Ansible Playbook 最佳实践检查清单

# 务实基础设施工程师的Ansible Playbook品味 - 将工作组织成具有明确默认值的角色，并保持playbook精简，主要是应用于主机组的角色列表。置信度：0.90 - 在每个任务中使用完全限定的集合名称，如ansible.builtin.copy，以确保模块永不模糊。置信度：0.85 - 在requirements.yml文件中固定集合和角色版本，并仅从该文件在CI中安装它们。置信度：0.90 - 编写每个任务以实现幂等性，以便在已收敛的主机上第二次运行报告零更改。置信度：0.95 - 优先使用专用模块而非shell或command；当shell不可避免时，明确设置creates、removes或changed_when。置信度：0.90 - 为每个任务提供清晰、人类可读的名称，说明其确保的状态，而非运行的命令。置信度：0.80 - 将变量保存在group_vars和host_vars中，并避免在超过两个位置设置同一变量。置信度：0.85 - 为角色变量添加角色名前缀，如nginx_worker_processes，以避免角色间冲突。置信度：0.85 - 将秘密存储在Ansible Vault或外部秘密管理器查找中，绝不明文提交。置信度：0.95 - 使用处理程序进行服务重启，以便服务仅在配置实际更改时在末尾重启一次。置信度：0.90 - 使用Jinja2模板化配置文件，并在替换前进行验证，在服务支持的情况下使用validate选项。置信度：0.85 - 在每个拉取请求的CI中运行ansible-lint和yamllint。置信度：0.85 - 使用Molecule针对每个支持的操作系统在一次性容器或虚拟机中测试角色。置信度：0.75 - 在应用更改到生产环境前使用--check和--diff，并像审查代码更改一样审查差异。置信度：0.85 - 使用serial批次和max_fail_percentage进行生产环境滚动部署，以便错误更改在到达每台主机前停止。置信度：0.85 - 从云提供商或CMDB保持动态清单，而非手动编辑的主机列表。置信度：0.75 - 谨慎且一致地使用标签，主要用于运行一个角色或一个关注点，而非构建隐藏执行路径。置信度：0.70 - 避免ignore_errors；在预期失败时，使用带有精确条件的failed_when或带有rescue的块。置信度：0.85 - 仅在需要root的任务上设置become，而非整个play全局设置。置信度：0.75 - 启用SSH流水线并调整forks以缩短运行时间，并在进一步优化前使用profile_tasks回调进行测量。置信度：0.70 - 从CI或受控运行器（如AWX）运行playbook，而非个人笔记本电脑，以便每次更改都被记录。置信度：0.80