Puppet角色与配置架构中执行顺序及依赖关系配置问题

核心思路 #

Puppet不会自动处理Hiera不同层级中profile的执行顺序，必须通过显式定义资源依赖或者调整Hiera数据合并策略+依赖声明来解决，确保全局配置优先于角色/节点配置执行。

具体方案 #

1. Profile内部添加显式依赖（推荐） #

直接在profile::tls中声明对profile::freeipa的依赖，从代码层面强制保证执行顺序：

class profile::tls {
  # 强制要求freeipa类执行完成后，再启动tls的配置
  Class['profile::freeipa'] -> Class['profile::tls']

  # 后续tls相关配置代码...
}

这种方式不依赖Hiera层级，只要profile::tls被调用，就会自动等待依赖的profile执行完毕，是Roles & Profiles架构的最佳实践。

2. 利用Hiera合并策略控制profile加载顺序 #

通过调整Hiera的合并规则，让common层的profile先被加载，再追加角色层的profile：

• 在common.yaml中配置全局profile的基础列表与合并规则：

lookup_options:
  profiles:
    merge: unique
    strategy: deep

profiles:
  - profile::freeipa

• 在mariadb角色的YAML文件中追加profile，而非覆盖原有列表：

profiles:
  - profile::tls

• 在角色类（如role::mariadb）中按顺序引入所有profile：

class role::mariadb {
  $profiles = lookup('profiles')
  $profiles.each |$profile| {
    include $profile
  }
}

这种方式依赖Hiera的合并逻辑，确保common层的profile优先被加载执行。

3. 用Stage阶段做全局粒度控制 #

如果需要划分更清晰的全局执行阶段，可以自定义Puppet执行阶段：

# 在site.pp或全局基础类中定义阶段顺序
stage { 'pre_common': before => Stage['main'] }
stage { 'common': before => Stage['role'] }
stage { 'role': }

# 将freeipa分配到common阶段
class profile::freeipa {
  class { 'profile::freeipa': stage => 'common' }
}

# 将tls分配到role阶段
class profile::tls {
  class { 'profile::tls': stage => 'role' }
}

这种方式适合需要严格划分全局执行阶段的场景，确保common阶段的所有配置完成后，再执行角色阶段的内容。

注意事项 #

• 优先使用Profile内部显式依赖，每个profile应自行管理依赖关系，避免依赖Hiera层级的隐性顺序。
• 不要依赖Hiera的层级顺序控制执行逻辑，Hiera的核心作用是数据分配，而非流程控制。
• 使用合并策略时，务必确认Hiera的merge配置正确，避免profile列表被意外覆盖。

内容的提问来源于stack exchange，提问作者SK4ndal