Ansible/AWX中设置no_log: true后如何查看任务错误详情？

方案1：使用block/rescue捕获错误并写入安全文件 #

利用Ansible的块结构，在任务失败时触发救援流程，将错误详情写入仅管理员可访问的后端服务器文件，同时保持原任务的no_log: true设置不变。

• 给原API调用任务套一层block，保留no_log: true以屏蔽敏感数据到AWX公开日志
• 在rescue块中单独处理错误日志写入，针对该写日志任务临时关闭no_log（仅影响此步骤，主任务的敏感数据仍不会泄露），同时严格控制目标文件的访问权限

示例代码：

- name: 远程API调用任务块
  block:
    - name: 执行远程API请求
      uri:
        url: "https://remote-api.example.com/endpoint"
        method: POST
        body: "{{ sensitive_payload | to_json }}"
        headers:
          Authorization: "Bearer {{ api_key }}"
        status_code: 200
      no_log: true  # 主任务保持敏感日志屏蔽
  rescue:
    - name: 将错误日志写入管理员专属后端服务器
      copy:
        content: "{{ ansible_failed_result | to_nice_json }}"
        dest: "/var/log/ansible_admin/api_error_{{ ansible_date_time.iso8601_basic_short }}.log"
        mode: '0600'  # 仅文件所有者可读
        owner: root
        group: admin_ops  # 替换为你的管理员专属组
      no_log: false  # 此步骤关闭no_log，因目标文件本身有权限隔离，AWX仅记录"写入文件成功"这类非敏感信息
      delegate_to: admin-backend-01  # 替换为你的管理员可访问的后端服务器地址

注意：需确保后端服务器的/var/log/ansible_admin/目录权限设为0700，仅管理员组可访问。

方案2：自定义回调插件实现失败日志定向存储 #

如果需要全局处理所有带no_log的任务失败日志，可编写自定义Ansible回调插件，监听任务失败事件，将详细错误信息定向存储到管理员专属位置，AWX公开日志不会泄露敏感数据。

核心逻辑：

• 插件监听task_failed事件，仅处理标记了no_log: true的失败任务
• 提取错误详情，写入权限严格的本地文件或远程后端存储

示例简化版回调插件（保存为callback_plugins/admin_error_log.py）：

from ansible.plugins.callback import CallbackBase
import json
import os
from datetime import datetime

class CallbackModule(CallbackBase):
    CALLBACK_VERSION = 2.0
    CALLBACK_NAME = 'admin_error_log'
    CALLBACK_NEEDS_WHITELIST = True

    def __init__(self):
        super().__init__()
        self.admin_log_path = "/var/log/ansible_admin/global_errors.log"
        # 初始化日志目录及权限
        os.makedirs(os.path.dirname(self.admin_log_path), exist_ok=True)
        os.chmod(os.path.dirname(self.admin_log_path), 0o700)
        if os.path.exists(self.admin_log_path):
            os.chmod(self.admin_log_path, 0o600)

    def v2_runner_on_failed(self, result, ignore_errors=False):
        # 仅处理开启no_log的失败任务
        if result.task_fields.get('no_log'):
            error_data = {
                'timestamp': datetime.utcnow().isoformat(),
                'task_name': result.task_name,
                'target_host': result._host.get_name(),
                'error_details': result._result
            }
            # 追加写入日志文件
            with open(self.admin_log_path, 'a') as f:
                f.write(json.dumps(error_data) + '\n')
            # 如需写入远程后端，可添加paramiko/scp逻辑自行扩展

使用方式：

• 将插件文件放到AWX执行节点的/etc/ansible/callback_plugins/目录
• 在AWX模板的"Extra Variables"中添加ansible_callback_plugins: /etc/ansible/callback_plugins，确保插件被白名单允许

方案3：动态控制错误日志的临时启用（应急排查用） #

通过环境变量和条件判断，实现默认保持no_log: true，仅在需要排查时临时开启错误日志记录，无需修改核心任务逻辑。

示例代码：

- name: 调用远程API
  uri:
    url: "https://remote-api.example.com/endpoint"
    method: POST
    body: "{{ sensitive_payload | to_json }}"
    headers:
      Authorization: "Bearer {{ api_key }}"
    status_code: 200
  no_log: "{{ not lookup('env', 'ENABLE_DEBUG_LOG') | bool }}"
  register: api_result
  failed_when: api_result.status != 200

- name: 应急排查时写入错误日志到后端
  copy:
    content: "{{ api_result | to_nice_json }}"
    dest: "/var/log/ansible_admin/emergency_debug_{{ ansible_date_time.iso8601_basic_short }}.log"
    mode: '0600'
  when: api_result.failed and lookup('env', 'ENABLE_DEBUG_LOG') | bool
  delegate_to: admin-backend-01

使用时，在AWX启动任务的"Environment Variables"中添加ENABLE_DEBUG_LOG=true，即可临时记录错误日志；默认状态下no_log依然生效，敏感数据不会泄露。

内容的提问来源于stack exchange，提问作者PratikJain4