Ansible本地连接venv环境下firewalld模块导入失败排查

环境信息 #

• 操作系统：Oracle Linux 9.5（类RHEL）
• Ansible版本：2.14
• ansible.posix版本：1.5.4
• Python版本：3.9
• 连接方式：local（控制端与目标端为同一主机）

问题背景 #

原本运行正常的Ansible Playbook，在完成以下调整后出现异常：

1. 改用Python虚拟环境运行Ansible
2. 设置ANSIBLE_COLLECTIONS_PATH指向虚拟环境内的集合目录
3. 移除/usr/share下的全局集合

异常表现：

• 仅ansible.posix.firewalld模块报错，提示无法导入firewall库
• community.general等其他集合模块运行正常

临时可行的解决方式：

• 为该任务指定ansible_python_interpreter: /usr/bin/python
• 改用SSH连接替代local连接

疑问：

1. 猜测local连接在目标上下文使用了虚拟环境的Python配置，是否成立？
2. 能否让local连接像SSH连接一样使用系统PATH中的Python？

问题分析与解答 #

1. 关于local连接使用venv配置的猜测：成立 #

Ansible的local连接会直接在本地主机进程上下文执行模块代码，不会像SSH连接那样启动全新的shell会话。当你在虚拟环境中启动Ansible时，当前进程的环境变量（包括PATH、Python相关环境变量）会直接传递给local连接执行的模块进程。

ansible.posix.firewalld模块依赖的firewall Python库通常是通过系统包管理器安装在系统Python环境中，而非虚拟环境。当local连接使用虚拟环境的Python执行模块时，找不到这个系统级库，就会触发导入错误。

而SSH连接会创建全新的shell会话，默认使用系统PATH中的Python（除非远程shell配置做过修改），因此能正常找到系统级的firewall库。

2. 让local连接使用PATH中的Python的方法 #

有几种可行方案：

• 全局配置指定Python解释器：在ansible.cfg中添加配置，让所有local连接任务默认使用系统Python

  [defaults]
  interpreter_python = /usr/bin/python
  

  或者仅针对local连接单独配置：

  [connection_local]
  ansible_python_interpreter = /usr/bin/python
  

• 在Playbook/主机清单中指定：在Playbook的主机变量或清单中设置

  hosts: localhost
  vars:
    ansible_python_interpreter: /usr/bin/python
  

• 不激活虚拟环境调用Ansible：如果Ansible安装在虚拟环境中，直接用虚拟环境的绝对路径调用Ansible，同时确保当前shell未激活虚拟环境，此时local连接会使用系统PATH中的Python：

  /path/to/venv/bin/ansible-playbook your-playbook.yml
  

内容的提问来源于stack exchange，提问作者Uwe