7 Konfiguration

Offizielle Dokumentation

Die ansible.cfg-Datei ist die zentrale Konfigurationsdatei von Ansible, die wichtige Einstellungen für die Ausführung von Playbooks und Tasks definiert. Diese Konfigurationsdatei kann auf verschiedenen Ebenen existieren und beeinflusst das Verhalten von Ansible in vielerlei Hinsicht.

7.1 Konfigurationshierarchie

Ansible verwendet folgende Prioritätsreihenfolge für Konfigurationsquellen (von niedrig nach hoch):

Systemweite Konfiguration: /etc/ansible/ansible.cfg
Benutzerspezifisch: ~/.ansible.cfg
Projektbezogen: ./ansible.cfg (im Projektverzeichnis)
Umgebungsvariablen: z.B. ANSIBLE_INVENTORY, ANSIBLE_REMOTE_USER
CLI-Parameter: z.B. -i hosts, -u user, -e var=value

Höhere Prioritäten überschreiben niedrigere Einstellungen.

7.2 Wichtigste Konfigurationsabschnitte

7.2.1 defaults

Dieser Abschnitt enthält allgemeine Standardwerte für die Ausführung von Playbooks und Tasks.

inventory: Pfad zur Inventardatei, die die Ziel-Hosts definiert. Beispiel:
```
inventory = ./inventory.ini
```
remote_user: Standardbenutzer für die Verbindung zu den Hosts. Beispiel:
```
remote_user = ansible
```
host_key_checking: Ob Ansible den Host-Schlüssel überprüft. In Entwicklungsumgebungen oft deaktiviert:
```
host_key_checking = False
```
timeout: Zeit in Sekunden für Verbindungsaufbau, bevor Ansible aufgibt. Beispiel:
```
timeout = 30
```
forks: Anzahl paralleler Verbindungen. Standard ist 5, oft auf 10-20 erhöht:
```
forks = 10
```
log_path: Pfad zur Logdatei. Achtung: Muss beschreibbar sein:
```
log_path = ./ansible.log
```
deprecation_warnings: Steuert Warnungen bei veralteten Features. Für saubere Ausgaben:
```
deprecation_warnings = False
```
force_color: Erzwingt Farbausgabe auch in CI/CD-Pipelines:
```
force_color = True
```

collections_paths: Pfade für Ansible Collections:

collections_paths = ./collections:/usr/share/ansible/collections

roles_path: Pfade für Ansible Roles:

roles_path = ./roles:/usr/share/ansible/roles

vault_password_file: Datei mit Vault-Passwort für automatisierte Nutzung:
```
vault_password_file = .vault_pass.txt
```

7.2.2 privilege_escalation

Steuert Einstellungen für Privilegieneskalation (z.B. sudo, become).

become: Aktiviert die Privilegieneskalation. Beispiel:
```
become = True
```
become_method: Methode der Privilegieneskalation. Beispiel:
```
become_method = sudo
```
become_user: Zielbenutzer für Privilegieneskalation. Beispiel:
```
become_user = root
```
become_ask_pass: Fragt nach Passwort. Hinweis: Funktioniert nur mit --ask-become-pass:
```
become_ask_pass = False
```

7.2.3 ssh_connection

Steuert SSH-bezogene Einstellungen.

pipelining: Reduziert SSH-Verbindungen und verkürzt Ausführungszeit:
```
pipelining = True
```
control_path: Pfad für SSH-Control-Socket-Dateien:
```
control_path = %(directory)s/%%h-%%r
```

7.2.4 inventory

Verwaltet Inventar-Verhalten und Plugin-Mechanismen.

enable_plugins: Aktiviert Inventar-Plugins:

enable_plugins = host_list, script, yaml, ini, auto

inventory_ignore_extensions: Ignoriert bestimmte Dateierweiterungen:
```
inventory_ignore_extensions = .bak,.tmp,.swp
```

7.2.5 callbacks_enabled

Ersetzt das veraltete callback_whitelist (seit Ansible 2.13). Definiert aktivierte Callback-Plugins:

callbacks_enabled = timer, profile_tasks

7.3 Beispiel einer `ansible.cfg`

[defaults]
inventory = ./inventory.ini
remote_user = ansible
host_key_checking = False
forks = 10
log_path = ./ansible.log
deprecation_warnings = False
force_color = True
collections_paths = ./collections:/usr/share/ansible/collections
roles_path = ./roles:/usr/share/ansible/roles

[privilege_escalation]
become = True
become_method = sudo
become_user = root

[ssh_connection]
pipelining = True

[inventory]
enable_plugins = host_list, script, yaml, ini, auto
inventory_ignore_extensions = .bak,.tmp

[defaults]
callbacks_enabled = timer, profile_tasks

7.4 Weitere nützliche Parameter

7.4.1 Für Produktionsumgebungen

retry_files_enabled: Deaktiviert .retry-Dateien bei Fehlschlägen:
```
retry_files_enabled = False
```

7.4.2 Für Entwicklungsumgebungen

display_skipped_hosts: Zeigt übersprungene Hosts an:
```
display_skipped_hosts = False
```
display_ok_hosts: Reduziert Ausgabe bei erfolgreichen Tasks:
```
display_ok_hosts = False
```

7.5 Umgebungsvariablen als Alternative

Alle ansible.cfg-Parameter können auch als Umgebungsvariablen gesetzt werden:

export ANSIBLE_INVENTORY=./inventory.ini
export ANSIBLE_REMOTE_USER=ansible
export ANSIBLE_HOST_KEY_CHECKING=False
export ANSIBLE_FORKS=10

7.6 Sicherheitshinweise

Vermeiden Sie folgende Parameter in Produktionsumgebungen:

ssh_args = -o ForwardAgent=yes (Sicherheitsrisiko durch Agent-Forwarding)
Paramiko-Verbindungen (deprecated, verwenden Sie OpenSSH)
Offene Vault-Passwort-Dateien ohne entsprechende Dateiberechtigungen

Empfohlene Sicherheitsmaßnahmen:

Verwenden Sie SSH-Schlüssel statt Passwörter
Setzen Sie host_key_checking = True in Produktionsumgebungen
Beschränken Sie Dateiberechtigungen für .vault_pass.txt (600)