Ansible使用dpkg_selections批量锁定软件包仅最后一个生效如何解决

问题原因 #

你遇到的仅最后一个软件包被锁定的问题，是部分旧版本Ansible的dpkg_selections模块循环调用时的已知缺陷，每次执行会覆盖上一次的锁定状态，导致只有最后一次遍历的条目生效。

解决方案 #

方案1：改用shell模块批量设置（兼容性最好）

直接调用系统原生dpkg命令一次性写入所有包的锁定状态，避免循环调用模块的异常：

- name: Prevent packages from being upgraded
  shell: |
    cat << 'EOF' | dpkg --set-selections
    postgresql hold
    docker hold
    EOF
  args:
    executable: /bin/bash

如果需要把待锁定包抽成独立变量方便维护，可以使用如下写法：

# 定义待锁定包列表
- name: Set hold packages list
  set_fact:
    hold_packages:
      - postgresql
      - docker

# 批量设置锁定
- name: Batch hold multiple packages
  shell: "echo -e '{{ hold_packages | map('regex_replace', '$', ' hold') | join(\"\\n\") }}' | dpkg --set-selections"

方案2：升级Ansible版本

如果你不想修改现有代码逻辑，升级Ansible到2.10及以上版本即可，该版本已经修复了dpkg_selections模块循环调用的状态覆盖问题，你原有的代码可以正常运行，所有遍历到的包都会被设置为锁定状态。

结果验证 #

执行完playbook后，可在目标主机执行以下命令确认锁定状态：
dpkg --get-selections | grep -E "postgresql|docker"
输出中两个包的状态都为hold即为设置成功。

内容的提问来源于stack exchange，提问作者Sara