Ansible 自动化运维入门：Inventory、Playbook 与常用模块

新加一台服务器，手动执行那套「建用户、装软件、改配置」的流程要半小时，还总会漏一步；第五台服务器到来时，这套流程就是不可承受之重。Ansible 解决的问题是：把运维操作写成可重复执行的代码，一台和一百台用同一份剧本。

为什么选 Ansible：无代理架构#

Ansible 与被管机器之间只走 SSH——不需要在目标机器预装任何 agent 或服务。控制节点装好 Ansible，目标机有 Python 和 SSH 就行。对比 Puppet/SaltStack 需要先给全网装客户端，Ansible 的接入成本几乎为零，这也是它成为中小团队首选的原因。

Inventory：把机器编成名册#

Inventory 是被管机器的清单，INI 格式（也支持 YAML）：

1
[web]
2
web1 ansible_host=10.0.1.11
3
web2 ansible_host=10.0.1.12
4

5
[db]
6
db1 ansible_host=10.0.2.11
7

8
[all:vars]
9
ansible_user=deploy
10
ansible_ssh_private_key_file=~/.ssh/id_ed25519

要点：

方括号定义分组，一台机器可以属于多个组； playbook 按组指定操作对象。
ansible_host、ansible_user 这类连接变量可以按主机、按组、按 all 全局三个层级设置，就近覆盖。

验证连通性（Ansible 的「hello world」）：

1
ansible all -i inventory.ini -m ping

-m ping 不是 ICMP，而是实际 SSH 上去执行一个 Python 模块，返回 pong 说明连接、认证、Python 环境全部就绪。

Ad-hoc：单行命令批量执行#

不写剧本也能直接批量操作，适合一次性任务：

1
# 查看所有 web 机器的负载
2
ansible web -i inventory.ini -m shell -a "uptime"
3

4
# 给所有机器安装 htop
5
ansible all -i inventory.ini -m apt -a "name=htop state=present" --become

--become 表示在目标机提权（默认 sudo）。

Playbook：把流程写成 YAML#

重复性任务要写成 playbook。例如「部署 Nginx 并启动」：

1
- name: 配置 web 服务器
2
  hosts: web
3
  become: true
4
  tasks:
5
    - name: 安装 nginx
6
      apt:
7
        name: nginx
8
        state: present
9
        update_cache: true
10

11
    - name: 下发站点配置
12
      template:
13
        src: nginx.conf.j2
14
        dest: /etc/nginx/sites-available/default
15
      notify: 重载 nginx
16

17
    - name: 确保服务运行
18
      service:
19
        name: nginx
20
        state: started
21
        enabled: true
22

23
  handlers:
24
    - name: 重载 nginx
25
      service:
26
        name: nginx
27
        state: reloaded

执行：

1
ansible-playbook -i inventory.ini site.yml

幂等性：Ansible 最重要的设计#

同一个 playbook 执行一次和执行一百次，结果应该相同。 Ansible 的模块大多遵循这个原则：apt: name=nginx state=present 表示「确保 nginx 处于已安装状态」——已安装就跳过，没装才装。这与 shell 脚本里裸写 apt install nginx 有本质区别：脚本每次执行都产生副作用，playbook 描述的是目标状态。

写 playbook 时警惕破坏幂等的写法：shell/command 模块没有状态概念，默认每次都执行。能用专用模块（apt、copy、template、file、user……）就不用 shell；必须用 shell 时，加 creates/removes 参数告诉 Ansible 如何判断「已经做过了」。

template 与 handler#

template 模块用 Jinja2 渲染配置文件，变量在运行时注入，同一份模板可以给测试、生产环境生成不同配置。
handler 是「变更后动作」：上面的例子里，只有配置文件真的发生变化时才会触发 nginx reload，配置没动就不打扰服务。这也是幂等思想的一部分。

高频模块速查#

模块	用途	例子
`apt` / `dnf`	包管理	`name=vim state=latest`
`copy`	直接下发文件内容	`content="..." dest=/etc/motd`
`template`	Jinja2 模板下发	`src=app.conf.j2 dest=...`
`file`	建目录、改权限	`path=/data state=directory mode=0755`
`user`	用户管理	`name=deploy shell=/bin/bash groups=sudo`
`service` / `systemd`	服务管理	`name=nginx state=restarted enabled=true`
`cron`	定时任务	`name=backup job="/opt/backup.sh" hour=3`
`lineinfile`	确保某行存在/不存在	改 sshd 配置单条参数

让 playbook 可维护的三条经验#

敏感信息入 Vault：密码、私钥用 ansible-vault encrypt_string 加密后再写进变量文件，仓库里只存密文。
--check + --diff 先演习：ansible-playbook site.yml --check --diff 只演算不执行，并展示将发生的变化，上线前必跑。
任务命名要具体：name: 安装 nginx 比 name: apt 好——执行输出和失败定位都靠任务名。

Shirone

为什么选 Ansible：无代理架构#

Inventory：把机器编成名册#

Ad-hoc：单行命令批量执行#

Playbook：把流程写成 YAML#

幂等性：Ansible 最重要的设计#

template 与 handler#

高频模块速查#

让 playbook 可维护的三条经验#

延伸阅读#

继续阅读

换条路线

Shirone

为什么选 Ansible：无代理架构#

Inventory：把机器编成名册#

Ad-hoc：单行命令批量执行#

Playbook：把流程写成 YAML#

幂等性：Ansible 最重要的设计#

template 与 handler#

高频模块速查#

让 playbook 可维护的三条经验#

延伸阅读#

分享文章

沿着主题读

换条路线