Ansible：多角色向基线角色贡献数据、合并变量的最优方案

针对你提到的firewall角色被多个服务角色依赖、重复执行的问题，以下是几种更优的实现方案，比单纯用set_fact追加更规范可控：

方案1：静态集中配置（适合服务组合固定的场景） #

直接在目标主机的group_vars或host_vars里统一定义所有防火墙规则，比如：

# group_vars/web_servers.yml
firewall_allowed_ports:
  - { port: 80, proto: tcp }
  - { port: 443, proto: tcp }
  - { port: 25, proto: tcp }

然后让firewall角色直接读取firewall_allowed_ports变量配置规则，webserver和mailserver只负责部署服务本身。

• 优点：逻辑简单直观，配置集中易维护；
• 缺点：无法根据角色是否启用自动增减规则，动态性差。

方案2：角色默认变量+变量合并（推荐的动态常规场景） #

每个服务角色在自身的defaults/main.yml里定义专属规则，比如：
webserver/defaults/main.yml：

webserver_firewall_rules:
  - { port: 80, proto: tcp }
  - { port: 443, proto: tcp }

mailserver/defaults/main.yml：

mailserver_firewall_rules:
  - { port: 25, proto: tcp }

然后在firewall角色的vars/main.yml里合并所有服务角色的规则：

firewall_combined_rules: "{{ (webserver_firewall_rules | default([])) + (mailserver_firewall_rules | default([])) }}"

firewall角色的任务直接用firewall_combined_rules来配置规则。

• 优点：规则和角色绑定，启用角色自动带入对应规则，无需额外操作；
• 缺点：需要提前知晓所有贡献规则的角色变量名，新增角色时要更新firewall的合并逻辑。

方案3：优化版set_fact动态追加（适合频繁新增角色的场景） #

每个服务角色在任务末尾用set_fact将规则追加到全局变量，注意用default([])避免变量未定义报错：
webserver/tasks/main.yml：

- name: 追加web服务防火墙规则
  set_fact:
    firewall_allowed_rules: "{{ firewall_allowed_rules | default([]) + webserver_firewall_rules }}"
  when: webserver_enabled | default(true)

mailserver同理。然后在playbook中确保firewall角色最后执行，读取firewall_allowed_rules变量配置规则。

• 优点：完全动态，新增角色只需追加规则，无需修改firewall角色；
• 缺点：必须严格控制角色执行顺序，且set_fact是主机级变量，要注意跨主机的规则隔离。

方案4：角色输出+参数传递（追求规则传递透明性的场景） #

在playbook中先调用所有服务角色，通过register收集它们输出的规则，再传递给firewall角色：

- hosts: all
  roles:
    - role: webserver
      register: webserver_result
    - role: mailserver
      register: mailserver_result
    - role: firewall
      firewall_rules: "{{ (webserver_result.firewall_rules | default([])) + (mailserver_result.firewall_rules | default([])) }}"

每个服务角色在任务末尾输出自身规则：
webserver/tasks/main.yml：

- name: 输出web服务防火墙规则
  set_fact:
    firewall_rules: "{{ webserver_firewall_rules }}"

• 优点：规则传递路径清晰，无需全局变量，隔离性好；
• 缺点：需要每个服务角色遵循统一的规则输出格式，playbook编写稍繁琐。

场景选择建议 #

• 服务组合固定、变动少？选方案1；
• 角色相对固定，需要动态启用？选方案2；
• 频繁新增服务角色，不想修改firewall？选方案3；
• 看重规则传递的透明性和隔离性？选方案4。

内容的提问来源于stack exchange，提问作者growse