保障生产环境稳定需分组隔离、幂等声明、加密敏感配置、执行前后双重校验。具体包括：按角色/地域/生命周期严格分组并禁用all目标；用copy/service/lineinfile等模块声明终态；ansible-vault加密变量；最小化sudo权限；--check--diff预演与assert校验端口监听；启用log_path审计。
保障生产环境稳定不是靠“多执行几遍”，而是靠“每次执行都精准、可控、可回溯”。Ansible 本身不保证稳定，但用对方法就能让配置同步成为生产环境的定海神针。
分组与环境隔离是稳定的第一道防线
把所有服务器塞进一个主机组里批量操作，等于把所有鸡蛋放进一个篮子。生产环境必须按角色、地域、生命周期严格分组。
- 在 /etc/ansible/inventory.ini 中明确区分：[prod-web]、[prod-db]、[staging-api]，避免误操作波及核心服务
- 用 inventory 变量绑定环境专属参数，比如
env_type: production或max_connections: 200，让同一份 Playbook 在不同组自动适配 - 禁止使用
all作为 hosts 目标，强制要求每次执行都指定具体组名或主机模式（如prod-web[0]）
幂等性不是可选项，是执行前提
Ansible 的模块天然支持幂等，但写法不对就会失效。关键在于：不依赖“执行动作”，而声明“最终状态”。
- 用 copy 模块替代 shell 执行 cp 命令——前者检查文件内容哈希，后者每次都覆盖
- 用 service 模块设
state: started，而不是用 command 跑systemctl start——前者只在服务未运行时启动 - 修改配置文件优先用 lineinfile 或 template，避免 replace 无差别替换导致格式错乱
敏感配置必须加密，且权限最小化
数据库密码、API密钥、证书私钥一旦明文暴露，就是生产事故的导火索。
- 用 ansible-vault 加密变量文件：
ansible-vault encrypt group_vars/prod/secrets.yml - 被控节点上，Ansible 执行用户仅赋予必要 sudo 权限，例如：
ansible ALL=(root) NOPASSWD: /bin/systemctl restart nginx, /usr/bin/journalctl - Playbook 中调用加密变量时，通过
vars_files引入，不硬编码、不拼接、不 log 输出
执行前验证 + 执行后校验，双保险机制
上线不是“跑完就完事”，而是“确认生效才算完成”。跳过验证环节，等于默认接受风险。
- 执行前加 --check --diff 参数预演变更，查看哪些文件将被修改、服务是否重启
- Playbook 结尾加入 assert 模块校验关键状态，例如检查端口监听：
assert: that: ansible_facts['netstat'] | selectattr('local_address', 'match', '127.0.0.1:8080') | list | length > 0 - 配合日志审计，开启 ansible.cfg 中的
log_path = /var/log/ansible/execution.log，记录谁、何时、对哪台机器执行了什么
