Да: apt: name: "{{ __packages }}" state: present environment: RUNLEVEL: 1

@tgadiev от Вас я бы ожидал ответа, что это мейтейнеры пакетов уроды и нужно все пересобирать руками

а теперь поясни за магию )

Мы здесь обсуждаем ансибл, а не то, какие уроды мейнтейнеры пакетов в некоторых дистрибутивах

а теперь поясни за магию )

apt starts newly installed services by default, this is what the underlying tooling does, to avoid this you can set the RUNLEVEL environment variable to 1. https://docs.ansible.com/ansible/latest/modules/apt_module.html

утащил к себе, мерси. Еще такие штуки есть, о которых следует знать?

т.е. то что система может быть скомпрометирована в момент прогона плейбука (ибо сервис с дефолтами голой жопой в инет) или если он свалился с ошибкой - никого не волнует

Если сервера выставлены напрямую в инет - это не проблема ансибла

Вы не смотрите на проблему шире своего кругозора

читать документацию при использовании модуля и следить за системой =). Мы это обнаружили, когда поставили пакет, который в зависимостях тащил apache2 (да, кто собирал этот пакет молодец). И когда мы поставили туда nginx порт 80 был занят, хотя не должен был.

и я подумал, что атомарность и консистентность на уровне плейбука, а не на уровне каждого плея... такое себе

Сервера бд напрямую в интернет выставлять - в любом случае так себе идея

Если хотите консистентность из коробки - переходите на immutable

это не решение проблем в общем, а только начало приключения в кроличью нору

утащил к себе, мерси. Еще такие штуки есть, о которых следует знать?

Еще столкнулись с реконфигурацией. Когда пакет имеет право конфигурировать некоторые файлы из пакетов, а мы тут еще и ансимблом в них лезем, а потом начинаем обновлять и dpkg делает diff автоматически и не делает что должен, тогда мы меняем последовательность: dpkg_options: "{{ force_rewrite_configs | ternary('force-confdef,force-confnew', 'force-confdef,force-confold') }}"

к тому же - иммутабельность не решает проблемы с миграцией данных

здесь должна быть картинка из Властелина Колец

А теперь, если можно, предметнее. Что именно вы предлагаете в разрезе ансибла?

я выше приводил

коллеги выше понимают почему это проблема

Если вы открываете доступ к БД из мира, то ССЗБ

проблема шире, чем доступ к БД и я пояснил почему

По мне так спор ниочем откровенно

т.е. то что система может быть скомпрометирована в момент прогона плейбука (ибо сервис с дефолтами голой жопой в инет) или если он свалился с ошибкой - никого не волнует

несомненно. Но это тоже относится к консистентности плейбуков, ролей и прочего

писать плейбуки так, чтобы они давали консистентное состояние системы не только в конце выполнения

У гирлинга тоже треш часто

Звучит очень странно. Ансибл по своей сути не конвергентный, т.е. нельзя "накатывать" действия на систему приводя ее в желаемое состояние. Ансибл, если можно так выразиться сразу приводит систему в желаемое состояние, минуя консистенцию. И проблема концестенции, лежит точно не в рамках ансибла

о какой консистенции идет речь?