Ansible Shell模块执行OpenSSL密钥校验命令与Bash结果不一致问题

我来帮你捋捋这个问题——手动跑openssl命令没问题，但放到Ansible里结果就不对，这种情况我碰到过好几次，大概率是环境差异或者命令解析的坑在搞鬼。咱们一步步来排查和解决：

先搞清楚可能的原因 #

1. Shell环境不一致 #

手动执行时你用的是登录shell（比如bash），但Ansible的shell模块默认用的是/bin/sh。虽然大部分命令兼容，但某些语法（比如复杂管道、命令替换）在sh里的处理可能和bash不一样，导致输出差异。

2. 工作目录不匹配 #

你手动执行时可能正处在密钥文件所在的目录，但Ansible默认会在远程用户的家目录下执行任务。如果密钥文件不在家目录，$(hostname).key就会找不到，openssl命令报错，哈希自然和手动执行的不一样。

3. 主机名解析差异 #

$(hostname)命令的输出可能不稳定——有些主机返回的是FQDN（比如server01.example.com），有些是短主机名（server01）。如果你的密钥文件名是短主机名，那用$(hostname)可能会找不到正确的文件。

4. 文件权限问题 #

手动执行时你可能用的是root用户，而Ansible用的是普通远程用户。如果私钥文件权限太严格（比如只有root可读），Ansible执行时openssl会无法读取，输出错误内容，哈希值自然不对。

修正后的Playbook方案 #

我给你调整一下任务，解决这些坑：

- name: 验证公私钥对一致性
  shell: |
    # 用Ansible内置的主机名变量代替$(hostname)，更可靠
    PRIV_KEY_PATH="{{ ansible_hostname }}.key"
    PUB_KEY_PATH="{{ ansible_hostname }}.pub"

    # 从私钥导出公钥并计算哈希（只取哈希值部分）
    PRIV_DERIVED_HASH=$(/usr/bin/openssl pkey -in "$PRIV_KEY_PATH" -pubout -outform pem | sha256sum | awk '{print $1}')
    # 直接计算现有公钥文件的哈希
    PUB_FILE_HASH=$(/usr/bin/sha256sum "$PUB_KEY_PATH" | awk '{print $1}')

    # 对比哈希值，不一致则报错退出
    if [ "$PRIV_DERIVED_HASH" != "$PUB_FILE_HASH" ]; then
      echo "ERROR: 公私钥对不匹配！"
      exit 1
    else
      echo "SUCCESS: 公私钥对一致"
    fi
  args:
    executable: /bin/bash  # 指定用bash执行，避免sh的兼容性问题
    chdir: /path/to/your/keys  # 替换成密钥文件所在的绝对路径，确保工作目录正确
  register: key_check_result
  failed_when: key_check_result.rc != 0

关键优化点说明 #

• 用Ansible变量代替命令替换：{{ ansible_hostname }}是Ansible提前获取的主机短名，比$(hostname)更稳定，不会受远程主机hostname配置影响。
• 指定bash执行：通过executable: /bin/bash确保命令在bash环境下运行，和你手动执行的环境一致。
• 明确工作目录：chdir参数直接指定密钥文件所在目录，避免因工作目录不同找不到文件。
• 直接对比哈希值：不用生成临时文件，直接在脚本内对比，结果更直观，也方便Ansible捕获错误状态。

先排查再执行 #

如果还是有问题，先加个debug任务确认环境信息：

- name: 调试环境与文件信息
  shell: |
    echo "当前工作目录: $(pwd)"
    echo "主机名输出: $(hostname)"
    echo "Ansible获取的主机名: {{ ansible_hostname }}"
    ls -l "{{ ansible_hostname }}.key" "{{ ansible_hostname }}.pub"
  args:
    executable: /bin/bash
    chdir: /path/to/your/keys
  register: debug_info

- name: 打印调试信息
  debug:
    var: debug_info.stdout_lines

通过这个任务你可以确认：工作目录是否正确、主机名是否匹配、密钥文件是否存在且有读取权限。

内容的提问来源于stack exchange，提问作者solaris