sem agente, s\u00f3 com SSH e Python do outro lado. Este guia \u00e9 o passo seguinte para quem j\u00e1 sabe instalar o Ansible e rodar o primeiro playbook. Se voc\u00ea est\u00e1 come\u00e7ando do zero, leia antes os nossos primeiros passos com Ansible<\/a>.<\/p>\n

Aqui vamos montar um projeto de verdade: invent\u00e1rio com grupos, firewall, Nginx com template e handler que testa a configura\u00e7\u00e3o antes de recarregar, senha guardada no vault e uma atualiza\u00e7\u00e3o em ondas que para sozinha se um servidor n\u00e3o voltar. Todos os comandos e sa\u00eddas foram testados em tr\u00eas m\u00e1quinas virtuais Ubuntu 24.04 com o ansible-core<\/code> 2.21.<\/p>\n

Estrutura do projeto<\/h2>\n
projeto\/\n\u251c\u2500\u2500 ansible.cfg\n\u251c\u2500\u2500 inventario.ini\n\u251c\u2500\u2500 requirements.yml\n\u251c\u2500\u2500 group_vars\/\n\u2502   \u251c\u2500\u2500 all\/main.yml\n\u2502   \u2514\u2500\u2500 web\/\n\u2502       \u251c\u2500\u2500 main.yml\n\u2502       \u2514\u2500\u2500 vault.yml        # criptografado\n\u251c\u2500\u2500 templates\/\n\u2502   \u251c\u2500\u2500 site.conf.j2\n\u2502   \u251c\u2500\u2500 index.html.j2\n\u2502   \u2514\u2500\u2500 app.env.j2\n\u251c\u2500\u2500 site.yml                 # estado desejado de todos os servidores\n\u2514\u2500\u2500 atualiza.yml             # atualiza\u00e7\u00e3o em ondas\n<\/code><\/pre>\n
O ansible.cfg<\/code> na raiz evita repetir -i inventario.ini<\/code> em todo comando:<\/p>\n
[defaults]\ninventory = inventario.ini\n<\/code><\/pre>\n
Cuidado com coment\u00e1rio na mesma linha dentro do ansible.cfg<\/code>: em host_key_checking = True # coment\u00e1rio<\/code> o valor inteiro vira uma string que n\u00e3o \u00e9 booleano v\u00e1lido e o Ansible passa a ler False<\/strong>. Coloque coment\u00e1rios em linha pr\u00f3pria, come\u00e7ando com #<\/code> ou ;<\/code>.<\/p>\n
Invent\u00e1rio com grupos<\/h2>\n
Os servidores se dividem em grupos, e um grupo pode conter outros (:children<\/code>). Assim uma vari\u00e1vel definida em producao<\/code> vale para web e banco ao mesmo tempo:<\/p>\n
[web]\nweb1 ansible_host=10.0.10.11\nweb2 ansible_host=10.0.10.12\n\n[db]\ndb1 ansible_host=10.0.10.21\n\n[producao:children]\nweb\ndb\n\n[producao:vars]\nansible_user=deploy\nansible_python_interpreter=\/usr\/bin\/python3\n<\/code><\/pre>\n
Confira a \u00e1rvore antes de rodar qualquer coisa:<\/p>\n
ansible-inventory --graph\n<\/code><\/pre>\n
@all:\n  |--@ungrouped:\n  |--@producao:\n  |  |--@web:\n  |  |  |--web1\n  |  |  |--web2\n  |  |--@db:\n  |  |  |--db1\n<\/code><\/pre>\n
As vari\u00e1veis de cada grupo ficam em group_vars\/<\/code>, com o nome do grupo:<\/p>\n
# group_vars\/all\/main.yml\n---\npacotes_base:\n  - htop\n  - vim\n  - unattended-upgrades\n<\/code><\/pre>\n
# group_vars\/web\/main.yml\n---\ndominio: exemplo.com.br\napp_env: producao\napp_db_senha: \"{{ vault_app_db_senha }}\"\n<\/code><\/pre>\n
Cole\u00e7\u00f5es: o ufw n\u00e3o vem no ansible-core<\/h2>\n
O m\u00f3dulo community.general.ufw<\/code> faz parte da cole\u00e7\u00e3o community.general<\/code>. O pacote completo ansible<\/code> j\u00e1 traz essa cole\u00e7\u00e3o, mas quem instalou s\u00f3 o ansible-core<\/code> precisa instal\u00e1-la. Declare as depend\u00eancias em requirements.yml<\/code>:<\/p>\n
---\ncollections:\n  - name: community.general\n<\/code><\/pre>\n
ansible-galaxy collection install -r requirements.yml\nansible-galaxy collection list community.general\n<\/code><\/pre>\n
O playbook completo<\/h2>\n
O site.yml<\/code> tem duas plays. A primeira vale para todos os servidores: pacotes b\u00e1sicos e firewall. A segunda s\u00f3 para o grupo web<\/code>: Nginx, site e arquivo de configura\u00e7\u00e3o da aplica\u00e7\u00e3o.<\/p>\n
---\n- name: Base de todos os servidores\n  hosts: producao\n  become: true\n  tags: [base]\n  tasks:\n    - name: Instalar pacotes b\u00e1sicos\n      ansible.builtin.apt:\n        name: \"{{ pacotes_base }}\"\n        state: present\n        update_cache: true\n        cache_valid_time: 3600\n\n    - name: Liberar SSH no ufw antes de ativar o firewall\n      community.general.ufw:\n        rule: allow\n        name: OpenSSH\n\n    - name: Ativar o ufw bloqueando o resto por padr\u00e3o\n      community.general.ufw:\n        state: enabled\n        policy: deny\n        direction: incoming\n\n- name: Servidores web\n  hosts: web\n  become: true\n  tags: [web]\n  tasks:\n    - name: Instalar o Nginx\n      ansible.builtin.apt:\n        name: nginx\n        state: present\n\n    - name: Liberar HTTP e HTTPS no ufw\n      community.general.ufw:\n        rule: allow\n        port: \"{{ item }}\"\n        proto: tcp\n      loop: [\"80\", \"443\"]\n\n    - name: Criar a raiz do site\n      ansible.builtin.file:\n        path: \/var\/www\/{{ dominio }}\n        state: directory\n        mode: \"0755\"\n\n    - name: Publicar a p\u00e1gina inicial\n      ansible.builtin.template:\n        src: templates\/index.html.j2\n        dest: \/var\/www\/{{ dominio }}\/index.html\n        mode: \"0644\"\n\n    - name: Configurar o site\n      ansible.builtin.template:\n        src: templates\/site.conf.j2\n        dest: \/etc\/nginx\/sites-available\/{{ dominio }}.conf\n        mode: \"0644\"\n      notify: Nginx alterado\n\n    - name: Ativar o site\n      ansible.builtin.file:\n        src: \/etc\/nginx\/sites-available\/{{ dominio }}.conf\n        dest: \/etc\/nginx\/sites-enabled\/{{ dominio }}.conf\n        state: link\n      notify: Nginx alterado\n\n    - name: Remover o site padr\u00e3o\n      ansible.builtin.file:\n        path: \/etc\/nginx\/sites-enabled\/default\n        state: absent\n      notify: Nginx alterado\n\n    - name: Garantir o Nginx ativo no boot\n      ansible.builtin.service:\n        name: nginx\n        state: started\n        enabled: true\n\n    - name: Criar o diret\u00f3rio da aplica\u00e7\u00e3o\n      ansible.builtin.file:\n        path: \/etc\/meuapp\n        state: directory\n        mode: \"0750\"\n\n    - name: Gravar as vari\u00e1veis da aplica\u00e7\u00e3o, com a senha vinda do vault\n      ansible.builtin.template:\n        src: templates\/app.env.j2\n        dest: \/etc\/meuapp\/app.env\n        owner: root\n        group: root\n        mode: \"0600\"\n      no_log: true\n\n  handlers:\n    - name: Testar a configura\u00e7\u00e3o do Nginx\n      ansible.builtin.command: nginx -t\n      changed_when: false\n      listen: Nginx alterado\n\n    - name: Recarregar o Nginx\n      ansible.builtin.service:\n        name: nginx\n        state: reloaded\n      listen: Nginx alterado\n<\/code><\/pre>\n
Tr\u00eas detalhes merecem aten\u00e7\u00e3o:<\/p>\n