av
c5217607b1
- 20 приложений её не получают: контейнерами рулит ansible от root, а членство в группе docker равносильно root на хосте - у gitea, miniflux и outline группа осталась — их backup.sh дампит базу через docker compose exec из-под самого приложения - задача service-users-docker-group закрыта, остаток вынесен в новую backup-dump-without-docker-group
101 lines
3.8 KiB
YAML
101 lines
3.8 KiB
YAML
---
|
|
- name: "Configure miniflux application"
|
|
hosts: all
|
|
|
|
vars:
|
|
app_name: "miniflux"
|
|
app_user: "{{ app_name }}"
|
|
app_owner_uid: 1013
|
|
app_owner_gid: 1014
|
|
base_dir: "{{ (application_dir, app_name) | path_join }}"
|
|
data_dir: "{{ (base_dir, 'data') | path_join }}"
|
|
secrets_dir: "{{ (base_dir, 'secrets') | path_join }}"
|
|
postgres_data_dir: "{{ (base_dir, 'data', 'postgres') | path_join }}"
|
|
postgres_backups_dir: "{{ (base_dir, 'backups', 'postgres') | path_join }}"
|
|
|
|
tasks:
|
|
- name: "Create user and environment"
|
|
ansible.builtin.import_role:
|
|
name: owner
|
|
vars:
|
|
owner_name: "{{ app_user }}"
|
|
owner_uid: "{{ app_owner_uid }}"
|
|
owner_gid: "{{ app_owner_gid }}"
|
|
# Группа docker = root на хосте, поэтому её не выдаём никому, кроме
|
|
# приложений, чей backup.sh делает docker compose exec: оркестратор
|
|
# запускает такие скрипты через su от имени этого пользователя.
|
|
# См. docs/backlog/backup-dump-without-docker-group.md.
|
|
owner_extra_groups: ["docker"]
|
|
|
|
- name: "Create internal directories"
|
|
ansible.builtin.file:
|
|
path: "{{ item }}"
|
|
state: "directory"
|
|
owner: "{{ app_user }}"
|
|
group: "{{ app_user }}"
|
|
mode: "0770"
|
|
loop:
|
|
- "{{ base_dir }}"
|
|
- "{{ data_dir }}"
|
|
- "{{ secrets_dir }}"
|
|
- "{{ postgres_data_dir }}"
|
|
- "{{ postgres_backups_dir }}"
|
|
|
|
# notify на import_role наследуется всеми задачами роли: рестарт нужен,
|
|
# если изменился любой файл секретов — miniflux читает их через *_FILE
|
|
# только при старте.
|
|
- name: "Copy secrets"
|
|
ansible.builtin.import_role:
|
|
name: secrets
|
|
notify: "Restart application"
|
|
vars:
|
|
secrets_dest: "{{ secrets_dir }}"
|
|
secrets_user: "{{ app_user }}"
|
|
secrets_group: "{{ app_user }}"
|
|
secrets_vars:
|
|
- "miniflux_database_url"
|
|
- "miniflux_admin_user"
|
|
- "miniflux_admin_password"
|
|
- "miniflux_oidc_client_id"
|
|
- "miniflux_oidc_client_secret"
|
|
- "miniflux_postgres_password"
|
|
|
|
- name: "Copy docker compose file"
|
|
ansible.builtin.template:
|
|
src: "./files/{{ app_name }}/docker-compose.template.yml"
|
|
dest: "{{ base_dir }}/docker-compose.yml"
|
|
owner: "{{ app_user }}"
|
|
group: "{{ app_user }}"
|
|
mode: "0640"
|
|
|
|
- name: "Copy backup script"
|
|
ansible.builtin.template:
|
|
src: "./files/{{ app_name }}/backup.template.sh"
|
|
dest: "{{ base_dir }}/backup.sh"
|
|
owner: "{{ app_user }}"
|
|
group: "{{ app_user }}"
|
|
mode: "0750"
|
|
|
|
- name: "Run application with docker compose"
|
|
community.docker.docker_compose_v2:
|
|
project_src: "{{ base_dir }}"
|
|
state: "present"
|
|
remove_orphans: true
|
|
tags:
|
|
- run-app
|
|
|
|
handlers:
|
|
# Приложение читает секреты только при старте, а `state: present` не
|
|
# пересоздаёт контейнер, если docker-compose.yml не изменился, — поэтому
|
|
# правку применяет только явный рестарт.
|
|
- name: "Restart application"
|
|
community.docker.docker_compose_v2:
|
|
project_src: "{{ base_dir }}"
|
|
# Только сам miniflux: базу дёргать незачем, пароль postgres читается
|
|
# из тех же секретов лишь при инициализации кластера.
|
|
services:
|
|
- "miniflux_app"
|
|
state: "restarted"
|
|
tags:
|
|
- run-app
|