如何用Ansible正则匹配SSH配置块？问题排查与优化

背景 #

我正在编写Ansible角色，为目标主机生成SSH密钥并自动更新SSH配置文件中的LAN IP、用户名、密钥等信息。当前核心问题是无法在添加新配置块前正确删除旧的对应主机配置块，后续存在新块覆盖其他主机配置的问题（暂不处理），优先解决旧块删除失效的问题。

核心疑问 #

• 是否有更优的实现方案？
• 为何当前正则在Ansible中无效？
• 能否简化或优化正则表达式？

现有Ansible任务代码 #

- name: Read existing SSH config
  slurp:
    src: "{{ ssh_config_dir }}/config"
  register: ssh_config_file

- name: Decode existing SSH config
  set_fact:
    ssh_config_content: "{{ ssh_config_file.content | b64decode }}"

- name: Parse existing SSH config into lines
  set_fact:
    ssh_config_lines: "{{ ssh_config_content.split('\n') }}"

- name: Check if existing host entry matches
  set_fact:
    host_entry_valid: >
      {{ ssh_config_lines | select('match', '^Host {{ inventory_hostname }}$') | list | length > 0 and
         ssh_config_lines | select('match', '^\\s*Hostname {{ hostvars[inventory_hostname].ansible_host }}$') | list | length > 0 and
         ssh_config_lines | select('match', '^\\s*User {{ ssh_remote_user }}$') | list | length > 0 and
         ssh_config_lines | select('match', '^\\s*Port {{ ssh_port }}$') | list | length > 0 and
         ssh_config_lines | select('match', '^\\s*IdentityFile {{ ssh_key_dir }}/{{ inventory_hostname }}{{ ssh_key_name_suffix }}$') | list | length > 0 }}

- name: Debug host entry validity
  debug:
    var: host_entry_valid

- name: Backup the existing SSH config
  copy:
    src: "{{ ssh_config_dir }}/config"
    dest: "{{ ssh_config_dir }}/config.bak"
  when: not host_entry_valid

- name: Define the regex pattern
  set_fact:
    my_regex: '^(\s+)?Host\s+{{ inventory_hostname }}(\s+)?$\n^(((\s+)?[A-Za-z0-9./_-]|#)+(\s+)?)$\n^(\s+)?$'

- name: Print regex pattern
  debug:
    msg: "{{ my_regex | quote }}"

- name: Remove existing host entry if it doesn't match
  lineinfile:
    path: "{{ ssh_config_dir }}/config"
    state: absent
    regexp: '^(\s+)?Host\s+{{ inventory_hostname }}(\s+)?$\n^(((\s+)?[A-Za-z0-9./_-]|#)+(\s+)?)$\n^(\s+)?$'
  when: not host_entry_valid

正则问题分析 #

• 当前正则在VSCode中可匹配目标配置块，但在Sublime中会匹配多个块，在Ansible中完全无效。
• 测试过的有效正则（VSCode环境）：

^(\s+)?Host test(\s+)?$\n^(((\s+)?[A-Za-z0-9./_-]|#)+(\s+)?)$\n

• 带正向预查的正则在Sublime中有效但会匹配多块，且无法匹配文件末尾的配置块，已计划移除预查：

^(\s+)?Host test(\s+)?$\n^(((\s+)?[A-Za-z0-9./_-]|#)+(\s+)?)$\n(?=Host)

• 正则设计思路：匹配Host 主机名行，然后匹配所有非空行直至空行；正向预查用于检测空行后的Host行，但因用法不熟悉导致问题。

执行现象 #

Ansible执行后旧SSH配置块未被删除，相关任务输出：

TASK [ssh-keys : Remove existing SSH agents and known hosts] ********************************************************************************************
included: /scripts/ansible/roles/ssh-keys/tasks/remove_existing_ssh_agents.yml for test

TASK [ssh-keys : Remove all SSH agents] *****************************************************************************************************************
skipping: [test]

TASK [ssh-keys : Remove host from known hosts] **********************************************************************************************************
skipping: [test]

TASK [ssh-keys : Copy SSH key to remote server] *********************************************************************************************************
included: /scripts/ansible/roles/ssh-keys/tasks/copy_key.yml for test

TASK [ssh-keys : Copy SSH key to remote server] *********************************************************************************************************
skipping: [test]

示例SSH配置块 #

Host test
   HostName 10.0.0.4
   User myuser
   IdentityFile ...

Host test2
  ...

解决方案 #

1. 正则在Ansible中无效的原因 #

Ansible的lineinfile模块默认逐行处理文件，不支持多行正则匹配（即使正则包含\n，模块也只会按单行逻辑匹配）。你试图用多行正则匹配跨多行的配置块，这与lineinfile的设计逻辑冲突，导致正则完全失效。

2. 更优实现方案 #

方案一：使用replace模块实现多行匹配删除

replace模块支持多行正则（需启用multiline标志），可精准匹配并删除整个主机配置块：

- name: Remove existing host config block
  replace:
    path: "{{ ssh_config_dir }}/config"
    regexp: >-
      ^(\s*)Host\s+{{ inventory_hostname }}\s*$\n
      (^\s+.+\n)*
      (^\s*$\n)?
    flags: multiline
  when: not host_entry_valid

正则说明：

• ^(\s*)Host\s+{{ inventory_hostname }}\s*$：匹配目标Host行，允许前后空白
• (^\s+.+\n)*：匹配所有以空白开头的配置行（重复0次或多次）
• (^\s*$\n)?：匹配可选的结尾空行（兼容块后有/无空行的情况）
• flags: multiline：开启多行模式，让^和$匹配每行的开头和结尾

方案二：使用模板生成完整SSH配置（推荐）

最可靠的方式是维护SSH配置模板，通过Ansible变量渲染所有主机配置，直接生成完整配置文件，彻底避免旧块残留问题：

1. 创建模板文件templates/ssh_config.j2：

{% for host in groups['all'] %}
Host {{ host }}
  HostName {{ hostvars[host].ansible_host }}
  User {{ hostvars[host].ssh_remote_user }}
  Port {{ hostvars[host].ssh_port }}
  IdentityFile {{ ssh_key_dir }}/{{ host }}{{ ssh_key_name_suffix }}

{% endfor %}

2. 在角色中使用模板生成配置：

- name: Generate SSH config from template
  template:
    src: ssh_config.j2
    dest: "{{ ssh_config_dir }}/config"
    mode: 0600

3. 正则优化建议 #

如果坚持使用正则删除，适配Ansiblereplace模块的优化版正则：

^(\s*)Host\s+{{ inventory_hostname }}\s*$(?:\n^\s+.+)*\n?

• 使用非捕获组(?:...)减少不必要的分组
• 简化空白匹配逻辑，兼容不同缩进风格
• 结尾的\n?适配文件末尾无空行的情况

内容的提问来源于stack exchange，提问作者Brad T