3、角色依赖管理：meta/main.yml中的dependencies字段、角色执行顺序控制

在Ansible自动化运维体系中，角色复用是提升效率的核心手段，但直接复用往往带来隐性的环境偏差。角色依赖管理通过meta/main.yml中的dependencies字段，显式声明角色间的调用关系与版本约束，确保角色在执行前自动拉取所有前置依赖，从而在基线核验场景中实现“一次声明、处处一致”的执行效果。

3.1 dependencies字段结构与声明方式

dependencies字段位于角色根目录下的meta/main.yml文件中，支持两种声明格式：简单列表和带参字典。简单列表仅指定依赖角色名称；带参字典则允许传递变量、控制版本或指定执行标签。

3.2 角色执行顺序控制机制

Ansible在执行角色时遵循深度优先、先依赖后自身的递归顺序。理解这一机制对于编排复杂的基线核验任务至关重要。

1. 递归解析：Ansible从入口角色开始，递归读取每个角色的meta/main.yml，构建完整的依赖树。
2. 去重执行：同一角色在依赖树中出现多次时，默认只执行一次（除非设置allow_duplicates: true）。
3. 变量覆盖优先级：依赖角色中通过vars传递的变量，优先级高于依赖角色自身的defaults，但低于vars目录下的变量。
4. 标签继承：依赖角色默认继承父角色的标签，可通过tags字段单独控制。

3.3 依赖冲突与去重策略

当多个角色依赖同一个子角色时，Ansible默认执行一次。但在基线核验场景中，不同角色可能要求同一依赖角色的不同版本，此时需要明确处理冲突。

3.4 基线核验场景中的依赖编排示例

以下是一个面向“等保三级基线核验”的角色依赖声明示例，展示了如何通过dependencies字段实现分层、可复用的基线检查链。

# roles/baseline_grade3/meta/main.yml
---
dependencies:
  - role: common_checks
    version: 1.2.0
    tags: [always]

  - role: os_hardening
    version: 2.0.1
    vars:
      hardening_level: "grade3"
      enable_selinux: true
    tags: [hardening]

  - role: audit_config
    version: 1.5.0
    vars:
      audit_rules: "{{ grade3_audit_rules }}"
    tags: [audit]

  - role: crypto_policy
    version: 3.0.0
    tags: [crypto]

  - role: network_security
    version: 1.8.2
    vars:
      firewall_profile: "strict"
    tags: [network]

3.5 依赖角色执行顺序的验证方法

在基线核验配置交付前，建议通过以下步骤验证依赖执行顺序是否符合预期：

1. 使用--list-tasks参数：ansible-playbook site.yml --list-tasks可展示所有角色及其任务的执行顺序。
2. 添加调试输出：在每个角色的tasks/main.yml开头加入debug任务，打印角色名称和版本。
3. 检查依赖树：使用ansible-galaxy role info <role_name>查看角色的元数据依赖声明。
4. 单元测试：在CI流水线中，使用molecule框架对依赖关系进行自动化验证。