ansible 自动化分发加固 nginx 配置需基于合规模板，模块化拆分、变量化敏感项、多系统适配；用 template 模块渲染并校验语法，严格设权限与备份；执行前后闭环验证响应头、进程参数及配置加载；集成 vault 加密、ansible-pull 巡检与结构化报告。
用 Ansible 自动化分发加固后的 Nginx 配置，核心是把人工审核过的安全配置变成可验证、可回滚、带环境适配的部署流程，而不是简单地覆盖文件。
准备经安全加固的 Nginx 配置模板
先确保你手头有一份真正合规的配置，不是通用模板。它应满足：禁用不安全协议（如 TLSv1.0/1.1）、强制 HSTS、限制请求体大小、关闭 server_tokens、启用 secure_headers（如 X-Content-Type-Options、X-Frame-Options），并按业务区分场景（如 API 服务 vs 静态资源服务）。建议将主配置拆为 nginx.conf（全局）+ conf.d/ 下的模块化子配置（如 ssl.conf、security-headers.conf），便于复用和灰度上线。
- 模板中所有敏感值（如证书路径、密钥密码）用变量占位，例如 {{ nginx_ssl_cert_path }}
- 每段配置加注释说明对应的安全依据，比如 # OWASP ASVS 8.2.1: Disable TLS compression
- 为不同系统（CentOS 7 / Rocky 8 / Ubuntu 22.04）准备差异化变量文件，因为 OpenSSL 版本、systemd 路径、默认日志位置可能不同
用 template 模块安全分发，而非 copy 或 lineinfile
template 模块支持 Jinja2 渲染、自动备份（backup: true）、权限控制（mode: '0644'）和幂等校验，比直接覆盖更可控。关键点：
- 在 task 中指定 validate: '/usr/sbin/nginx -t -c %s'，确保模板渲染后语法合法，失败则中断整个 play
- 设置 owner: root 和 group: root，防止配置被非特权用户篡改
- 对证书私钥文件单独用 copy 模块分发，并设 mode: '0600'；不要放进 template，避免 Jinja2 渲染泄露
执行前校验 + 执行后验证，形成闭环
只“发”不“查”，等于没加固。每个分发任务后紧跟验证逻辑：
- 用 uri 模块检查 HTTP 响应头是否含 Strict-Transport-Security 和 X-Frame-Options
- 用 shell + grep 校验 Nginx 进程是否加载了预期配置：ps aux | grep nginx | grep -q 'conf-path=/etc/nginx/nginx.conf'
- 用 assert 模块断言关键参数值，例如 nginx_worker_processes == ansible_processor_vcpus，避免因变量误传导致性能退化
集成到持续运维流程中
安全配置不是部署一次就结束。建议：
- 将 playbook 封装成 ansible-pull 任务，通过 cron 每日凌晨拉取最新配置并执行 --check 模式巡检，发现偏差自动告警
- 配合 community.general.yaml callback 插件，生成每次分发的结构化报告，记录变更项、目标主机、执行耗时和验证结果
- 敏感变量（如 TLS 密钥密码、WAF 签名密钥）统一存入 vault.yml，运行时用 --ask-vault-pass 解密，禁止明文提交到 Git
