Ansible中ACL管理核心是acl模块，封装setfacl/getfacl，支持设置（state=present）、删除（state=absent）和查询（state=query）规则，并可通过default=yes配置目录默认ACL以实现继承；需提前确保文件系统挂载时启用acl选项。

在 Ansible 中使用 ACL 管理文件权限，核心是通过 acl 模块实现，它封装了底层 setfacl 和 getfacl 的能力，支持设置、删除和查询 ACL 规则，还能控制默认 ACL（用于目录继承）。

确认目标系统已启用 ACL 支持

Ansible 本身不负责启用文件系统级 ACL，这必须提前完成：

• 检查挂载选项是否含 acl：运行 mount | grep " $(df . | tail -1 | awk '{print $1}') "，确认输出中有 acl
• 若未启用，需修改 /etc/fstab，在对应分区的挂载选项中加入 acl（如 defaults,acl），再执行 mount -o remount /path
• Ansible 任务中无法自动完成此步骤，建议在 play 开头用 command 或 shell 模块校验，失败时中止

基础 ACL 设置：给用户或组授权

使用 state: present 添加规则，关键参数要配齐：

• path：必须指定绝对路径
• entity：具体用户名或组名（如 joe 或 developers）
• etype：设为 user 或 group（不能写错）
• permissions：用小写字母组合，如 rw、rwx、rx

示例任务：

- name: Grant read-write to user alice on config file
acl:
  path: /etc/myapp/config.yaml
  entity: alice
  etype: user
  permissions: rw
  state: present

设置默认 ACL 实现子项自动继承

仅对目录有效，新创建的文件/子目录会自动获得该规则（需文件系统支持且挂载带 acl）：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 添加 default: yes 参数
• 确保 path 指向目录，否则报错
• 常用搭配：对共享目录设置默认组权限，如 g:dev-team:rwx

示例任务：

- name: Set default group write on shared data dir
acl:
  path: /srv/shared
  entity: dev-team
  etype: group
  permissions: rwx
  default: yes
  state: present

查询与清理 ACL

两种典型场景：

• 查询当前 ACL：用 state: query，结果存入变量供后续判断。不修改任何内容，无副作用
• 移除某条规则：用 state: absent，只需指定 path、entity、etype，无需 permissions
• 清空全部 ACL（慎用）：Ansible 无直接等效模块，可调用 command: setfacl -b {{ path }}

查询示例：

- name: Get current ACL for audit
acl:
  path: /var/log/app.log
  state: query
register: acl_info