使用Ansible安装SELinux模块时生成的.pp文件丢失如何解决

• 命令逻辑错误：你使用;分隔两条命令，无论前面ausearch+audit2allow是否执行成功，后面的semodule都会强制运行。最常见的场景是ausearch没有匹配到任何centreon_linux_相关的审计拒绝日志，此时audit2allow不会生成任何.pp、.te文件，后续命令自然找不到目标文件。
• 条件判断不匹配：when判断逻辑中你校验的是my-software是否在已安装模块列表中，但实际生成的模块名为my-centreonlinux，逻辑不匹配会导致任务触发时机错误。
• 权限不足：审计日志读取、SELinux模块生成、安装都需要root权限，若任务未提权也会导致文件生成失败。

首先你需要提前执行获取SELinux已安装模块的任务，再执行模块生成安装逻辑，参考配置如下：

# 提前获取已安装SELinux模块列表，避免重复执行
- name: 查询已安装SELinux模块
  command: semodule -lfull
  register: semodule_list
  changed_when: false

- name: 生成并安装centreon自定义SELinux模块
  shell:
    cmd: set -o pipefail && ausearch -c 'centreon_linux_' --raw | audit2allow -M my-centreonlinux && semodule -X 300 -i my-centreonlinux.pp
    chdir: /tmp
  when: '"my-centreonlinux" not in semodule_list.stdout'
  become: true

核心修复点说明：

• 把命令分隔符从;替换为&&，同时添加set -o pipefail配置，保证任意一步命令执行失败后，整个任务直接终止，不会强行执行后续安装命令。
• 修正when条件中的模块名，和实际生成的my-centreonlinux保持一致。
• 显式添加become: true保证任务以root权限执行，规避权限类问题。

如果需要持久保存生成的模块文件，可以额外添加如下任务，将文件拉取到Ansible控制节点留存：

- name: 拉取SELinux模块文件到控制节点
  fetch:
    src: "/tmp/{{ item }}"
    dest: "./selinux_modules/"
  loop:
    - my-centreonlinux.pp
    - my-centreonlinux.te
  when: '"my-centreonlinux" not in semodule_list.stdout'

补充说明：如果执行时报无匹配的审计日志，先手动运行一次centreon_linux相关的业务操作，生成对应的审计拒绝日志后再执行任务即可。

内容的提问来源于stack exchange，提问作者VashTheSampede