📚 课程目录第4章 Ansible配置管理

第4章 Ansible配置管理：Playbook设计、模块使用、最佳实践、面试陷阱

本章聚焦Ansible自动化配置管理的三大核心考察维度：Playbook结构化设计、模块选型与参数约束、生产环境最佳实践。面试官通常通过一个实际场景问题考察候选人能否将业务需求转化为可复用的自愈式编排。下面首先用一张回答框架图梳理“设计一个Playbook”的思考路径。

面试官考察点	是否理解幂等性设计、模板渲染与notify机制、站点配置的原子性操作。
回答框架	① 定义目标状态（vhost文件内容/符号链接）；② 使用template模块渲染站点配置，变量从host_vars/group_vars获取；③ 利用handlers实现配置变更后reload nginx；④ 通过state=present/absent控制站点启用/禁用。
示例回答	我会将每个站点模板放到templates/下，Playbook中循环site列表，逐个调用template模块输出到sites-available，再用file模块创建符号链接到sites-enabled。配置变更通过notify触发handlers执行nginx -t检查后再reload。全部操作幂等，重复执行无副作用。
可能追问	如果多个站点共享同一个upstream池，如何保证只更新一次？如果nginx -t校验失败，如何阻止reload？
避坑提醒	一定不要直接操作sites-enabled下文件，应该用符号链接方式避免文件残留。

面试官考察点	模块特性理解、配置文件动态化需求、环境差异化能力。
回答框架	① 纯静态配置文件用copy（如license文件）；② 需要根据主机变量动态渲染时用template（Jinja2模板）；③ 注意copy支持校验和diff，template支持模板继承和过滤器；④ 性能上copy略快，但优先可维护性。
示例回答	我会优先选择template模块，因为它能通过Jinja2嵌入变量、条件判断和循环，适应多环境。只有文件内容完全固定不变时使用copy，例如上传CA证书或软件包。
可能追问	如果模板文件很大且只有少量差异，如何优化？ copy模块的content参数与src参数的区别？
避坑提醒	模板中不要硬编码密码或敏感信息，应使用ansible-vault加密变量。

面试官考察点	错误容错机制、rescue/always使用、事务性思维。
回答框架	① 使用block-rescue-always结构：任务包裹在block内，rescue内执行回滚任务（如恢复旧配置），always内执行清理；② 标记变更，通过check_mode预演；③ 使用when条件结合result变量判断是否回滚。
示例回答	我通常在关键变更前先备份原文件（copy模块备份），任务失败时rescue块执行还原操作并触发告警。同时开启check_mode让变更前进行预检查。最后always块确保日志记录。
可能追问	如何实现部分成功部分失败的原子性？ ansible-playbook --force-handlers的作用？
避坑提醒	不要遗漏always块中临时文件的清理，否则可能导致资源泄漏。

项目名称	基于Ansible的跨机房应用配置统一管理平台
业务背景	公司拥有三个IDC（北京、上海、深圳）共2000+台服务器，应用配置散落，需实现变更可追溯、快速回滚。
规模指标	三个Site，每个Site 600+节点；配置项200+，变更频率每周2~3次。
技术栈	Ansible 2.9 + GitLab CI/CD + AWX + Consul（配置验证）
核心难点	① 跨机房网络延迟导致任务超时；② 配置版本与节点实际状态不同步（drift）；③ 部分应用重启要求窗口期。
面试高频追问	如何保证机房粒度并行执行？使用了哪些Ansible连接参数？配置漂移如何检测？（使用ansible-playbook --diff + 定时巡检Playbook）
可迁移回答话术	“我们通过group_vars区分机房变量，使用serial控制滚动更新，结合git tag做版本管理。每次变更前先check_mode预演，正式执行时在block中备份旧配置，rescue块内自动回滚，并记录到ELK。”

面试加分点： 提及ansible-lint代码检查、molecule单元测试、--syntax-check语法验证，体现工程化思维。

常见陷阱： 忽略Ansible的gather_facts性能影响；在Playbook中写死密码；不理解when条件在失败任务后的行为（需reset_failed）。