批量主机初始化

从已批准的资产记录建立 inventory，按环境、发行版和业务角色分组，明确排除正在维护、归属不明和未授权主机。先审阅 inventory 插件及变量文件，避免动态清单意外扩展范围。以下命令只展示所指定清单的分组关系，<INVENTORY_FILE> 为已核对的本地文件路径；输出可能含资产标识，应保存在受控工作记录中，不公开粘贴敏感连接变量。

ansible-inventory -i '<INVENTORY_FILE>' --graph

核对 SSH 主机指纹与资产信息，确认连接用户、提权规则、目标 Python 和所需模块版本；不得关闭主机密钥校验来跳过首次连接问题。对试点主机使用本地只读检查登记系统、时间和磁盘，确认软件源代理、DNS 与当前业务服务。修改账号、SSH 或网络前，先实际验证备用管理入口并保留当前会话，将无法带外恢复的机器移出自动化首批。

将基础包、时间同步、目录权限、账号、日志和监控拆成可独立验证的 roles，通过发行版变量表达差异；模板只管理已确认归属的文件和字段。优先使用声明式模块，必要的命令任务需有明确条件及变更判断。为修改配置启用备份或版本化恢复路径，给重启、SSH 变更和网络任务单独标签，并检查 notify/handler 的触发关系，避免无关服务被统一重启。

先检查 playbook 语法与计划目标，再在单台试点上使用 check mode，必要时启用 diff；包含密钥的任务应禁用 diff 并使用受保护输出。下面仅列语法和目标检查，<PLAYBOOK_FILE>、<INVENTORY_FILE>、<CANARY_HOST> 都需替换。执行预演前确认角色没有 check_mode: false 等强制运行例外，并逐项记录不支持 check mode 的模块，不能把预演无变化当作实际验证通过。

ansible-playbook -i '<INVENTORY_FILE>' '<PLAYBOOK_FILE>' --syntax-check
ansible-playbook -i '<INVENTORY_FILE>' '<PLAYBOOK_FILE>' --list-hosts --limit '<CANARY_HOST>'

在维护窗口对单台试点应用已审阅角色，保持当前管理会话，逐项检查包安装、时间、目录权限和服务状态。对 SSH 或防火墙变更先验证候选配置，再测试新的独立登录会话；业务健康与监控检查完成之前不关闭原会话。记录每项 changed、失败和 handler 执行结果，避免把模块成功退出等同于业务可用，所有意外变化均需解释后再继续。

在同一试点重复执行经审阅的角色，区分正常轮换、时间戳更新和不应重复发生的配置变化；修正不准确的 changed 判断及无条件服务重启。通过 serial 设定小批次并结合故障停止策略，控制 forks 与软件源负载，每批完成管理和业务检查后再继续。保留每台主机的配置版本、执行结果和例外，不允许单台失败后全量无条件重试。

交付 inventory 版本、roles 提交、变量说明、备份位置和主机级结果表，记录未纳管机器及原因。把访问、时间、DNS、包版本、日志和监控纳入验收清单，明确日后漂移检查的频率与处理责任。对于需重启的内核或系统变更，另列维护计划，不把“配置已写入”标为“运行态已生效”；恢复路径和备用访问需在交接时可由值班人员找到。