如何通过Ansible Playbook在RDS Oracle数据库上运行SQL查询

可以使用Ansible完成RDS SQL查询的自动化，核心步骤如下：

• 确保执行Playbook的节点（本地或堡垒机）能访问目标RDS实例（通过VPC网络、公网访问白名单或堡垒机跳转）
• 配置AWS权限或RDS数据库账号权限，确保能执行目标SQL操作
• 编写Ansible Playbook，集成SQL执行、错误处理逻辑
• 可结合Cron或Ansible Tower实现定时自动执行

示例Playbook代码 #

---
- name: 自动化执行RDS SQL查询
  hosts: localhost  # 若需通过堡垒机跳转，替换为堡垒机组名
  vars:
    rds_endpoint: my-rds-instance.xxxxxx.us-east-1.rds.amazonaws.com
    rds_port: 3306
    rds_db: my_target_db
    rds_user: db_operator
    rds_password: "{{ vault_rds_password }}"  # 用Ansible Vault加密敏感密码
    sql_script_path: ./daily_query.sql

  tasks:
    - name: 读取本地SQL脚本内容
      set_fact:
        sql_content: "{{ lookup('file', sql_script_path) }}"

    - name: 执行SQL查询
      mysql_db:
        login_host: "{{ rds_endpoint }}"
        login_port: "{{ rds_port }}"
        login_user: "{{ rds_user }}"
        login_password: "{{ rds_password }}"
        name: "{{ rds_db }}"
        sql: "{{ sql_content }}"
      register: sql_exec_result
      failed_when: "'error' in sql_exec_result.msg or sql_exec_result.failed"

    - name: SQL执行失败触发告警
      debug:
        msg: "SQL执行失败，错误信息: {{ sql_exec_result.msg }}"
      when: sql_exec_result.failed

    - name: 执行失败后回滚（示例）
      mysql_db:
        login_host: "{{ rds_endpoint }}"
        login_port: "{{ rds_port }}"
        login_user: "{{ rds_user }}"
        login_password: "{{ rds_password }}"
        name: "{{ rds_db }}"
        sql: "ROLLBACK;"
      when: sql_exec_result.failed

问题解答 #

1. 如何为Ansible Playbook提供AWS凭证？通过模块变量还是环境变量？ #

两种方式都支持，优先推荐更安全的环境变量或IAM角色：

• 环境变量：设置AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY环境变量，Ansible的AWS模块会自动读取
• 模块变量：在Playbook中通过aws_access_key和aws_secret_key传递，但禁止明文写入，需结合Ansible Vault加密
• 额外方案：使用AWS配置文件（~/.aws/credentials），Ansible会自动读取默认配置项

2. 如何为Ansible Playbook传递AWS IAM角色？ #

分两种场景处理：

• 若在EC2实例上运行Playbook：直接给EC2实例附加具备RDS访问权限的IAM角色，Ansible会自动通过实例元数据获取角色凭证，无需额外配置
• 若本地运行Playbook：使用sts_assume_role模块临时扮演指定IAM角色，获取临时凭证后用于后续操作；或在AWS配置文件中定义role_arn，Ansible会自动完成角色切换
• 部分AWS模块（如rds_instance）支持直接指定iam_role_arn参数，用于执行需角色权限的操作

3. 如何在Ansible Playbook中注入SQL脚本？ #

三种常用方式：

• 直接内嵌SQL：在Playbook的sql参数中编写短SQL语句，适合简单查询
• 读取本地SQL文件：用lookup('file', 'path/to/script.sql')读取本地脚本内容，传递给mysql_db/postgresql_db模块的sql参数
• 上传脚本到目标节点：用copy模块将本地SQL文件传到堡垒机，再通过命令模块（如mysql -h ... < script.sql）执行

4. inventory.yaml文件的格式是怎样的？ #

YAML格式的inventory支持分组、主机变量、组变量，示例如下：

all:
  vars:
    # 全局变量，所有主机生效
    aws_region: us-west-2
    ansible_connection: ssh
  children:
    # 定义堡垒机组
    rds_bastions:
      vars:
        proxy_user: ec2-user
      hosts:
        bastion-01:
          ansible_host: 10.0.0.5
          ansible_port: 22
        bastion-02:
          ansible_host: 10.0.0.6
    # 定义RDS实例组
    rds_targets:
      vars:
        db_port: 3306
      hosts:
        my-prod-rds:
          ansible_host: my-prod-rds.xxxxxx.us-west-2.rds.amazonaws.com
          db_user: admin

若无需分组，也可直接定义单主机：

my-prod-rds:
  ansible_host: my-prod-rds.xxxxxx.us-west-2.rds.amazonaws.com
  db_user: admin
  db_port: 3306

5. 如何处理SQL运行失败及恢复问题？ #

通过以下方式实现错误处理与恢复：

• 捕获执行结果：用register关键字将SQL执行结果保存到变量，后续根据变量判断执行状态
• 自定义失败条件：用failed_when指定判定失败的规则，比如结果中包含特定错误关键词
• 错误恢复：用block/rescue块实现异常捕获与恢复，比如执行失败时自动运行回滚SQL、发送告警通知
• 忽略错误：用ignore_errors: yes允许Playbook在SQL执行失败时继续运行其他任务，需谨慎使用

示例错误恢复逻辑：

- block:
    - name: 执行SQL脚本
      mysql_db:
        login_host: "{{ rds_endpoint }}"
        login_user: "{{ rds_user }}"
        login_password: "{{ rds_password }}"
        name: "{{ rds_db }}"
        sql: "{{ sql_content }}"
  rescue:
    - name: 执行回滚操作
      mysql_db:
        login_host: "{{ rds_endpoint }}"
        login_user: "{{ rds_user }}"
        login_password: "{{ rds_password }}"
        name: "{{ rds_db }}"
        sql: "ROLLBACK;"
    - name: 发送失败告警
      debug:
        msg: "SQL执行失败，已触发回滚操作"

内容的提问来源于stack exchange，提问作者Mayank Singh Rathore