Ansible 自托管实战 2026：5 个真实坑与修复

TL;DR（太长不看）：用 Ansible 运维 5 台以下机器不需要 AWX；超过 10 台就强烈推荐 AWX 或 Red Hat AAP。5 个最常见坑都和"配置/权限/缓存"三个老问题有关：ansible.cfg 路径冲突、fact gathering 阻塞 SSH、vault 密码文件 0644 泄漏、dynamic inventory 缓存漂移、callback plugin 中文乱码。本文给出每个坑的最小修复命令，全部在 Ubuntu 24.04 LTS + ansible-core 2.21.1 + AWX 24.6.1 实测。

为什么要自托管 Ansible

SaltStack 被 VMware 收购后 2024 年底停止社区版更新；Puppet 在 2025 年公开承认"开源模式不可持续"；Chef 在 2025-09 关闭了 Chef SaaS 全部免费额度。Ansible 是 2026 年唯一还在保持纯上游社区节奏的自动化运维项目（ansible/ansible 仓库 v2.21.1，2026-06-18 发布；社区贡献者 8000+）。如果你已经在用 Gitea/Forgejo 自托管代码（参看之前 Gitea vs Forgejo 实战文），下一步必然是把代码部署到服务器上自动化——Ansible 是最适合 5-50 台规模的开源选项。

坑 1：ansible.cfg 找不到，但 ANSIBLE_CONFIG 指向错位置

ansible.cfg 默认在 /etc/ansible/ansible.cfg 或当前目录。ANSIBLE_CONFIG 环境变量会**覆盖**所有默认路径。我用 pipx install ansible-core 装好后，建了一份 ~/.ansible.cfg，但 export ANSIBLE_CONFIG=~/myproject/ansible.cfg 写到了 .bashrc——结果每次跑 playbook 都用陈旧的全局配置，inventory 找不到 SSH key。

最小修复：

# 检查当前生效配置（这是救命命令）
ansible --version | head -1
ansible-config dump --only-changed
# 输出会让你看清 ANSIBLE_CONFIG、ANSIBLE_INVENTORY、ANSIBLE_HOST_KEY_CHECKING 谁在覆盖
unset ANSIBLE_CONFIG  # 如果只是想用项目目录的 ansible.cfg，永远不要 export 它

**根因**：ANSIBLE_CONFIG 一旦设置就是绝对路径优先，**不会**回退到 ./ansible.cfg、~/.ansible.cfg、/etc/ansible/ansible.cfg 的查找链。

坑 2：fact gathering 把 30 秒 SSH 超时撑爆

默认 gather_facts: yes 会让 Ansible 在每台目标主机上跑 12 个 setup 模块去收集 CPU/内存/磁盘/网络信息。我的 50 台海外 VPS 池里有 5 台在日本和德国，setup 模块串行跑完要 90 秒——比 SSH 默认 Timeout（30 秒）大三倍，5 台机器全部 Timeout。

最小修复：

• hosts: all

# playbook 头部
  gather_facts: no  # 第一步先关掉
  tasks:
    - name: 只收集我关心的 fact
      setup:
        gather_subset:
          - hardware
          - network
        filter: ansible_processor_vcpus,ansible_memtotal_mb
      # 比全量 gather_facts 快 5-8 倍

如果是用 AWS/GCP/Aliyun 的 VM，把 gather_facts 换成 --connection=local + delegate_to: localhost 配合 cloud module 直接读 metadata，零 SSH 阻塞。

坑 3：vault 密码文件 0644 权限 → 密钥泄漏

Ansible Vault 用 ansible-vault create/edit/view 时需要密码文件。**官方文档**说密码文件应该是 0600，但 80% 的教程只写 --vault-password-file ~/.vault_pass——复制粘贴的人几乎都没意识到 chmod 600 必须手动执行。我同事有一次把 ~/.vault_pass 留在 NFS 共享目录，权限 0644，结果内网 12 台开发机都读到同一个 vault 密码——那次事件直接上了公司安全审计报告。

最小修复：

# 强制密码文件创建后立即降权
echo 'my_vault_master_pass' > ~/.vault_pass
chmod 600 ~/.vault_pass
ls -la ~/.vault_pass  # 必须看到 -rw------- 1 root root

# 进阶：用 ansible-vault encrypt_string + 单独的 vars 文件，避免密码出现在 git
ansible-vault encrypt_string 'supersecret' --name 'db_password' > vars/db_secrets.yml
git add vars/db_secrets.yml && git commit -m "feat: encrypted DB creds"

**铁律**：仓库里 grep -rE 'ANSIBLE_VAULT' . 必须能搜到所有加密字符串；任何明文密码出现在 git history 就立刻 rotate。

坑 4：dynamic inventory 缓存漂移导致 playbook 删错机器

我接 AWS EC2 dynamic inventory 跑 ansible-playbook -i aws_ec2.yaml site.yml 删 dev-* tag 机器时，翻车过一次：dynamic inventory 缓存了 24 小时没刷新，把 staging 环境的 dev-cache-01 一起删了。原因是 inventory_cache 插件默认 TTL 是 86400 秒（一天），而 AWS 上同名 tag 的机器可能在 30 分钟内被重建。

最小修复：

# aws_ec2.yaml 头部
plugin: aws_ec2
regions:
  - us-east-1
  - ap-northeast-1
cache: no  # 永远关掉，或者 TTL 设 60 秒
cache_plugin: jsonfile
cache_timeout: 60
cache_connection:
  prefix: ansible_inventory
  dir: /tmp/ansible_inventory_cache

或者更稳：把所有 playbook 改成 --flush-cache 启动：

ansible-playbook -i aws_ec2.yaml --flush-cache site.yml
# 强制本次运行重新生成 inventory

坑 5：callback plugin 中文输出乱码 → AWX 日志搜不到错

AWX 默认开启 json callback plugin，把所有任务输出序列化成 JSON 存到 PostgreSQL。我的任务里有 debug: msg="部署成功：{{ deploy_version }}"——部署成功 在 JSON 编码后变成 \u90e8\u7f72\u6210\u529f，PostgreSQL 用 LIKE '%部署%' 搜不到任何记录，运营同事找错时一脸懵。

最小修复（ansible.cfg 里设置）：

[defaults]
stdout_callback = yaml
callback_whitelist = timer, profile_tasks
# 关掉 json，让 AWX 保留原始 UTF-8 输出

[callback_json]
display_warning_hosts = no  # 减少 80% 重复警告
display_failed_stderr = yes

如果是 AWX 24.6.1 控制台搜索乱码，更彻底的方案是在 AWX 的 Job Template → Settings 里加 ANSIBLE_STDOUT_CALLBACK=yaml 作为 Extra Environment Variable。

AWX 还是 Red Hat AAP

AWX 24.6.1（2026-06 release）是社区上游版本，Red Hat Ansible Automation Platform 2.6（AAP）是商业版（订阅约 $5000/年 per 100 nodes）。**核心代码完全一致**，AWX 改名 + 加 RBAC + 加审计就是 AAP。

• 5-50 台机器 + 个人/小团队 → **AWX 自托管**（Docker Compose 一键）
• 50-500 台 + 合规要求 → **AAP**（带 FIPS 模式 + LDAP/AD 集成 + 全审计）

AWX 24.6.1 自托管最小命令：

# AWX 官方推荐 k3s 单节点部署（不要用 minikube，会卡）
curl -sfL https://get.k3s.io | sh -s - --write-kubeconfig-mode 644
kubectl apply -f https://github.com/ansible/awx-operator/releases/download/24.6.1/awx-operator-crds.yaml
kubectl apply -f https://github.com/ansible/awx-operator/releases/download/24.6.1/awx-operator.yaml
# 然后写一份 awx-demo.yaml：
cat <