Ansible用venv安装pip包时误用全局包且报权限错误

云上老周

2026-10-23

问题根因

对比手动可用的devenv和Ansible创建的异常elk-venv的差异，核心是elk-venv从创建阶段就没完成完整的虚拟环境初始化流程，后续的pip安装操作因为找不到有效的虚拟环境上下文，直接 fallback 到了系统全局Python环境执行。
几个可验证的直接证据：

正常venv初始化完成后根目录会自动生成对应Python版本的LICENSE文件，elk-venv目录结构里完全没有这个文件，说明venv创建流程执行中断
激活elk-venv后执行pip3 show返回的包路径是全局Python的site-packages目录，根本没有关联虚拟环境的独立路径，说明当前调用的pip是全局解释器，不是虚拟环境内部的pip
执行/home/user/elk-venv/bin/pip list直接抛Errno 13权限拒绝，说明虚拟环境bin目录下的pip脚本没有生成可正常运行的引导逻辑，文件本身虽然有可执行权限，但找不到关联的Python运行入口
elk-venv的pyvenv.cfg里配置的home = /usr/bin，和手动创建的devenv的home = /bin存在路径解析差异，导致venv内部脚本查找解释器的逻辑走了错误分支，触发启动失败
两个虚拟环境的python软链接指向不同：devenv的python3.6指向/bin/python3.6，elk-venv指向/usr/bin/python3.6，本质是创建时的解释器路径解析偏差，导致venv的内部路径匹配逻辑异常。

触发异常的具体原因

结合你使用的Ansible版本（2.9.9，控制端运行Python 2.7.5），问题来自两个环节的配置疏漏：

用command模块手动执行/usr/bin/python3.6 -m venv /home/user/elk-venv时，Ansible连接的用户上下文和后续操作的root用户不一致，venv初始化时生成的文件权限不满足跨用户执行的要求，导致流程中断
Ansible 2.9版本的pip模块存在已知逻辑缺陷：当指定的virtualenv路径检测不到完整的venv标记（比如缺失关联独立site-packages、有效可执行的pip脚本）时，不会直接抛出报错，而是自动切换到系统全局的pip解释器执行所有安装操作——这也是为什么你明明指定了虚拟环境路径，最终安装的包却全部落到全局环境里的原因。
原有pip任务配置里的virtualenv_python参数是给还未创建的venv做初始化用的，当venv已经存在时，这个参数不会影响实际执行的pip路径，无法阻止模块 fallback 到全局解释器。

修复步骤

第一步先彻底删除之前创建的残缺elk-venv目录，避免残留文件的权限干扰后续创建流程

替换原来用command模块创建venv的写法，用Ansible官方的virtualenv模块完成初始化，消除手动命令的环境变量差异：

- name: Initialize elk virtualenv
  ansible.builtin.virtualenv:
    path: /home/user/elk-venv
    python: /usr/bin/python3.6
    virtualenv_command: /usr/bin/python3.6 -m venv
    virtualenv_site_packages: no

创建完成后，给虚拟环境bin目录补全执行权限，解决pip脚本权限拒绝的问题：

- name: Fix virtualenv bin permission
  ansible.builtin.file:
    path: /home/user/elk-venv/bin
    mode: "0755"
    recurse: yes

调整pip安装任务的配置，去掉冗余的virtualenv_python参数，新增executable参数直接指定虚拟环境内的pip解释器路径，强制避免模块 fallback 到全局pip：

- name: Install pip packages List.
  ansible.builtin.pip:
    requirements: /home/user/elk-venv/requirements.txt
    extra_args: "--no-index --find-links=file:////home/user/elk-venv/tranferred_packages"
    virtualenv: /home/user/elk-venv
    executable: /home/user/elk-venv/bin/pip3.6

增加前置校验步骤，确认虚拟环境的pip可以正常执行list命令后，再执行后续的包安装操作，避免流程跑错上下文：
```
- name: Validate virtualenv pip function
  ansible.builtin.command: /home/user/elk-venv/bin/pip3.6 list --format=freeze
  changed_when: false
```

注意：不要在venv创建完成前就把requirements.txt和离线包文件夹复制到虚拟环境目录下，文件复制操作可能触发目录权限变更，导致venv初始化的文件写入被拒绝。

内容的提问来源于stack exchange，提问作者prat