Ansible系统补丁逻辑问题：CentOS仓库被意外恢复

这个问题我之前也碰到过，核心原因其实是**centos-release包的更新会自动恢复默认的CentOS仓库配置文件**。当你执行yum: name='*' state=latest时，Ansible会更新系统里所有可更新的包，其中就包括centos-release——这个包负责管理系统默认的仓库配置，一旦它被更新，之前被你移除/删除的仓库文件会被重新生成，导致你的配置被覆盖。

解决方法 #

1. 锁定centos-release包，阻止其更新 #

这是最稳妥的方式，直接防止触发仓库文件的恢复：

• 对于CentOS 8/9（使用dnf的版本），可以直接用Ansible的dnf模块的lock参数：

- name: Lock centos-release package to avoid repo regeneration
  dnf:
    name: centos-release
    state: present
    lock: yes

• 对于CentOS 7（使用yum），需要先安装yum-plugin-versionlock插件，再锁定包：

- name: Install yum versionlock plugin
  yum:
    name: yum-plugin-versionlock
    state: present

- name: Lock centos-release package
  command: yum versionlock add centos-release
  args:
    warn: false

2. 补丁时排除centos-release包 #

如果你不想完全锁定这个包，也可以在补丁任务里直接排除它，这样既更新其他包，又不会触发仓库恢复：

- name: Patch the System without updating centos-release
  yum:
    name: '*'
    exclude: centos-release
    update_cache: yes
    state: latest

更高效的系统补丁方式 #

针对Frozen仓库场景，我建议优化你的流程顺序和补丁策略：

• 调整执行顺序：先配置Frozen仓库，再禁用/移除默认仓库，接着锁定centos-release，最后执行补丁操作，确保每一步的配置都不会被后续操作覆盖。
• 优先使用Frozen仓库：给Frozen仓库配置更高的优先级（比如安装yum-plugin-priorities，在Frozen的repo文件中添加priority=1），即使默认仓库意外恢复，系统也会优先使用Frozen仓库的包。
• 只更新安全补丁：如果不需要全量更新，可以使用yum update --security（CentOS 7）或dnf update --security（CentOS 8+）来只安装安全相关的补丁，减少不必要的包更新，也降低触发仓库恢复的概率：

- name: Apply only security patches
  command: yum update --security -y
  args:
    warn: false

内容的提问来源于stack exchange，提问作者user3685317