意図しないパッケージの削除を防ぎたい

Question

CentOS-7.3 + ansible-2.3.1.0 で、PGDG 版の PostgreSql(postgresql96-*)
を導入するための playbook を運用していて問題が発生しました。

デフォルトで入っている postgresql-libs （バージョン番号なし）を消すための
テストスクリプトで実験しています。

$ cat test.yml
---
- hosts: localhost
  tasks:
    - yum:
        name: postgresql-libs
        state: absent
      become: yes

これを、

$ rpm -qa|grep ^postg
postgresql96-libs-9.6.3-1PGDG.rhel7.x86_64
postgresql-libs-9.2.18-1.el7.x86_64

という状態で流すと想定した動きをしますが、postgresql-libs が消えた後に
もう一度流すと、postgresql96-libs が消えてしまうことに気が付きました。
これは、postgresql96-libs が postgresql-libs という名前を名乗っている
からではないかと推定しています。

$ rpm -q --provides postgresql96-libs | grep postgresql-libs
postgresql-libs = 9.6

事前に shell でパッケージの存在を確認するように、以下のように

- hosts: localhost
  tasks:
    - shell: rpm -qa | grep postgresql-libs | sed -E 's/libs-.*$/libs/'
      register: default_pkg
    - yum:
        name: postgresql-libs
        state: absent
      become: yes
      when: default_pkg.stdout == 'postgresql-libs'

とすれば通りますが、以下のような警告が出ます。

 [WARNING]: Consider using yum, dnf or zypper module rather than running rpm

そもそも、shell ディレクティブはセキュリティ上あまり推奨されないようです。
なにかもっとすっきりした解決方法があればご教示願います。

【追記】

「yumモジュールのlist」 は、存在だけは知っていたのですが、使い方が
今ひとつよくわかりません。今回のケースだと、以下のように書けば、一応
通りはするようです。

$ cat test3.yml
---
- hosts: localhost
  tasks:
    - yum:
        list: postgresql-libs
      register: default_pkg
#   - debug: var=default_pkg
    - yum:
        name: postgresql-libs
        state: absent
      when: (default_pkg.results[0].name == 'postgresql-libs' and default_pkg.results[0].yumstate == 'installed') or
            (default_pkg.results[1].name == 'postgresql-libs' and default_pkg.results[1].yumstate == 'installed') or
            (default_pkg.results[2].name == 'postgresql-libs' and default_pkg.results[2].yumstate == 'installed')

ただ、一般に yum list で候補が何個出てくるのかは不定なので、ここでは
３個と決め打ちになってしまっています。どう書くのが正解でしょうか？

Answer 1

yumモジュールのlistを使うのがansibleでは正道だとは思います。
http://docs.ansible.com/ansible/yum_module.html

ただ、shellモジュール（やcommandモジュール）はセキュリティ上の問題で推奨されないわけではなく、冪等性もへったくれもないから、という理由で推奨されていないと認識しています。（他にも何も細工しないと常にchangedになる、という理由もあるかもしれません）
なので、私見ですがこのような存在チェック等に使用するのは問題ないと思っています。
ちなみにその警告は"warn=no"を付けると消えます。次のような感じですね。
shell: rpm -qa | grep postgresql-libs | sed -E 's/libs-.*$/libs/' warn=no

Comments

[hotta]

コメント欄では文字修飾ができないようなので、質問欄に追記しました。

[yunano]

追記については、手元で試す限りnameはすべて"postgresql-libs"なので条件に含める必要はなくyumstateだけ見れば良いように思います。
だとするとjinja2のmapフィルタを使って when: "'installed' in (default_pkg.results | map(attribute='yumstate'))" となるかと思います。
http://jinja.pocoo.org/docs/2.9/templates/#map

もしnameに"postgresql-libs"以外のものが出てくるのならば、おそらくfilter pluginを自作する必要がありそうです。

[hotta]

長いので出力は載せませんでしたが、postgresql96-libs も表示されたので、こうなりました。
filter plugin ですか。python 知らないのでちょっとハードルが高いかなぁ。
精進します。ありがとうございました。

[yunano]

もしjinja2のバージョンが2.8以降であれば（epelからインストールできるのは2.7なので、pipなどでインストールする必要があります）、filter pluginを作らずとも以下で良いようです。

when: default_pkg.results | selectattr('name', 'equalto', 'postgresql-libs') | selectattr('yumstate', 'equalto', 'installed') | list

で行けました。