Ansible架构与无Agent设计原理

Ansible采用无Agent架构，通过SSH协议管理远程主机，不需要在被管理节点上安装任何客户端程序。控制节点通过SSH连接目标主机，将模块代码传输到远程执行，执行完成后自动清理。这种设计降低了部署复杂度，也减少了安全攻击面。

Ansible的核心组件包括Inventory（主机清单）、Modules（模块）、Playbook（剧本）、Roles（角色）。Inventory定义被管理主机的分组和连接信息，Modules封装具体的操作逻辑，Playbook以YAML格式编排任务序列，Roles将Playbook拆分为可复用的目录结构。

安装Ansible只需在控制节点执行：

# Ubuntu/Debian
sudo apt update && sudo apt install -y ansible

# CentOS/RHEL
sudo yum install -y epel-release && sudo yum install -y ansible

# pip安装
pip install ansible

# 验证安装
ansible --version

Inventory主机清单配置

Inventory文件定义被管理主机的分组、连接方式、认证信息。支持INI和YAML两种格式，以下是一个典型的多环境Inventory配置。

# /etc/ansible/hosts
[web_servers]
web1 ansible_host=192.168.1.10 ansible_user=deploy ansible_port=22
web2 ansible_host=192.168.1.11 ansible_user=deploy ansible_port=22

[db_servers]
db1 ansible_host=192.168.1.20 ansible_user=postgres

[cache_servers]
cache1 ansible_host=192.168.1.30 ansible_user=redis

# 组嵌套
[production:children]
web_servers
db_servers
cache_servers

# 组变量
[production:vars]
ansible_python_interpreter=/usr/bin/python3
deploy_dir=/opt/app
nginx_version=1.25.3

对于主机数量较多的场景，可以使用动态Inventory。动态Inventory脚本从CMDB、云平台API或Consul等服务发现工具获取主机列表，实现自动更新。

# 从AWS获取动态Inventory
# ansible.cfg
[defaults]
inventory = ./aws_ec2.yaml

# aws_ec2.yaml
plugin: aws_ec2
regions:
  - us-east-1
  - ap-northeast-1
keyed_groups:
  - key: tags.Environment
    prefix: env_
  - key: tags.Role
    prefix: role_
filters:
  tag:Environment: production

Playbook编写与任务编排

Playbook是Ansible的核心，以YAML格式描述配置管理和部署流程。以下是一个完整的Nginx部署Playbook，包含安装、配置、服务管理和健康检查。

---
- name: 部署Nginx Web服务器
  hosts: web_servers
  become: yes
  vars:
    nginx_workers: auto
    nginx_port: 80
    nginx_root: /var/www/html

  tasks:
    - name: 安装Nginx
      package:
        name: nginx
        state: present
      notify: restart nginx

    - name: 创建网站目录
      file:
        path: "{{ nginx_root }}"
        state: directory
        owner: www-data
        group: www-data
        mode: '0755'

    - name: 配置Nginx
      template:
        src: nginx.conf.j2
        dest: /etc/nginx/nginx.conf
        validate: nginx -t -c %s
      notify: restart nginx

    - name: 部署站点配置
      template:
        src: site.conf.j2
        dest: /etc/nginx/conf.d/default.conf
      notify: restart nginx

    - name: 启动并设置开机自启
      systemd:
        name: nginx
        state: started
        enabled: yes

    - name: 等待Nginx就绪
      wait_for:
        port: "{{ nginx_port }}"
        timeout: 10

    - name: 健康检查
      uri:
        url: "http://{{ ansible_host }}:{{ nginx_port }}/health"
        status_code: 200
      retries: 3
      delay: 2

  handlers:
    - name: restart nginx
      systemd:
        name: nginx
        state: restarted

notify和handlers机制实现了配置变更后的按需重启。只有当template任务检测到文件内容变化时才会触发restart nginx handler，避免不必要的重启操作。

Roles角色化拆分与复用

当Playbook膨胀到数百行时，使用Roles将任务、变量、模板、文件按功能模块拆分。Ansible Galaxy上有大量社区维护的Roles可以直接使用。

# 目录结构
roles/
  nginx/
    tasks/main.yml
    handlers/main.yml
    templates/nginx.conf.j2
    templates/site.conf.j2
    vars/main.yml
    defaults/main.yml
    meta/main.yml

# 使用Role的Playbook
---
- name: 部署Web集群
  hosts: web_servers
  become: yes
  roles:
    - role: nginx
      vars:
        nginx_workers: 4
    - role: geerlingguy.certbot
      vars:
        certbot_certs:
          - domains: ["www.example.com"]

批量部署中的错误处理与回滚

生产环境部署需要考虑失败回滚。Ansible通过block/rescue机制实现try-catch逻辑，配合serial参数控制滚动更新批次。

---
- name: 滚动更新Web服务
  hosts: web_servers
  become: yes
  serial: 2  # 每次更新2台
  max_fail_percentage: 0  # 任何失败都停止

  tasks:
    - block:
        - name: 备份当前版本
          shell: "cp -r /opt/app /opt/app.bak.{{ ansible_date_time.epoch }}"
        
        - name: 拉取新版本代码
          git:
            repo: https://github.com/example/app.git
            dest: /opt/app
            version: "{{ app_version }}"
        
        - name: 安装依赖
          shell: "cd /opt/app && npm install --production"
        
        - name: 重启应用
          systemd:
            name: app
            state: restarted
        
        - name: 验证服务
          uri:
            url: "http://{{ ansible_host }}:3000/health"
            status_code: 200
          retries: 5
          delay: 3
      
      rescue:
        - name: 回滚到备份版本
          shell: "rm -rf /opt/app && mv /opt/app.bak.{{ ansible_date_time.epoch }} /opt/app"
        
        - name: 重启应用（回滚后）
          systemd:
            name: app
            state: restarted
        
        - name: 标记主机失败
          fail:
            msg: "部署失败，已回滚到上一个版本"
      
      always:
        - name: 清理旧备份
          shell: "find /opt -name 'app.bak.*' -mtime +7 -exec rm -rf {} +"
          ignore_errors: yes

serial参数将主机分批处理，每次只更新2台服务器，配合max_fail_percentage: 0确保任何一台失败都停止后续部署。rescue块中执行回滚操作，将应用恢复到部署前的状态。always块清理超过7天的旧备份，保持磁盘整洁。

Ansible Vault加密敏感信息

Playbook中可能包含数据库密码、API密钥等敏感信息，使用Ansible Vault对变量文件加密。

# 创建加密变量文件
ansible-vault create group_vars/production/vault.yml
# 输入vault密码后编辑内容：
# db_password: S3cr3tP@ss
# api_key: ak-xxxxxxxxxxxx

# 编辑已加密文件
ansible-vault edit group_vars/production/vault.yml

# 执行Playbook时指定密码
ansible-playbook deploy.yml --ask-vault-pass

# 或使用密码文件
echo "myvaultpass" > .vault_pass
ansible-playbook deploy.yml --vault-password-file .vault_pass

Ansible自动化运维的实践要点在于逐步推进：先从简单的Ad-hoc命令开始验证连通性，再编写Playbook处理重复性任务，最后通过Roles实现跨项目复用。对于大规模集群，结合AWX或Ansible Semaphore等Web管理平台可以实现审批流程、执行日志和权限管理。

Ansible是基于SSH协议的无Agent自动化运维工具，通过YAML格式的Playbook描述配置任务，实现批量主机管理、应用部署和滚动更新。相比Puppet和Chef，Ansible无需在目标主机安装客户端，部署门槛低，是Linux系统管理和服务器运维场景中广泛使用的配置管理工具。

Ansible架构与Inventory主机清单配置

Ansible的核心组件包括Inventory（主机清单）、Playbook（任务剧本）、Module（功能模块）和Role（角色复用）。控制节点通过SSH连接目标主机，将模块代码推送至远程执行后删除，整个过程无驻留进程。

Inventory文件定义被管理主机的分组和连接参数。以下是一个生产环境的Inventory配置示例：

# /etc/ansible/hosts
[webservers]
web01 ansible_host=192.168.1.10 ansible_user=deploy ansible_port=22
web02 ansible_host=192.168.1.11 ansible_user=deploy ansible_port=22
web03 ansible_host=192.168.1.12 ansible_user=deploy ansible_port=22

[dbservers]
db01 ansible_host=192.168.1.20 ansible_user=postgres ansible_port=2222

[loadbalancers]
lb01 ansible_host=192.168.1.1 ansible_user=admin

[webservers:vars]
ansible_python_interpreter=/usr/bin/python3
nginx_version=1.25.3

[production:children]
webservers
dbservers
loadbalancers

[production:vars]
env=prod
datacenter=dc1

使用SSH密钥认证时，通过ansible_ssh_private_key_file指定密钥路径。如果主机较多，也可以使用动态Inventory脚本从云平台API（如AWS、阿里云）动态获取主机列表。

Playbook编写与核心模块使用

Playbook是Ansible的核心，以YAML描述任务序列。以下是一个完整的Nginx部署Playbook，涵盖软件安装、配置文件分发、服务管理和健康检查：

---
- name: Deploy Nginx web server cluster
  hosts: webservers
  become: yes
  vars:
    nginx_worker_processes: auto
    nginx_worker_connections: 10240
    upstream_servers:
      - { name: "backend1", ip: "192.168.1.20", port: 8080 }
      - { name: "backend2", ip: "192.168.1.21", port: 8080 }

  tasks:
    - name: Install Nginx package
      apt:
        name: "nginx={{ nginx_version }}"
        state: present
        update_cache: yes

    - name: Create nginx config directory
      file:
        path: /etc/nginx/conf.d
        state: directory
        owner: root
        group: root
        mode: '0755'

    - name: Deploy nginx.conf from template
      template:
        src: nginx.conf.j2
        dest: /etc/nginx/nginx.conf
        owner: root
        group: root
        mode: '0644'
        validate: 'nginx -t -c %s'
      notify: reload nginx

    - name: Deploy upstream config
      template:
        src: upstream.conf.j2
        dest: /etc/nginx/conf.d/upstream.conf
      notify: reload nginx

    - name: Ensure Nginx is running and enabled
      systemd:
        name: nginx
        state: started
        enabled: yes
        daemon_reload: yes

    - name: Wait for Nginx to be ready
      wait_for:
        port: 80
        timeout: 10

    - name: Health check
      uri:
        url: "http://{{ inventory_hostname }}/"
        status_code: 200
      retries: 3
      delay: 2

  handlers:
    - name: reload nginx
      systemd:
        name: nginx
        state: reloaded

其中template模块使用Jinja2模板引擎，nginx.conf.j2中的变量引用示例如下：

# nginx.conf.j2
worker_processes {{ nginx_worker_processes }};

events {
    worker_connections {{ nginx_worker_connections }};
}

http {
    upstream backend {
        {% for server in upstream_servers %}
        server {{ server.ip }}:{{ server.port }} weight=3 max_fails=3 fail_timeout=30s;
        {% endfor %}
    }

    server {
        listen 80;
        server_name _;

        location / {
            proxy_pass http://backend;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_connect_timeout 5s;
            proxy_read_timeout 30s;
        }
    }
}

Roles角色复用与目录结构规范

当Playbook规模增长时，使用Role将任务、变量、模板、文件按功能模块化组织。Ansible Galaxy社区提供了大量现成Role。标准的Role目录结构如下：

roles/
└── nginx/
    ├── tasks/
    │   ├── main.yml
    │   ├── install.yml
    │   └── configure.yml
    ├── handlers/
    │   └── main.yml
    ├── templates/
    │   ├── nginx.conf.j2
    │   └── upstream.conf.j2
    ├── vars/
    │   └── main.yml
    ├── defaults/
    │   └── main.yml
    ├── files/
    │   └── index.html
    └── meta/
        └── main.yml

在Playbook中引用Role：

---
- name: Full stack deployment
  hosts: production
  become: yes
  roles:
    - role: nginx
      vars:
        nginx_worker_connections: 20480
    - role: mysql
      when: "'dbservers' in group_names"
    - role: monitoring
      tags: [monitoring, always]

批量滚动更新与错误处理策略

生产环境中滚动更新（Rolling Update）是避免服务中断的关键。通过serial参数控制每次操作的主机比例，结合失败阈值实现灰度发布：

---
- name: Rolling update application
  hosts: webservers
  become: yes
  serial: "30%"
  max_fail_percentage: 20

  tasks:
    - name: Drain node from load balancer
      command: /usr/local/bin/lb_drain.sh {{ inventory_hostname }}

    - name: Pull latest image
      command: docker pull app:{{ version }}

    - name: Restart container
      systemd:
        name: app
        state: restarted

    - name: Wait for app health
      uri:
        url: "http://{{ inventory_hostname }}:8080/health"
        status_code: 200
      retries: 5
      delay: 3

    - name: Add node back to load balancer
      command: /usr/local/bin/lb_add.sh {{ inventory_hostname }}

Ansible的幂等性（Idempotency）设计保证了重复执行Playbook不会产生副作用——每个模块在执行前会检查目标状态是否已达预期，仅在需要变更时才执行操作。这一特性使得Ansible非常适合用于持续配置管理和服务器的安全加固场景。