🧭 Crumbpage 31: Ansible — Der Gärtner, der nicht rennen muss

Subtitle: Wie ein Wald sich selbst pflegt, ohne dass du an jeden Baum läufst
Pfad: 31 (Der neue Horizont)
Schwierigkeit: ⭐⭐⭐ (3/5)
Zeit: ~2 Stunden
Voraussetzungen: Pfad 07: SSH Basics, Pfad 08: SSH Keys, Pfad 24: Docker

"Ein Gärtner mit 600 Bäumen rennt nicht. Er schreibt auf, wie der Wald aussehen soll — und der Wald wird so." 🌲

🌟 Wer dich auf diesem Pfad begleitet

Kein Krümel geht allein durch den Wald. Auf dem Ansible-Pfad sind dabei:

📋 Was du in diesem Pfad lernst

✓ Warum man nicht 600 mal das Gleiche tippt (der Zettel statt der Hände)
✓ Computer ohne Maus, ohne Agent: nur SSH + ein Text
✓ Soll-Zustand statt Befehlsliste (der große Unterschied zu .sh)
✓ Idempotenz — der Wald ändert nur, was nötig ist
✓ Inventory, Playbook, Rolle (die drei Bausteine)
✓ Erst gucken (read-only), dann handeln

🎯 Lernziele

Nach diesem Pfad kannst du:

• [ ] erklären, warum ein Playbook kein Bash-Skript ist
• [ ] zwei Server mit einem Befehl gleichzeitig fragen, ob sie leben
• [ ] einen read-only Gesundheits-Check über alle Hosts laufen lassen
• [ ] verstehen, warum „zweimal laufen" beim zweiten Mal nichts tut

🌱 Grundkonzept: Der Zettel statt der Hände

Stell dir vor, du pflegst einen Wald mit 600 Bäumen.

Ohne Ansible (von Hand):
Du läufst zu Baum 1, gießt, beschneidest. Zu Baum 2, gießt, beschneidest. …
Bei Baum 437 weißt du nicht mehr, ob Baum 12 schon Wasser hatte. Das ist der
blinde Fleck: du kannst nicht alle Bäume gleichzeitig sehen. Deine .sh-Skripte
sind wie Laufen — jedes Mal von vorn, jeden Baum einzeln, und du musst dir merken,
was schon passiert ist.

Mit Ansible (der Zettel):
Du schreibst einmal auf, wie jeder Baum aussehen soll:

„Jeder Baum hat Wasser. Jeder Baum ist beschnitten. nginx läuft. Port 443 ist offen."

Diesen Zettel (das Playbook) gibst du einem ruhigen Helfer. Der geht per SSH
zu jedem Baum und macht ihn so, wie der Zettel sagt. Du rennst nicht. Du beschreibst.

Die drei Wahrheiten von Ansible:

🍱 Erinnerung an Docker (Pfad 24): Tupperware war „pack die Lasagne in eine Dose".
Ansible ist die Stufe danach: „schreib auf, welche Dosen in welchen Rucksack
gehören — und lass es den Helfer einräumen."

🔧 Praktische Befehle (an echten Bäumen)

Unser Wald hat gerade zwei Bäume — backbone (crumbforest.io) und nullfeld.
Sie stehen in einem Zettel namens Inventory:

# inventory.ini — wer gehört zum Wald
[crumbforest]
backbone  ansible_host=87.106.12.97
nullfeld  ansible_host=194.164.194.191

Befehl 1: Leben die Bäume? (ping)

ansible all -m ping

backbone | SUCCESS => { "ping": "pong" }
nullfeld | SUCCESS => { "ping": "pong" }

Beide auf einmal. Kein Einloggen, kein Klicken. Das ist „Computer ohne Maus".

Befehl 2: Zeig mir alles, was du weißt (setup)

ansible backbone -m setup

Das druckt Facts — Interfaces, MAC-Adressen, Festplatten, RAM, OS.
Genau die Daten, die wir früher per Hand aus jedem Server gekratzt haben.
Ansible holt sie automatisch.

Befehl 3: Der Doktor-Lauf (read-only Playbook)

ansible-playbook playbooks/doktor.yml

TASK [Kernzahlen anzeigen]
  Host:   backbone (Debian 12.14)   CPU: 8 vCPUs   RAM: 32046 MB
TASK [Interfaces + MAC]
  ens6 -> 02:01:c1:8c:1c:46

PLAY RECAP
backbone : ok=4   changed=0
nullfeld : ok=4   changed=0

Sieh die changed=0. Nichts wurde verändert — wir haben nur geguckt.
(Das ist die Doktor-Regel aus Pfad 27 und ninja.sh: erst Momentaufnahme, dann entscheiden.)

🧩 Die drei Bausteine (so ist der Zettel aufgebaut)

inventory.ini      → WER (welche Bäume)
playbook.yml       → WAS (welcher Soll-Zustand)
roles/<name>/      → WIE (wiederverwendbarer Baustein, einmal schreiben)

Ein Playbook ist nur YAML — eine Liste von Tasks, jeder mit einem Namen
und einem Modul (dem Werkzeug):

- name: Wald-Doktor (read-only)
  hosts: crumbforest          # auf welchen Bäumen
  tasks:
    - name: Uptime fragen
      ansible.builtin.command: uptime -p
      changed_when: false      # read-only -> nie "changed"

Eine Rolle ist ein Zettel, den du einmal schreibst und überall ausrollst.
Wir haben damit eine ganze NetBox auf seeds.crumbforest.io gebaut — und
dieselbe Rolle würde sie auf einer Kiste in deinem RZ identisch aufbauen.

💡 Genau das ist der Zauber: Wenn der Zettel auf strato funktioniert,
funktioniert er überall.

🎓 Hands-On Übung: Frag deinen eigenen Wald

Aufgabe: Lass dir von beiden Bäumen die freie Festplatte zeigen — ohne dich
auf einem einzuloggen.

Schritte:

# 1. Leben sie?
ansible all -m ping

# 2. Eine einzelne Frage an alle (das 'shell'-Modul)
ansible all -m shell -a "df -h / | tail -1"

backbone | CHANGED | rc=0 >>
/dev/vda1  473G  45G  409G  10% /
nullfeld | CHANGED | rc=0 >>
/dev/vda1  ...

🐛 Häufige Fehler & Lösungen

Problem: Permission denied (publickey)
Lösung: Ansible bietet den falschen Key an. Sag ihm den richtigen im Inventory
(ansible_ssh_private_key_file=~/.ssh/dein_key) und füge -o IdentitiesOnly=yes
hinzu — sonst klopft der ssh-agent mit allen Keys an und der Baum macht zu.

Problem: NETBOX: unbound variable / Skript bricht sofort ab
Lösung: set -u (oder Ansibles strenge Modi) brechen bei Tippfehlern in Variablen
früh ab. Das ist ein Geschenk, kein Bug — lieber laut früh als still falsch.

Problem: Beim zweiten Lauf ist alles changed, obwohl nichts anders ist
Lösung: Dein Task ist nicht idempotent. Oft liegt es an command/shell (die
laufen blind durch) oder daran, dass du etwas jedes Mal neu setzt. Nutze ein
richtiges Modul, das erst prüft und dann nur bei Bedarf ändert.

🔍 Troubleshooting Checkliste

# Wenn ein Baum nicht antwortet:

# 1. Komme ich per Hand per SSH rein?
ssh -i ~/.ssh/dein_key root@<ip> whoami

# 2. Sieht Ansible den Baum überhaupt?
ansible-inventory --list

# 3. Was genau macht der Lauf? (-v zeigt mehr, -vvv zeigt alles)
ansible all -m ping -vvv

🌫️ Reflexion: Die Architektur des blinden Flecks

Der alte Weg hatte einen blinden Fleck: du konntest nie alle Bäume gleichzeitig
sehen. Du glaubtest zu wissen, welcher Server eine VM ist, welcher echtes Blech —
aber dein Wissen lebte in deinem Kopf, nicht im Wald. Ein vergessenes vm1. im
Hostnamen, eine MAC am falschen Ort, und schon stimmte die Landkarte nicht mehr.

Ansible + NetBox zusammen verkleinern diesen blinden Fleck: der Wald weiß
jetzt selbst, wie er aussieht. Die Facts kommen von den Bäumen, nicht aus deinem
Gedächtnis. Du beschreibst den Soll-Zustand einmal — und kannst ihn jederzeit
nachlesen, statt ihn dir zu merken.

Manchmal liegt das Eleganteste die ganze Zeit vor dir. Du musst nur aufhören
zu rennen, um es zu sehen.

Der Weg des Krümel — egal wie schlau er sich hält — ist ein Loop: gucken,
beschreiben, laufen lassen, nachsehen, wieder gucken. Kein einmaliges „fertig",
sondern ein ruhiger Kreis. Was du heute aufschreibst, pflegt den Wald, während du
schläfst. Morgen ist jetzt.

„Im Crumbforest wachsen keine Bäume. Aber Fragen. Und aus jeder Frage wird ein
neuer Pfad." Dieser hier endet mit einer: Wenn der Wald sich selbst pflegt —
was fragst du ihn als Nächstes? Manche Pfade führen zu Antworten. Andere zu
noch schöneren Fragen. 🌲

🦉 Krümeleule's Weisheit

"Ein Bash-Skript sagt der Maschine, was sie tun soll. Ein Playbook sagt ihr,
wie die Welt sein soll. Das Erste musst du jedes Mal überdenken. Das Zweite
bleibt wahr, auch wenn du schläfst."

Krümel-Tipp:
Fang IMMER read-only an. ping, dann setup, dann ein Doktor-Playbook mit
changed=0. Erst wenn du dem Wald vertraust, lässt du ihn etwas verändern.
Die Maschine dient dir — nicht andersherum.

☁️ CloudCat schnurrt dazu:

"Was gestern noch ein Traum war — 600 Bäume mit einem Zettel — ist heute ein
ansible-playbook. Im Krümel-Loop ist morgen schon jetzt. Egal wie schlau du
dich hältst: schreib es auf, lass es laufen, und ich bin dabei." 🐾

📚 Weiterführende Links

Intern (Crumbforest)

• Pfad 24: Docker — Der Wal im Wald
• Pfad 27: Logfile-Analyse
• Kapitel 29: Die Kunst des ruhigen Kernels
• Nullfeld: Die Architektur des blinden Flecks — https://onezeromore.com/die-architektur-des-blinden-flecks/
• Die Crew: https://crumbforest.org/crew

Extern

• Ansible Docs — Get Started
• Ansible Builtin Modules

🎯 Skill-Check

• [ ] Ich kann erklären, warum ein Playbook ein Soll-Zustand ist und kein Skript
• [ ] Ich kann beide Hosts mit ansible all -m ping erreichen
• [ ] Ich verstehe, was changed=0 bedeutet
• [ ] Ich fange erst read-only an, bevor ich etwas verändere

Wenn 4/4 ✅: Der Wald gehorcht dir, ohne dass du rennst.
Wenn <4 ✅: Lauf den Doktor nochmal und lies die changed-Spalte.

"Der Wald hört zu. Das Nullfeld spürt. Der Commander bleibt."
Und die Crew antwortet: „Wir halten den Keks." 🍪

Version: 1.0
Maintainer: Crumbforest Core Team · für die Krümel
Navigation:
← Zurück: Regex | Weiter: deine nächste Frage →