eget: вынести роль в ansible-roles, декларативные пакеты

playbook-eget.yml

@@ -1,78 +1,26 @@
 ---
-- name: "Install eget"
+- name: "Install eget and pinned binaries"
   hosts: all
 
   vars_files:
     - vars/secrets.yml
     - vars/vars.yml
 
-  # See: https://github.com/zyedidia/eget/releases
-
-  vars:
-    eget_install_dir: "{{ bin_prefix }}"
-    eget_bin_path: '{{ (eget_install_dir, "eget") | path_join }}'
+  # Версии инструментов: https://github.com/<repo>/releases
 
   tasks:
-    - name: "Install eget"
+    - name: "Install eget and tools"
       ansible.builtin.import_role:
         name: eget
       vars:
-        eget_version: "1.3.4"
-        eget_install_path: "{{ eget_bin_path }}"
-
-    - name: "Install rclone"
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} rclone/rclone --quiet --upgrade-only --to {{ eget_install_dir }} --asset zip
-          --tag v1.73.4
-      changed_when: false
-
-    - name: "Install restic"
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} restic/restic --quiet --upgrade-only --to {{ eget_install_dir }}
-          --tag v0.18.1
-      changed_when: false
-
-    - name: "Install resticprofile"
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} creativeprojects/resticprofile --quiet --upgrade-only --to {{ eget_install_dir }}
-          --asset '^no_self_update'
-          --tag v0.32.0
-      changed_when: false
-
-    - name: "Install btop"
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} aristocratos/btop --quiet --upgrade-only --to {{ eget_install_dir }}
-          --tag v1.4.6
-      changed_when: false
-
-    - name: "Install gobackup"
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} gobackup/gobackup --quiet --upgrade-only --to {{ eget_install_dir }}
-          --tag v2.17.0
-      changed_when: false
-
-    - name: "Install task"
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} go-task/task --quiet --upgrade-only --to {{ eget_install_dir }}  --asset tar.gz
-          --tag v3.48.0
-      changed_when: false
-
-    - name: 'Install dust'
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} bootandy/dust --quiet --upgrade-only --to {{ bin_prefix }} --asset gnu
-          --tag v1.2.4
-      changed_when: false
-
-    - name: 'Install zellij'
-      ansible.builtin.command:
-        cmd: >
-          {{ eget_bin_path }} zellij-org/zellij --quiet --upgrade-only --to {{ bin_prefix }} --asset no-web
-          --tag v0.43.1
-      changed_when: false
+        eget_install_path: '{{ (bin_prefix, "eget") | path_join }}'
+        eget_packages_to: "{{ bin_prefix }}"
+        eget_packages:
+          - {repo: "rclone/rclone", tag: "v1.73.4", asset: "zip"}
+          - {repo: "restic/restic", tag: "v0.18.1"}
+          - {repo: "creativeprojects/resticprofile", tag: "v0.32.0", asset: "^no_self_update"}
+          - {repo: "aristocratos/btop", tag: "v1.4.6"}
+          - {repo: "gobackup/gobackup", tag: "v2.17.0"}
+          - {repo: "go-task/task", tag: "v3.48.0", asset: "tar.gz"}
+          - {repo: "bootandy/dust", tag: "v1.2.4", asset: "gnu"}
+          - {repo: "zellij-org/zellij", tag: "v0.43.1", asset: "no-web"}

roles/eget/README.md

@@ -1,38 +1,88 @@
-Role Name
-=========
+# eget
 
-A brief description of the role goes here.
+Устанавливает утилиту [eget](https://github.com/zyedidia/eget) и через неё —
+пиновые бинарники релизов с GitHub (restic, rclone, btop, zellij и т.п.).
 
-Requirements
-------------
+Роль общая для всех серверных репозиториев; канон живёт в `ansible-roles`,
+копии вендорятся через `inv roles-pull`.
 
-Any pre-requisites that may not be covered by Ansible itself or the role should be mentioned here. For instance, if the role uses the EC2 module, it may be a good idea to mention in this section that the boto package is required.
+## Что делает
 
-Role Variables
---------------
+1. **Bootstrap eget.** Если нужной версии `eget` нет — качает архив релиза с
+   GitHub напрямую (сам себя eget обновить не может — chicken-and-egg),
+   распаковывает во временную директорию, ставит бинарник и убирает мусор.
+   Идемпотентно: сверяет `eget --version` с `eget_version`.
+2. **Установка пакетов.** Идёт по декларативному списку `eget_packages` и для
+   каждого вызывает `eget <repo> --tag <tag> --upgrade-only …`.
 
-A description of the settable variables for this role should go here, including any variables that are in defaults/main.yml, vars/main.yml, and any variables that can/should be set via parameters to the role. Any variables that are read from other roles and/or the global scope (ie. hostvars, group vars, etc.) should be mentioned here as well.
+## Идемпотентность и статус изменений
 
-Dependencies
-------------
+`--upgrade-only` заставляет eget скачивать бинарник, только если релиз новее
+установленного файла (сравнение по mtime). Когда обновление не нужно, eget
+пишет в stderr `… requested release is not more recent than current version`
+и выходит с кодом 0.
 
-A list of other roles hosted on Galaxy should go here, plus any details in regards to parameters that may need to be set for other roles, or variables that are used from other roles.
+Роль **не** глушит вывод (`--quiet` убран намеренно) и по наличию этой
+подстроки (`eget_no_upgrade_marker`) выставляет `changed_when`: реальная
+установка → `changed`, пропуск → `ok`. Ненулевой код выхода eget (реальная
+ошибка) роняет таск штатно.
 
-Example Playbook
-----------------
+> Ограничения `--upgrade-only` (сравнение по дате релиза vs mtime бинарника, а
+> не по версии — поэтому это **не** строгий пиннинг тега):
+>
+> - Бамп тега на релиз, опубликованный раньше текущей установки, и любой
+>   **даунгрейд** eget сочтёт «не новее» и не поставит (роль покажет `ok`).
+>   На практике теги двигают только вперёд на свежие релизы; откат версии —
+>   вручную (удалить бинарник, затем прогнать роль).
+> - Если имя бинарника не совпадает с последним сегментом `repo` (напр.
+>   `BurntSushi/ripgrep` → `rg`), eget не находит установленный файл, и роль
+>   будет **переустанавливать пакет каждый прогон** (рапортуя `changed`). Все
+>   текущие пакеты этим не задеты; для таких репозиториев ставь бинарник в
+>   отдельную директорию либо не полагайся на статус `changed`.
 
-Including an example of how to use your role (for instance, with variables passed in as parameters) is always nice for users too:
+## Переменные
 
-    - hosts: servers
-      roles:
-         - { role: username.rolename, x: 42 }
+Полный список и значения по умолчанию — в `defaults/main.yml`.
 
-License
--------
+| Переменная | По умолчанию | Назначение |
+|------------|--------------|------------|
+| `eget_version` | `1.3.4` | Версия самой утилиты eget. |
+| `eget_install_path` | `/usr/bin/eget` | Куда ставить бинарник eget. |
+| `eget_download_url` | ссылка на релиз | URL архива eget (собирается из версии). |
+| `eget_download_checksum` | `""` | Необязательная проверка архива eget (формат `get_url.checksum`). |
+| `eget_packages_to` | `/usr/local/bin` | Директория для бинарников пакетов по умолчанию. |
+| `eget_packages` | `[]` | Декларативный список пакетов (см. ниже). |
 
-BSD
+### Схема элемента `eget_packages`
 
-Author Information
-------------------
+| Ключ | Обяз. | Назначение |
+|------|:----:|------------|
+| `repo` | да | `owner/repo` на GitHub, напр. `restic/restic`. |
+| `tag` | да | Пиновка версии, напр. `v0.18.1`. |
+| `to` | нет | Целевая директория; по умолчанию `eget_packages_to`. |
+| `asset` | нет | Один фильтр ассета, напр. `zip` или `^musl` (`^` — анти-матч). |
+| `assets` | нет | Список фильтров (каждый → свой `--asset`); приоритетнее `asset`. |
+| `file` | нет | `--file` glob для выбора файла из архива. |
 
-An optional section for the role authors to include contact information, or a website (HTML is not allowed).
+## Пример
+
+```yaml
+- name: "Install eget and pinned binaries"
+  hosts: all
+  tasks:
+    - name: "Install eget and tools"
+      ansible.builtin.import_role:
+        name: eget
+      vars:
+        eget_install_path: "/usr/local/bin/eget"
+        eget_packages_to: "/usr/local/bin"
+        eget_packages:
+          - {repo: "restic/restic", tag: "v0.18.1"}
+          - {repo: "rclone/rclone", tag: "v1.73.4", asset: "zip"}
+          - {repo: "bootandy/dust", tag: "v1.2.4", asset: "gnu"}
+          - {repo: "creativeprojects/resticprofile", tag: "v0.32.0", asset: "^no_self_update"}
+```
+
+## License
+
+MIT

roles/eget/defaults/main.yml

@@ -1,8 +1,32 @@
 ---
 # defaults file for eget
-eget_version: "1.3.4"
-eget_download_url: "https://github.com/zyedidia/eget/releases/download/v{{ eget_version }}/eget-{{ eget_version }}-linux_amd64.tar.gz"  # yamllint disable-line rule:line-length
-eget_install_path: "/usr/bin/eget"
 
-eget_download_dest: '/tmp/{{ eget_download_url | split("/") | last }}'
-eget_unarchive_dest: '{{ eget_download_dest | regex_replace("(\.tar\.gz|\.zip)$", "") }}'
+# --- Сам eget ---
+# Версия утилиты eget и путь установки её бинарника.
+eget_version: "1.3.4"
+eget_install_path: "/usr/bin/eget"
+eget_download_url: "https://github.com/zyedidia/eget/releases/download/v{{ eget_version }}/eget-{{ eget_version }}-linux_amd64.tar.gz"  # yamllint disable-line rule:line-length
+
+# Необязательная проверка целостности архива eget при bootstrap.
+# Формат — как у аргумента checksum модуля get_url
+# (напр. "sha256:<hex>"). Пусто — проверка пропускается.
+eget_download_checksum: ""
+
+# --- Пакеты, устанавливаемые через eget ---
+# Директория по умолчанию для бинарников пакетов
+# (переопределяется в eget_packages[*].to).
+eget_packages_to: "/usr/local/bin"
+
+# Декларативный список пакетов. Каждый элемент — объект:
+#   repo   (обязательно) — "owner/repo" на GitHub, напр. "restic/restic".
+#   tag    (обязательно) — пиновка версии, напр. "v0.18.1".
+#   to     (опц.)        — целевая директория; по умолчанию eget_packages_to.
+#   asset  (опц.)        — один фильтр ассета, напр. "zip" или "^musl" (^ = анти-матч).
+#   assets (опц.)        — список фильтров (каждый добавляет свой --asset); имеет
+#                          приоритет над asset, если заданы оба.
+#   file   (опц.)        — --file glob для выбора файла из архива.
+# Пример:
+#   eget_packages:
+#     - {repo: "restic/restic", tag: "v0.18.1"}
+#     - {repo: "bootandy/dust", tag: "v1.2.4", asset: "gnu"}
+eget_packages: []

roles/eget/meta/main.yml

@@ -1,52 +1,21 @@
 ---
 galaxy_info:
+  role_name: eget
   author: "Anton Vakhrushev"
-  description: "Role for installation eget utility"
-
-  # If the issue tracker for your role is not on github, uncomment the
-  # next line and provide a value
-  # issue_tracker_url: http://example.com/issue/tracker
-
-  # Choose a valid license ID from https://spdx.org - some suggested licenses:
-  # - BSD-3-Clause (default)
-  # - MIT
-  # - GPL-2.0-or-later
-  # - GPL-3.0-only
-  # - Apache-2.0
-  # - CC-BY-4.0
+  description: "Установка утилиты eget и загрузка через неё пиновых бинарников с GitHub"
   license: "MIT"
-
-  min_ansible_version: "2.1"
-
-  # If this a Container Enabled role, provide the minimum Ansible Container version.
-  # min_ansible_container_version:
-
-  #
-  # Provide a list of supported platforms, and for each platform a list of versions.
-  # If you don't wish to enumerate all versions for a particular platform, use 'all'.
-  # To view available platforms and versions (or releases), visit:
-  # https://galaxy.ansible.com/api/v1/platforms/
-  #
-  # platforms:
-  # - name: Fedora
-  #   versions:
-  #   - all
-  #   - 25
-  # - name: SomePlatform
-  #   versions:
-  #   - all
-  #   - 1.0
-  #   - 7
-  #   - 99.99
-
-  galaxy_tags: []
-    # List tags for your role here, one per line. A tag is a keyword that describes
-    # and categorizes the role. Users find roles by searching for tags. Be sure to
-    # remove the '[]' above, if you add tags to this list.
-    #
-    # NOTE: A tag is limited to a single word comprised of alphanumeric characters.
-    #       Maximum 20 tags per role.
+  min_ansible_version: "2.14"
+  platforms:
+    - name: Ubuntu
+      versions:
+        - all
+    - name: Debian
+      versions:
+        - all
+  galaxy_tags:
+    - eget
+    - binaries
+    - github
+    - cli
 
 dependencies: []
-  # List your role dependencies here, one per line. Be sure to remove the '[]' above,
-  # if you add dependencies to this list.

roles/eget/tasks/install.yml

@@ -1,30 +0,0 @@
----
-- name: 'Download eget from url "{{ eget_download_url }}"'
-  ansible.builtin.get_url:
-    url: "{{ eget_download_url }}"
-    dest: "{{ eget_download_dest }}"
-    mode: "0600"
-
-- name: "Unarchive eget"
-  ansible.builtin.unarchive:
-    src: "{{ eget_download_dest }}"
-    dest: "/tmp"
-    list_files: true
-    remote_src: true
-
-- name: "Install eget binary"
-  ansible.builtin.copy:
-    src: '{{ (eget_unarchive_dest, "eget") | path_join }}'
-    dest: "{{ eget_install_path }}"
-    mode: "0755"
-    remote_src: true
-
-- name: "Remove temporary files"
-  ansible.builtin.file:
-    path: "{{ eget_download_dest }}"
-    state: absent
-
-- name: "Remove temporary directories"
-  ansible.builtin.file:
-    path: "{{ eget_unarchive_dest }}"
-    state: absent

roles/eget/tasks/install_eget.yml

@@ -0,0 +1,46 @@
+---
+# Bootstrap самого eget: скачать релиз с GitHub, распаковать, поставить бинарник.
+# Идемпотентность — по версии уже установленного eget; чужой eget нельзя обновить
+# им самим (chicken-and-egg), поэтому качаем архив релиза напрямую.
+
+- name: "Check installed eget version"
+  ansible.builtin.command:
+    cmd: "{{ eget_install_path }} --version"
+  register: eget_version_check
+  changed_when: false
+  failed_when: false
+  check_mode: false  # read-only проба: нужна и в --check, чтобы gate ниже был честным
+
+- name: "Install eget from GitHub release"
+  when: >-
+    eget_version_check.rc != 0
+    or eget_version not in eget_version_check.stdout
+  block:
+    - name: "Download eget release archive"
+      ansible.builtin.get_url:
+        url: "{{ eget_download_url }}"
+        dest: "{{ eget_download_dest }}"
+        checksum: "{{ eget_download_checksum or omit }}"
+        mode: "0600"
+
+    - name: "Extract eget release archive"
+      ansible.builtin.unarchive:
+        src: "{{ eget_download_dest }}"
+        dest: "/tmp"
+        remote_src: true
+
+    - name: "Install eget binary"
+      ansible.builtin.copy:
+        src: '{{ (eget_unarchive_dest, "eget") | path_join }}'
+        dest: "{{ eget_install_path }}"
+        mode: "0755"
+        remote_src: true
+
+  always:
+    - name: "Remove eget bootstrap artifacts"
+      ansible.builtin.file:
+        path: "{{ item }}"
+        state: absent
+      loop:
+        - "{{ eget_download_dest }}"
+        - "{{ eget_unarchive_dest }}"

roles/eget/tasks/main.yml

@@ -1,24 +1,40 @@
 ---
 # tasks file for eget
 
-- name: "Check if eget installed"
-  ansible.builtin.command:
-    cmd: "{{ eget_install_path }} --version"
-  register: eget_installed_output
-  ignore_errors: true
-  changed_when: false
-
-- name: "Check eget installed version"
-  ansible.builtin.set_fact:
-    eget_need_install: "{{ not (eget_installed_output.rc == 0 and eget_version in eget_installed_output.stdout) }}"
-
-- name: "Assert that installation flag is defined"
+- name: "Validate eget_packages entries"
   ansible.builtin.assert:
     that:
-      - eget_need_install is defined
-      - eget_need_install is boolean
+      - item.repo is defined and item.repo is string and item.repo | length > 0
+      - item.tag is defined and item.tag is string and item.tag | length > 0
+      - item.to is not defined or item.to is string
+      - item.file is not defined or item.file is string
+      - item.asset is not defined or item.asset is string
+      - item.assets is not defined or (item.assets is sequence and item.assets is not string)
+    fail_msg: >-
+      Некорректный элемент eget_packages (repo/tag — непустые строки;
+      asset/file/to — строки; assets — список строк): {{ item }}
+    quiet: true
+  loop: "{{ eget_packages }}"
+  loop_control:
+    label: "{{ item.repo | default('?') }}"
 
-- name: "Download eget and install eget"
-  ansible.builtin.include_tasks:
-    file: "install.yml"
-  when: eget_need_install
+- name: "Ensure eget is installed"
+  ansible.builtin.import_tasks: install_eget.yml
+
+- name: "Install pinned binaries with eget"
+  ansible.builtin.command:
+    argv: "{{ _eget_argv }}"
+  vars:
+    _eget_to: "{{ item.to | default(eget_packages_to) }}"
+    _eget_assets: >-
+      {{ item.assets | default([item.asset] if item.asset is defined else []) }}
+    _eget_argv: >-
+      {{ [eget_install_path, item.repo, '--upgrade-only',
+          '--to=' ~ _eget_to, '--tag=' ~ item.tag]
+         + (['--file=' ~ item.file] if item.file is defined else [])
+         + (['--asset'] | product(_eget_assets) | map('join', '=') | list) }}
+  register: eget_install
+  changed_when: eget_no_upgrade_marker not in eget_install.stderr
+  loop: "{{ eget_packages }}"
+  loop_control:
+    label: "{{ item.repo }} {{ item.tag }}"

roles/eget/vars/main.yml

@@ -1,2 +1,12 @@
 ---
-# vars file for eget
+# vars file for eget — внутренние значения роли, не предназначены для переопределения.
+
+# Куда скачивается и распаковывается архив eget при bootstrap.
+eget_download_dest: '/tmp/{{ eget_download_url | split("/") | last }}'
+eget_unarchive_dest: '{{ eget_download_dest | regex_replace("(\.tar\.gz|\.zip)$", "") }}'
+
+# Подстрока из текста ошибки ErrNoUpgrade в eget: печатается в stderr, когда
+# установленный бинарник уже не старше запрошенного релиза (--upgrade-only).
+# По ней роль отличает «ничего не делали» от реальной установки.
+# См. find.go: errors.New("requested release is not more recent than current version").
+eget_no_upgrade_marker: "not more recent than current version"