Народ привет! Сразу скажу что читать документацию я умею и вопрос

у меня собственно не по ней. У меня возникли трудности с самим началом эксплуатации ансибля. Собственно есть мешок серверов, на которых есть nginx и php-fpm. Вот они уже настроены и работают. Периодически надо править конфиги: добавлять location в nginx, включать/выключать параметры в php-fpm.
Я знаю что конкретно сейчас я делаю не правильно: я пока сделал роль на каждую группу серверов, в роль сложил файлы конфигов и положил всё это в гитлаб. При необходимости я все ещё руками правлю файлы, запускаю рядом лежащий плейбук, коммичу в репу.
Меня больше интересует не столько вопрос автоматизации запуска плейбука, сколько правильный подход к организации конфигурационных файлов и шаблонов. В рамках роли что где лежит я знаю.
Я имею ввиду какой правильных (true way) подход в этом плане - когда ты пишешь не на чистую систему плейбуку, а на уже работающую?!
Например у меня на некоторых серверах сертификаты для nginx лежат рядом с ним - надо ли предварительно их оттуда вытаскивать?!
Надо ли всякие служебные конфиги (mime.types) складывать в репу с ролью?
Как короче правильно и без сильной анальной боли подойти к вопросу столь сложному?!))
Просто гайдов в тырнете 100500, о том как начать, а вот о том как правильно организовать - не нашёл (возможно гуглил не правильно). Короче дайте совет куда копать?!

Да нет разницы. Все конфиги сложи куда следует (в шаблоны), роли гоняй с —check —diff. Это позволит тебе без ломания прода получить ситуацию "мои роли соответствуют тому, что лежит на проде". Конечно, придётся отказаться от shell, command, lineinfile и прочей срани, но результат того стоит.