【Ansible】（三）基础配置与连接设置

[defaults]
inventory = ./inventory        # 指定主机清单路径（当前目录下的inventory文件）
remote_user = someuser         # 连接受管主机的默认普通用户（如centos、ec2-user）
ask_pass = false               # 密钥登录时设为false，不用每次输密码

[privilege_escalation]
become = true                   # 默认开启特权升级（普通用户sudo到root）
become_method = sudo            # 提权方式，默认sudo
become_user = root              # 提权目标用户，一般为root
become_ask_pass = false        # 免密sudo时设为false，不用输sudo密码

2. 关键参数说明（避免踩坑）

inventory：指定主机清单路径，后续执行任务时不用反复指定，简化命令；
remote_user：尽量不用root直接登录，用普通用户+sudo提权，更符合生产安全规范；
become相关：核心是实现"普通用户登录，root权限执行"，生产环境必配，避免直接用root登录风险。

3. 查看当前生效配置（排查配置问题必备）

有时候配置不生效，不知道是哪个配置文件起作用，用这条命令一键查看：

复制代码

ansible-navigator config

退出交互模式按q或Esc即可，能清晰看到每个参数的当前值、默认值和配置来源。

二、ansible-navigator.yml：适配导航工具的配置

如果用ansible-navigator执行任务，建议在项目目录建这个文件，解决密码登录卡住、镜像拉取等常见问题：

复制代码

ansible-navigator:
  execution-environment:
    image: utility.lab.example.com/ee-supported-rhel8:latest
    pull:
      policy: missing  # 本地没有镜像时才拉取，节省时间
  playbook-artifact:
    enable: false     # 禁用playbook工件，避免密码登录时卡住

三、主机连接设置（SSH免密+密码登录）

Ansible通过SSH连接受管主机，日常优先用免密登录，密码登录仅用于临时应急场景。

1. SSH免密登录（运维标配，推荐）

配置一次，后续所有Ansible任务都能免密执行，步骤简单：

复制代码

# 1. 控制节点生成SSH密钥对（一路回车，不用输密码）
ssh-keygen -t rsa

# 2. 将公钥传到受管主机（以someuser用户为例）
ssh-copy-id someuser@web1.example.com

提示"Number of key(s) added: 1"，说明配置成功，后续Ansible连接该主机无需输密码。

2. 密码登录（应急场景）

如果临时无法配置免密，需修改两处配置，避免卡住：

修改ansible.cfg，将ask_pass = false改为ask_pass = true；
确保ansible-navigator.yml中playbook-artifact.enable: false；
执行命令时加--ask-pass参数，示例：

ansible-navigator run playbook.yml --ask-pass -m stdout

3. 非root用户sudo免密（生产环境常用）

很多生产环境禁止root直接登录，需配置普通用户sudo免密，步骤如下：

在受管主机执行（给someuser用户配置免密sudo）：

复制代码

echo "someuser ALL=(ALL) NOPASSWD:ALL" > /etc/sudoers.d/ansible
chmod 0400 /etc/sudoers.d/ansible  # 必须设置400权限，否则sudo会报错

控制节点ansible.cfg配置不变（参考第一部分的基础配置），即可实现普通用户免密sudo提权。

Q&A

Q1：Ansible配置文件的查找顺序是什么？为什么推荐项目级配置？

A：优先级从高到低：项目目录ansible.cfg > 用户目录~/.ansible.cfg > 系统/etc/ansible/ansible.cfg。推荐项目级配置，是因为能隔离不同环境（比如开发和生产用不同的清单、用户），避免全局配置修改影响所有项目。

Q2：become相关参数为什么必须配置？

A：生产环境中，直接用root登录受管主机存在安全风险，大多禁止root远程登录。become参数实现"普通用户登录，root权限执行任务"，既符合安全规范，又能完成安装软件、修改系统配置等需要root权限的操作。

Q3：SSH免密登录失败，常见原因有哪些？

A：最常见3个原因：① 受管主机~/.ssh目录权限为777（需改为700）；② 受管主机~/.ssh/authorized_keys权限为666（需改为600）；③ 密钥对生成时输入了密码，需重新生成无密码密钥对。

Q4：ansible-navigator执行时卡住，怎么解决？

A：大概率是playbook工件导致的，在ansible-navigator.yml中设置playbook-artifact.enable: false，禁用工件生成，再重新执行即可；如果是密码登录，记得加--ask-pass参数。