Ansible中为K8s多文档YAML指定资源打补丁的最优方案

最简实现方案 #

仅需单任务即可完成加载、打补丁、应用全流程，不需要拆分多个注册任务：

- name: 合并补丁并部署Twistlock资源
  kubernetes.core.k8s:
    state: present
    definition: "{{ merged_resources }}"
  vars:
    # 加载补丁内容
    ds_patch: "{{ lookup('file', 'defender_yaml_patch.yml') | from_yaml }}"
    # 加载厂商原始YAML，自动过滤空文档
    raw_resources: "{{ lookup('file', 'VENDOR_GENERATED_YAML.yml') | from_yaml_all | list | reject('none') | list }}"
    # 遍历资源匹配到DaemonSet时合并补丁，其余资源直接保留
    merged_resources: >-
      {{
        [
          item | combine(ds_patch, recursive=True)
          if (item.kind == 'DaemonSet' and item.metadata.name == 'twistlock-defender-ds')
          else item
          for item in raw_resources
        ]
      }}

核心说明 #

1. 空文档过滤：用reject('none')直接过滤掉多文档YAML中空文档解析出来的None值，比用空列表做差集更直观。
2. 避免多余元数据：原实现用debug模块循环注册变量，返回结果会自带Ansible的循环元数据，无法直接传给k8s模块，直接在vars中用Jinja列表生成式处理得到的就是纯资源字典列表。
3. k8s模块兼容：kubernetes.core.k8s模块的definition参数原生支持传入资源字典列表，不需要额外转成多文档YAML字符串；如果使用旧版本模块，只需给merged_resources加上| to_nice_yaml_all(indent=2)过滤器转为多文档YAML字符串即可。
4. 如果需要本地留存合并后的YAML，增加一个copy任务即可：

- name: 导出合并后的完整YAML文件
  ansible.builtin.copy:
    content: "{{ merged_resources | to_nice_yaml_all(indent=2) }}"
    dest: ./merged_twistlock_resources.yaml
  vars:
    ds_patch: "{{ lookup('file', 'defender_yaml_patch.yml') | from_yaml }}"
    raw_resources: "{{ lookup('file', 'VENDOR_GENERATED_YAML.yml') | from_yaml_all | list | reject('none') | list }}"
    merged_resources: >-
      {{
        [
          item | combine(ds_patch, recursive=True)
          if (item.kind == 'DaemonSet' and item.metadata.name == 'twistlock-defender-ds')
          else item
          for item in raw_resources
        ]
      }}

内容的提问来源于stack exchange，提问作者geekifier