Как отредактировать nginx с помощью ansible?

Question

[alvenysh]

Задача отредактировать файл не используя template
условно

ssl_certificate /etc/nginx/ssl/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/privkey.pem;

error_log syslog:server=<Адрес сервера SIEM>:<Порт сервера SIEM>,facility=local6,tag=siemnginxerrlog info;

access_log syslog:server=<Адрес сервера SIEM>:<Порт сервера SIEM>,facility=local6,tag=siemnginxacclog,severity=info combined;

всё это должно происходить в блоке server { }
какие при этом проблемы:
1 нельзя использовать template (а было бы так просто)
2 есть пересекающиеся значения

3 нельзя использовать ничего не из стандартных репозиториев (т.е. если даже есть в community или galaxy какая-нибудь подходящая коллекция, её использовать нельзя)
Что я пробовал и думал:
грепом найти значения не выйдет, т.к. есть пересекающиеся значения. Искать по полной строчке тоже не вариант, т.к. теоретически может быть такая ситуация, когда в строке у ip будет по ошибке одна цифра отличаться и тот же греп уже не найдет значения и я добавлю строку рядом.
По хорошему наверное нужен либо хороший awk скрипт, который будет искать только в нужном блоке (хотя спасёт ли это от задвоения?), либо что-то что я пропускаю.
Есть идеи как это организовать?

Answer 1

[Сергей Соколов]

может, вынести строки в отдельный файл, инклюдить его в конфиг NGINX, ansible'ом изменять тот отдельный файл.

Comments

[alvenysh]

есть вероятность что кто-нибудь вручную уже занёс эти строки в сам файл, но отбрасывать идею не буду, спасибо

Answer 2

[ky0]

Можно реализовать шаблонизацию на Jinja2 и не используя template - прямо внутри таски с set_fact, например. Это костыль, но условиям удовлетворяет.

Comments

[alvenysh]

а можно пример? я не совсем понял

[ky0]

alvenysh, вы скажите сначала - содержимое файла можно генерировать в Ansible? Если да - я приведу пример, как это сделать без ansible.builtin.template.

А если нельзя - ансибл выглядит не особенно подходящим инструментом.

[alvenysh]

ky0, ну не всё, конкретные параметры только можно, иначе я бы template использовал.
а так - каким угодно способом надо проверить если параметры в конкретном блоке конфига. Если нет - добавить, если отличаются - обновить.
Хоть темплейтом, хоть скриптом, если его куда-нибудь в defaults закинуть можно.

[ky0]

alvenysh, ансибл тут не нужен. Точнее, всякие приседания с grep/awk/sed можно выполнить и без него.

Инклюд, как предложили рядышком, наверное даже лучше будет (и отдельный файл можно затемплейтить!)