Module service_facts Ansible : auditer l'état des services systemd

ansible.builtin.service_facts: collecte l’état de tous les services systemd d’un managed node — running/stopped, enabled/disabled, masked. C’est l’outil pour conditionner une tâche ou auditer un parc sans parser à la main systemctl list-units.

Le résultat atterrit dans ansible_facts.services sous forme de dict — directement utilisable dans when: ou un template Jinja.

# 1. Collecter l'état de tous les services
- ansible.builtin.service_facts:

# 2. Conditionner sur l'état actuel
- name: Démarrer firewalld uniquement s'il est arrêté (évite changed=true à chaque run)
  ansible.builtin.systemd_service:
    name: firewalld
    state: started
    enabled: true
  when:
    - "'firewalld.service' in ansible_facts.services"
    - ansible_facts.services['firewalld.service'].state != 'running'
  become: true

# 3. Auditer la présence d'un service interdit
- name: Vérifier qu'aucun service legacy ne tourne
  ansible.builtin.assert:
    that:
      - "'rpcbind.service' not in ansible_facts.services or ansible_facts.services['rpcbind.service'].state != 'running'"
    fail_msg: "rpcbind tourne — durcissement non appliqué"

Sécurité non négociable :

Lecture-seule par construction — service_facts: n’écrit jamais rien, donc changed=false toujours, idéal pour les vérifications conditionnelles.
Préférer une condition service_facts: à un command: systemctl is-active — résultat structuré, idempotent, sans parsing fragile.
Pour l’audit sécurité : combiner avec assert: pour échouer le play si un service interdit tourne (rpcbind, cups, avahi-daemon sur un serveur applicatif).

Ce que vous allez apprendre

Collecter l’état de tous les services en une tâche.
Conditionner un started: ou enabled: selon l’état actuel.
Auditer un parc (services attendus, services en trop).
Éviter les redémarrages inutiles sur des plays massifs.

Prérequis

Pas besoin de become: (lecture seule).
Fonctionne sur systemd, upstart, sysv, AIX SRC, OpenWrt.

Collecter et afficher l’état d’un service

- name: Collecter les services
  ansible.builtin.service_facts:

- name: Etat de nginx
  ansible.builtin.debug:
    msg: "{{ ansible_facts.services['nginx.service'].state }}"

Structure du dict retourné :

ansible_facts:
  services:
    nginx.service:
      state: running
      status: enabled
      source: systemd

state = running, stopped, unknown. status = enabled, disabled, static, masked.

Démarrer un service uniquement s’il est arrêté

- name: Collecter les services
  ansible.builtin.service_facts:

- name: Demarrer nginx si arrete
  ansible.builtin.systemd_service:
    name: nginx.service
    state: started
  when: ansible_facts.services['nginx.service'].state != 'running'

Avantage idempotent : sans service_facts, systemd_service: state: started reste idempotent au niveau API, mais Ansible affiche ok même quand le service n’est pas vraiment vérifié. Ici, vous lisez d’abord l’état et n’agissez que si nécessaire — utile pour des rapports ou des handlers conditionnels.

Activer un service au démarrage si besoin

- name: Collecter les services
  ansible.builtin.service_facts:

- name: Activer chronyd au boot
  ansible.builtin.systemd_service:
    name: chronyd.service
    enabled: true
  when: ansible_facts.services['chronyd.service'].status != 'enabled'

status: distingue enabled (démarrage auto), disabled, static (pas d’unit [Install], démarré seulement si dépendance), masked (interdit de démarrer).

Auditer la présence d’un service

Pattern fréquent : vérifier que tous les services attendus sont installés sur un parc.

- name: Collecter les services
  ansible.builtin.service_facts:

- name: Verifier que firewalld est installe
  ansible.builtin.assert:
    that:
      - "'firewalld.service' in ansible_facts.services"
    fail_msg: "firewalld absent — installer le paquet"

'firewalld.service' in ansible_facts.services teste juste la présence du dict, pas l’état. Service installé même si désactivé → la clé existe.

Détecter les services masked (potentiellement dangereux)

- name: Collecter les services
  ansible.builtin.service_facts:

- name: Lister les services masked
  ansible.builtin.debug:
    msg: "{{ item.key }}"
  loop: "{{ ansible_facts.services | dict2items }}"
  when: item.value.status == 'masked'

Un service masked ne peut pas être démarré — utile pour valider qu’un service n’a pas été désactivé en urgence par un opérateur et oublié.

Pièges courants

Symptôme	Cause	Fix
`KeyError: 'nginx.service'`	Service pas installé, accès direct	Tester d’abord `'nginx.service' in ansible_facts.services`
Service présent mais `state: unknown`	Service non systemd, ou lecture incomplète	Vérifier via `systemctl status` à la main
Lent sur grandes machines (> 200 services)	Pas de cache	Lancer une fois en début de play, réutiliser ensuite
`status` absent dans certains résultats	Backend non systemd (sysv)	Tester `.state` plutôt que `.status`

À retenir

service_facts: = lecture pure, pas d’écriture, pas de state:.
Résultat dans ansible_facts.services — dict indexé par nom complet (nginx.service).
state : running/stopped, status : enabled/disabled/static/masked.
Combiner avec assert pour auditer la conformité d’un parc.
Lancer une seule fois en début de play — les facts persistent.

Prochaines étapes

Module systemd_service Démarrer/activer/masquer un service après une lecture service_facts

Module assert Valider l'état du système avec service_facts comme source de vérité

Module wait_for Attendre qu'un port s'ouvre après le démarrage d'un service

Pivot Modules Vue d'ensemble des modules de diagnostic