求助：Ansible执行Bash脚本测试正常，生产环境未生成报告

1. 核对报告路径与权限 #

• 确认Ansible执行脚本的用户（即使become: yes，也要验证实际切换的用户）和终端执行脚本的用户是否一致，检查报告生成目录的读写权限对该用户是否开放。
• 若脚本用相对路径生成报告，Ansible的默认工作目录和终端工作目录不同，会导致报告生成在非预期位置。可修改脚本使用绝对路径生成报告，或在Ansible任务中指定chdir参数切换工作目录：

- name: run the scan to generate deviation report
  become: yes
  command: sh /<完整脚本路径>
  args:
    chdir: /<脚本预期运行的目录>

2. 补全环境变量差异 #

• 终端执行时的环境变量（如PATH、自定义业务变量）和Ansible执行环境可能不一致，脚本依赖的工具或配置无法加载。可在脚本开头添加source /etc/profile或source ~/.bashrc加载系统环境变量，也可在Ansible任务中显式传递所需变量：

- name: run the scan to generate deviation report
  become: yes
  command: sh /<完整脚本路径>
  environment:
    PATH: "/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
    # 补充脚本需要的其他环境变量

3. 验证脚本依赖的工具可用性 #

• AWS生产环境可能缺少脚本依赖的扫描工具、命令行工具，终端用户环境已安装但Ansible执行的用户（如root）的PATH未包含工具路径。可在脚本中直接使用工具的绝对路径，或在Ansible任务前先检查依赖是否存在。

4. 抓取完整执行日志 #

• 用ansible-playbook -vvv playbook.yml执行 playbook，查看脚本执行的完整输出（包括隐性错误）。同时在脚本开头添加set -euo pipefail，让脚本遇错立即退出，触发Ansible任务失败，便于定位问题点。

5. 排查资源与超时问题 #

• AWS生产环境可能因资源紧张导致脚本被系统杀死或执行超时，可查看系统日志（/var/log/syslog、/var/log/messages）是否有OOM或进程终止记录。也可在Ansible任务中设置timeout参数延长执行时间：

- name: run the scan to generate deviation report
  become: yes
  command: sh /<完整脚本路径>
  timeout: 300

6. 确认become切换用户生效 #

• 在目标任务前添加检查步骤，验证become: yes是否切换到预期用户：

- name: check current user
  become: yes
  command: whoami
  register: current_user
- debug: var=current_user.stdout

确保输出为预期用户，避免因权限不足导致报告无法写入。

内容的提问来源于stack exchange，提问作者NawNaw