安全传输文件：使用 Ansible 的 copy 和 fetch 模块
Ansible 以其配置管理能力而闻名，但要在控制机器和受管节点之间有效地移动文件是任何部署策略的基础要求。无论您需要部署自定义配置文件、推送部署工件，还是检索系统日志，该过程都必须快速、可靠和安全。
本文重点介绍文件传输的两个主要模块：copy 和 fetch。我们将演示如何利用 Ansible 强大的临时命令 (ad-hoc command) 结构来使用这些模块，从而无需编写完整的剧本即可快速执行一次性文件操作。阅读本指南后，您将熟练掌握如何安全地将本地文件推送到远程系统，并将必要的文件拉回到您的 Ansible 控制节点。
先决条件
在执行以下示例之前，请确保您具备以下条件：
- Ansible 控制节点：一台安装了 Ansible 的机器。
- 清单文件 (Inventory File)：一个可用的清单文件（例如
/etc/ansible/hosts），用于定义您的受管节点。 - 连接性：已配置到远程主机的 SSH 密钥访问权限。
所有示例都将假定清单中目标组的名称为 webservers。
理解用于文件传输的临时命令
临时命令是直接从终端执行的单行命令，非常适合不需要永久剧本的快速任务。基本结构如下：
ansible <主机组> -m <模块名称> -a "key=value key2=value2 ..."
对于文件传输，我们使用 -m copy 或 -m fetch 模块名称，并通过 -a 标志传递所需的参数。
copy 模块：将文件推送到远程节点
The copy 模块用于将位于Ansible 控制机器上的文件传输到一个或多个受管节点。这是部署配置文件、脚本或小型资产的标准方法。
copy 的关键参数
The copy 模块需要两个基本参数，并接受多个用于配置管理的可选参数：
| 参数 | 描述 | 是否必需? | 示例值 |
|---|---|---|---|
src |
Ansible 控制机器上文件的绝对路径。 | 是 | /tmp/config.conf |
dest |
文件将在远程受管节点上放置的绝对路径。 | 是 | /etc/app/config.conf |
owner |
远程节点上文件应归属的用户名。 | 否 | nginx |
group |
远程节点上文件应归属的组名。 | 否 | www-data |
mode |
要设置在目标文件上的权限（八进制）。 | 否 | 0644 |
backup |
如果为 yes，在覆盖原始文件之前创建备份文件。 |
否 | yes |
示例 1：简单文件部署
假设您本地有一个自定义的“今日警示” (motd) 文件，并希望将其推送到所有 Web 服务器。
# 本地文件路径: /home/user/ansible/motd_banner
# 远程目标路径: /etc/motd
ansible webservers -m copy -a "src=/home/user/ansible/motd_banner dest=/etc/motd"
示例 2：设置权限和所有权
如果您正在部署一个安全配置文件，则必须指定所有者、组和受限的权限（例如，只有所有者可以读/写）。
# 部署应用程序配置文件，归属于 'app_user'，组为 'devops'，
# 且只有所有者具有读/写权限 (0600)。
ansible webservers -m copy -b -a "src=/tmp/app_settings.yaml dest=/etc/app/settings.yaml owner=app_user group=devops mode=0600"
关于
-b的注意事项： 当远程目标需要提升的权限（例如写入/etc）时，需要使用-b（或--become）标志。
fetch 模块：从远程节点检索文件
The fetch 模块执行与 copy 相反的操作：它将文件从受管节点检索回Ansible 控制机器。这对于备份配置文件、检索日志或收集诊断信息非常有用。
fetch 的关键参数
The fetch 模块需要远程节点上的源文件以及控制机器上的目标目录。
| 参数 | 描述 | 是否必需? | 示例值 |
|---|---|---|---|
src |
远程受管节点上文件的绝对路径。 | 是 | /var/log/nginx/error.log |
dest |
文件将被保存到控制机器上的目录的绝对路径。 | 是 | /tmp/backups/logs |
flat |
如果为 yes，则生成的文件名将不包含主机名结构（从多台主机检索文件时不推荐使用）。 |
否 | no (默认值) |
关键区别：目标结构
与 copy 模块不同，fetch 模块会自动基于远程主机名创建一个结构化的子目录路径，以防止从多台服务器检索文件时发生文件名冲突。
控制机器上的最终路径将如下所示：
<dest>/<hostname>/<src>
例如，将 /etc/nginx/nginx.conf 从 host1 获取到 /tmp/backups 会导致：
/tmp/backups/host1/etc/nginx/nginx.conf
示例 3：检索远程配置备份
将所有 Web 服务器上的正在运行的配置文件检索到本地备份目录：
# 将所有 webservers 上的 nginx.conf 检索到本地目录 /tmp/config_backups
ansible webservers -m fetch -a "src=/etc/nginx/nginx.conf dest=/tmp/config_backups"
运行此命令后，如果您针对 webserver1 和 webserver2，您的本地目录结构将是：
/tmp/config_backups/
├── webserver1
│ └── etc
│ └── nginx
│ └── nginx.conf
└── webserver2
└── etc
└── nginx
└── nginx.conf
示例 4：检索单个文件而不使用主机结构 (flat=yes)
如果您确信只从单个主机检索文件，或者只需要文件的内容（而不是源结构），您可以使用 flat=yes。这将导致文件直接放置在目标文件夹中，并以原始远程文件的名称命名。
# 从单个主机检索本地运行状况状态报告，并直接保存。
ansible webserver1 -m fetch -a "src=/tmp/health_status.txt dest=/tmp/reports flat=yes"
# 结果路径: /tmp/reports/health_status.txt
警告： 仅在目标是单台主机或您打算在后续运行中覆盖文件时才使用
flat=yes，因为 Ansible 不会阻止冲突。
最佳实践和安全注意事项
使用 Ansible 管理文件时，安全性和幂等性至关重要：
1. 始终使用 copy 设置权限
切勿在未明确定义 mode 和 owner 的情况下推送配置文件。如果您依赖远程系统的默认 umask，敏感文件（如 SSH 密钥或数据库凭据）可能会获得过于宽松的访问权限。
# 错误的做法 (模式源自 umask)
- name: 部署不安全密钥
ansible.builtin.copy:
src: private.key
dest: /etc/app/private.key
# 良好的做法 (明确限制访问)
- name: 部署安全密钥
ansible.builtin.copy:
src: private.key
dest: /etc/app/private.key
mode: '0600'
owner: root
2. 关键更改时使用 backup=yes
当使用 copy 覆盖现有关键文件（例如 /etc/sudoers）时，请包含 backup=yes。Ansible 将在覆盖文件之前在远程节点上创建一个带时间戳的备份副本，从而提供了一个简便的回滚选项。
3. 考虑使用 synchronize 模块进行大文件传输
虽然 copy 和 fetch 非常适合快速的临时操作和小配置文件，但如果您需要传输大型目录结构或需要高效的增量传输（仅传输更改），建议使用 synchronize 模块（它利用 rsync）以获得卓越的性能和管理效果。
总结
The copy 和 fetch 模块是 Ansible 管理员工具箱中不可或缺的工具，它们为跨基础设施操作文件提供了强大而安全的方法。通过掌握临时命令语法并理解关键参数，您可以高效地管理部署工件，并执行必要的数据检索操作，而无需为简单任务创建完整剧本的开销。
| 模块 | 方向 | 临时命令示例 |
|---|---|---|
copy |
控制节点 -> 受管节点 | ansible all -m copy -a "src=/local/file dest=/remote/path mode=0644" |
fetch |
受管节点 -> 控制节点 | ansible all -m fetch -a "src=/remote/file dest=/local/dir" |