这是Ansible系列课程第八节，Ansible playbook中如何使用when进行条件判断，以满足在各种条件下的任务场景。
该系列课程前后章节都是有关联性的，对于初学者建议按顺序阅读。也可以选择特定的章节了解单个知识点。
上一节介绍了Ansible的调试利器debugger，了解了各种调试工具，那么在后续playbook的学习过程中，就会方便很多。我们也会通过调试工具来验证playbook的处理逻辑。今天要介绍的是playbook中如何使用when来进行条件判断，这个和其他编程语言中if、else、when进行条件判断了逻辑是一样的，只不过要以YAML的格式进行编写。
when基本条件
when条件的使用很简单，只需要在单个任务的后面添加when条件判断语句。when语句中的变量不需要使用{{}}表达式。when条件语句的处理逻辑是：当playbook或task执行时，ansible会在所有主机上进行测试，只在测试通过的主机上执行该任务。比如：只在启动了SELinux的主机上配置SELinux以允许mysql运行。
tasks:
- name: Configure SELinux to start mysql on any port
seboolean:
name: mysql_connect_any
state: true
persistent: yes
when: ansible_selinux.status == "enabled"
when条件语句中能够使用的判断条件有很多，有变量、facts等，when条件语句可以应用于task，roles或者import等。
基于ansible_facts的条件
ansible_facts是单个主机的属性，比如IP地址，操作系统，网络信息。当处理不同主机的差异时可以根据ansible_facts的值进行判断。比如：
当操作系统是CentOS时，安装哪个包，怎么安装
当IP地址为内部IP时，就跳过配置防火墙
当文件系统快满时，执行清理任务
当然还有很多其他facts，可以通过debug打印出ansible_facts都有哪些值。
---
- hosts: devops
tasks:
- name: show ansible facts
debug:
var: ansible_facts
①、当distribution是CentOS时重启主机
tasks:
- name: Shut down CentOS systems
command: sbin/shutdown -t now
when: ansible_facts['distribution'] == "CentOS"
②、如果有多个条件，使用括号进行分组
tasks:
- name: Shut down CentOS 6 and Debian 7 systems
command: sbin/shutdown -t now
when: (ansible_facts['distribution'] == "CentOS" and ansible_facts['distribution_major_version'] == "6") or
(ansible_facts['distribution'] == "Debian" and ansible_facts['distribution_major_version'] == "7")
这里用到了逻辑运算符来组合条件：or。如果有多个条件都为真时(即and)，可以使用列表形式。
tasks:
- name: Shut down CentOS 6 and Debian 7 systems
command: sbin/shutdown -t now
when:
- ansible_facts['distribution'] == "CentOS"
- ansible_facts['distribution_major_version'] == "6"
③、如果需要类型转换，可以使用过滤器，比如将字符串转变为数字。
tasks:
- shell: echo "only on Red Hat 6, derivatives, and later"
when: ansible_facts['os_family'] == "RedHat" and ansible_facts['lsb']['major_release'] | int >= 6
基于注册变量的条件
通常在playbook中，会根据前面任务执行的结果来判断后面任务的执行与否。比如：只有当依赖包安装成功后，才能安装该软件。这时就可以将安装依赖包的任务的执行结果注册（register）为变量，再根据注册变量的值决定后续是否安装该软件。
tasks:
- command: bin/false
register: result
ignore_errors: True
- command: bin/something
when: result is succeeded
注册变量也是一个对象，包含了任务执行的结果和输出。可以通过debug将注册变量输出，以下是打印出注册变量ls_result的内容：
---
- hosts: devops
tasks:
- name: register variable
command: ls mnt
register: ls_result
- name: print register variable
debug:
var: ls_result
ls_result的内容：
了解了注册变量有哪些内容，可以基于注册变量的结果进行判断。比如：当结果不为空时，打印出该目录下有几个条目。
---
- hosts: devops
tasks:
- name: register variable
command: ls mnt
register: ls_result
- name: print register variable
debug:
msg: "this directory includes {{ls_result.stdout_lines|length}} items"
when: ls_result.stdout != ""
执行结果如下。其他字段可以根据实际情况进行判断。
基于变量的条件
可以基于playboo或inventory中定义的变量进行条件判断。因为when条件判断的结果是布尔值（True|False）。因此基于条件判断的变量值有两类：
可以转换成布尔的值，比如yes、on、1、true等。该类型的值需要进行bool过滤器转换。
其他类型的值，通过表达式计算出布尔值。比如：master == ‘master’
①、根据变量值判断
---
- hosts: devops
debugger: on_failed
vars:
output: yes
tasks:
- name: print debug msg
debug:
msg: "this is debug msg"
when: output | bool
执行结果：
②、根据变量是否定义判断
---
- hosts: devops
debugger: on_failed
vars:
output: yes
tasks:
- name: variable is defined
debug:
msg: "variable output is {{output}}"
when: output is defined
- name: variable is not defined
debug:
msg: "variable output is not defined"
when: output is undefined
执行结果：
与循环一起使用
如果将when与循环一起使用时，ansible会为每个循环项都执行单独的条件判断，不满足条件的项就会跳过。
①、打印大于5的数字
---
- hosts: devops
debugger: on_failed
tasks:
- name: print items greater than 5
debug:
msg: "item is {{item}}"
loop: [0,1,3,5,6,7,8,10]
when: item > 5
执行结果：
②、指定默认值default，当该集合未定义时，可以跳过。
---
- hosts: devops
debugger: on_failed
tasks:
- name: print items greater than 5
debug:
msg: "item is {{item}}"
loop: "{{ mylist|default([]) }}"
when: item > 5
执行结果：
③、循环dict字典
---
- hosts: devops
debugger: on_failed
vars:
mydict: {"zhangsan":6,"lisi":8,"wangwu":3}
tasks:
- name: print items greater than 5
debug:
msg: "item is {{item.key}}"
loop: "{{ query('dict', mydict|default({})) }}"
when: item.value > 5
执行结果：
与import一起使用
当when条件语句与import一起使用时，ansible会在import的所有task上进行when条件判断。这个行为和上面的loop一样。当不满足条件时，task会skipped。
#when-import.yml
---
- hosts: devops
debugger: on_failed
tasks:
- name: import task with when
import_tasks: defined-x-task.yml
when: x is not defined
#defined-x-task.yml
- name: Set a variable
ansible.builtin.set_fact:
x: foo
- name: Print a variable
ansible.builtin.debug:
var: x
执行结果：
与include一起使用
当when与include语句一起使用时，when判断条件只应用于include这个task，不会应用到include 文件中的任何task。还是以上面的例子为例，将import改成include，看看效果。
---
- hosts: devops
debugger: on_failed
tasks:
- name: include task with when
include_tasks: defined-x-task.yml
when: x is not defined
执行结果，从执行过程可以看出，when条件语句只应用到include task with when这个task，文件里的task没有应用when语句。
与roles一起使用
可以通过三种方式将when条件语句应用到roles。
①、通过将when语句添加到roles关键字下面，向角色中的所有任务添加相同的一个或多个条件。
#when-role.yml
---
- hosts: devops
debugger: on_failed
roles:
- role: defined-x-task
when: x is not defined
#defined-x-task角色目录结构，内容与上面的defined-x-task一样。
roles
- defined-x-task
- tasks
- main.yml
执行结果：
②、通过将when语句放到import_role的下面，向roles中的所有任务添加相同的一个或多个条件。
---
- hosts: devops
debugger: on_failed
tasks:
- name: import role with when
import_role:
name: defined-x-task
when: x is not defined
执行结果：
③、通过将when放到include-role的下面，只会应用到include_role这单个任务，如果需要应该到include文件中的每个任务，那么每个任务也需要添加when语句。这里将roles改成如下内容：
#when-include-role.yml
---
- hosts: devops
debugger: on_failed
tasks:
- name: include role with when
include_role:
name: task-with-when
when: x is not defined
#/roles/task-with-when/tasks/main.yml
- name: Set a variable
ansible.builtin.set_fact:
x: foo
when: x is not defined
- name: Print a variable
ansible.builtin.debug:
var: x
when: x is defined
执行结果：
总结
这一节主要介绍了when条件语句的使用场景。在不同的使用场景下，when的影响范围以及表达式的写法都是不一样的。本文列出的这几种基本能满足日常工作的大多数需求。
往期文章：
Ansible系列（2）：Ansible环境搭建并执行第一条ad-hoc命令
Ansible系列（3）：Ansible ad-hoc命令及实例介绍
Ansible系列（4）：小试牛刀，执行第一个Playbook
Ansible系列（5）：Inventory介绍，如何管理主机组
