如何限制特定Ansible主机/组仅允许--check和/或--diff模式？

你提到的每个剧本加pre_task的方法确实繁琐，以下是几个更高效的替代方案：

1. 全局前置任务 + 清单标记变量 #

这种方法无需逐个修改剧本，通过全局配置自动生效：

• 第一步：在清单中给需要限制的主机/组添加标记变量，比如给组staging_only设置：

  [staging_only]
  host1.example.com
  host2.example.com
  
  [staging_only:vars]
  enforce_check_mode=true
  

• 第二步：创建全局前置任务文件enforce_check_mode.yml，内容如下：

  - name: 强制检查模式（仅试运行）
    fail:
      msg: "该主机/组仅允许使用--check或--diff模式执行，请添加对应参数后重试"
    when: enforce_check_mode is defined and enforce_check_mode and not ansible_check_mode
    run_once: false
  

• 第三步：修改ansible.cfg，添加全局前置任务路径：

  [defaults]
  default_pre_task_path = ./enforce_check_mode.yml
  

  所有ansible-playbook命令都会自动执行这个前置检查，无需在每个剧本中重复编写。

2. 自定义回调插件 #

通过回调插件在任务执行前做全局检查，无需修改任何剧本或清单变量（也可结合清单变量提升灵活性）：

• 创建回调插件文件callback_plugins/enforce_check.py，内容示例：

  from ansible.plugins.callback import CallbackBase
  
  class CallbackModule(CallbackBase):
      def v2_playbook_on_play_start(self, play):
          # 定义需要限制的组名
          restricted_groups = ['staging_only']
          # 获取当前play的所有主机
          all_hosts = play.get_variable_manager().get_vars()['groups'].get('all', [])
          # 检查每个主机是否在限制组且非检查模式
          for host in all_hosts:
              host_vars = play.get_variable_manager().get_vars(host=host)
              if any(group in restricted_groups for group in host_vars.get('group_names', [])):
                  if not host_vars.get('ansible_check_mode'):
                      self._display.error(f"主机 {host} 仅允许试运行模式，请添加--check或--diff参数")
                      raise SystemExit(1)
  

• 修改ansible.cfg启用插件：

  [defaults]
  callback_plugins = ./callback_plugins
  callback_whitelist = enforce_check
  

  插件会在play开始前自动检查所有主机，一旦发现限制组的主机在非检查模式下运行，直接终止并报错。

3. 清单变量+自定义执行器（轻量hack方案） #

通过修改主机的ansible_python_interpreter变量，让非检查模式下执行直接报错：

• 在清单中给限制组添加：

  [staging_only:vars]
  ansible_python_interpreter = /usr/local/bin/check_mode_only.sh
  

• 在目标主机上创建脚本/usr/local/bin/check_mode_only.sh（确保可执行）：

  #!/bin/bash
  if [ -z "$ANSIBLE_CHECK_MODE" ]; then
      echo "错误：该主机仅允许试运行模式，请添加--check或--diff参数" >&2
      exit 1
  fi
  exec /usr/bin/python3 "$@"
  

  非检查模式执行时脚本直接报错退出；检查模式下则正常调用Python解释器执行任务。

关于你提到的类似ansible_ssh_extra_args的参数 #

目前Ansible没有专门用于强制检查模式的清单参数，官方文档的《连接到主机：行为清单参数》中也确实没有相关内容，上述几种方案是更合适的替代选择。

内容的提问来源于stack exchange，提问作者Stefan