怎么理解自动化运维工具 Ansible 概述及命令行模块？

Ansible 适合在没有客户端代理的环境下，通过 SSH 协议批量管理 Linux 主机。对于日常运维，建议先从 ad-hoc 命令行模块入手，熟悉核心逻辑后再过渡到 Playbook 剧本，以降低学习成本并快速解决临时性任务。

先说结论：Ansible 是无代理的自动化运维工具，核心优势在于基于 SSH 的批量执行和模块幂等性。

适用场景：需要批量配置、部署或管理上百台主机的场景，尤其是无法在受管节点安装客户端的环境。
核心依赖：控制节点需安装 Ansible，受管节点需具备 Python 环境（2.6+ 或 3.5+）及 SSH 服务。
操作建议：先配置主机清单和 SSH 免密，使用 ping 模块测试连通性，生产环境避免直接使用 root 免密登录。

环境准备与安装

在一台 Linux 机器上作为控制节点安装 Ansible。根据不同发行版，安装命令有所差异：

CentOS/RHEL 系统：

yum install epel-release -y
yum install ansible -y

Ubuntu/Debian 系统：

apt-get update
apt-get install ansible -y

通用 Pip 安装（推荐获取最新版本）：

pip install ansible

安装完成后，使用 ansible `--version` 确认版本信息。注意，受管节点不需要安装 Ansible，但必须包含 Python 环境。

核心配置文件 ansible.cfg

Ansible 的默认配置通常位于 /etc/ansible/ansible.cfg，但建议在当前项目目录下创建本地 ansible.cfg 优先生效。常用配置示例如下：

[defaults]
# 主机清单文件路径
inventory = ./hosts
# 关闭 SSH 主机密钥检查（开发环境方便，生产环境慎用）
host_key_checking = False
# 默认提权方式
become_method = sudo
# 关闭牛彩输出，便于日志解析
nocows = 1

[privilege_escalation]
become = True
become_user = root

通过配置文件，可以避免每次命令都输入冗长的参数，同时统一运维标准。

命令行模块实操

Ansible 命令行基本格式为 ansible <组名> -m <模块> -a <参数列表>。以下是几个高频使用的速查命令：

# 测试所有主机连通性
ansible all -m ping

# 在远程主机执行普通命令（不支持管道）
ansible webservers -m command -a 'free -m'

# 安装软件包（需配置 yum 源，自动提权）
ansible dbservers -m yum -a 'name=httpd state=present' -b

# 管理服务状态
ansible webservers -m service -a 'name=httpd state=started enabled=true' -b

# 查看主机事实信息（如 IP、系统版本）
ansible dbservers -m setup -a 'filter=*ipv4'

注意：涉及系统配置修改时，建议添加 -b 参数（become）进行提权，而不是直接使用 root 用户连接。

验证与故障排查

1. 结果验证
执行命令后，观察返回结果的状态颜色及文字提示：

OK (green)：表示任务执行成功且系统状态未发生改变（幂等性生效）。
CHANGED (yellow)：表示任务执行成功且系统状态发生了改变（如新安装了软件）。
FAILED (red)：表示任务执行失败，需检查错误信息。

此外，可以登录到受管节点，手动检查服务状态或文件是否存在，例如使用 systemctl status httpd 确认服务是否启动。

2. 连接失败排查
如果遇到连接错误，使用 -vvv 参数开启详细调试模式，查看具体卡在哪个步骤：

ansible all -m ping -vvv

3. Python 环境检查
Ansible 依赖受管节点的 Python 环境。如果报错 "Failed to connect to the host via ssh" 或模块执行失败，请登录受管节点检查 Python 版本：

python `--version`
# 或
python3 `--version`

确保版本在 Ansible 支持范围内（通常 Python 2.6+ 或 3.5+），并检查 /usr/bin/python 是否存在或配置了正确的解释器路径。

生产环境安全最佳实践

SSH 免密风险：生产环境不建议直接使用 root 账号配置 SSH 免密。建议创建专用运维账号，配置 sudo 免密权限，并通过 Ansible 的 become 机制提权。
shell 模块风险：command 模块不支持管道、重定向等 Shell 特性，如需使用请改用 shell 模块。但 shell 模块存在命令注入风险，务必确保参数变量经过严格过滤，避免拼接不可信的用户输入。
script 模块幂等性：script 模块用于远程运行本地脚本，它不具备幂等性，每次执行都会返回 CHANGED 状态，建议复杂逻辑使用 Playbook 编写并通过条件判断控制执行。
权限最小化：涉及系统配置修改时，确保仅授予必要的 sudo 权限，避免全权限开放。

参考来源

Ansible 官方文档：https://docs.ansible.com/
Ansible 用户指南 - 命令行工具：https://docs.ansible.com/ansible/latest/user_guide/intro_adhoc.html
Ansible 模块索引：https://docs.ansible.com/ansible/latest/collections/index_module.html