首页/资讯中心/详情

Ansible角色持续测试：Molecule+Travis CI+Ubuntu 18.04工程实践

Ansible角色持续测试：Molecule+Travis CI+Ubuntu 18.04工程实践
📅 发布时间：2026/6/22 4:41:03

1. 这不是“跑个测试”那么简单：为什么Ansible角色必须做持续测试

你写了一个Ansible role，本地用ansible-playbook跑通了，服务器上也部署成功了——然后就提交代码、合入主干、上线交付？我见过太多团队在生产环境凌晨三点被叫醒，只因为一个看似简单的copy模块在CentOS 8上路径拼错，而这个错误在Ubuntu 18.04的开发机上根本不会暴露。Ansible不是脚本，它是基础设施的契约；role不是功能模块，它是可复用、可验证、可审计的配置单元。当你把molecule test当成CI流水线里一个可跳过的步骤，本质上是在拿整个运维体系的确定性做赌注。

核心关键词——Ansible、Molecule、Travis CI、Ubuntu 18.04、continuous testing——这五个词串起来，不是一套工具链的罗列，而是一条从“写完即止”到“每次提交即验证”的工程化跃迁路径。它解决的从来不是“能不能测”，而是“测得准不准、快不快、稳不稳、敢不敢信”。Molecule不是Ansible的测试插件，它是为Ansible量身定制的隔离式基础设施仿真沙盒；Travis CI在这里也不是通用CI平台，而是轻量级、开箱即用、与GitHub深度集成的自动化可信执行环境；Ubuntu 18.04则不是随便选的系统，它是当时LTS版本中Docker兼容性最成熟、Python 3.6支持最稳定、且与绝大多数企业级Ansible控制节点环境高度一致的黄金基线操作系统。

适合谁看？如果你是刚学会用ansible-galaxy init初始化role的新手，这篇内容会告诉你：为什么你写的tasks/main.yml里加一行when: ansible_distribution == "Ubuntu"，却没写对应的Debian分支测试，就是在埋雷；如果你是带团队的SRE，你会看到如何用不到20行配置让每个PR自动完成5个不同平台（Ubuntu 18.04/20.04、CentOS 7/8、Debian 10）的全路径验证；如果你是平台工程师，你会理解为什么Molecule的dockerdriver比vagrant快3倍，而Travis的sudo: false模式又比传统VM模式节省67%构建时间。这不是教程，这是我在三年内迭代17个核心infra role、累计触发42,891次Molecule测试后，亲手踩出来的路标。

2. 整体设计逻辑：为什么是Molecule + Travis CI + Ubuntu 18.04这个铁三角

2.1 不选Vagrant、不选GitHub Actions、不选GitLab CI的底层权衡

很多人一上来就问：“为什么不用Vagrant？”——因为Vagrant启动虚拟机平均耗时2分17秒，而Molecule默认的Docker driver启动一个Ubuntu 18.04容器只要1.8秒。我做过实测：一个含3个test scenario（default、centos7、ubuntu2004）的role，在Travis上用Vagrant driver平均单次测试耗时8分32秒；换成Docker driver后压到2分41秒。这意味着每天50次PR，你每年能省下近370小时的等待时间。这不是优化，是释放工程师的注意力带宽。

那为什么不是GitHub Actions？2019年Q3我们全面切换时，GitHub Actions的Linux runner还强制绑定Ubuntu 18.04，无法指定内核版本，导致kernel_modules类role在5.4.0-xx-generic内核下测试通过，却在线上4.15.0-xx-generic环境失败。Travis CI的dist: xenial（即Ubuntu 16.04）和dist: bionic（Ubuntu 18.04）选项，能精确锁定内核ABI，这才是基础设施测试的生命线。

至于GitLab CI，它需要自建runner并维护Docker-in-Docker环境，而Travis CI原生支持services: docker，无需任何额外配置。我们曾为一个含Kubernetes依赖的role搭建GitLab runner，光是解决cgroup v2兼容问题就花了两天——而Travis上，sudo: false+services: docker两行配置搞定。

提示：Travis CI的syntax: 2.0配置已废弃，当前必须使用.travis.yml根目录文件+language: python声明，否则Molecule会因找不到Python解释器而静默失败。

2.2 Molecule的核心价值：不是“跑测试”，而是“演算契约”

Molecule常被误解为“Ansible版pytest”，这是致命误区。它的本质是基础设施契约演算引擎。当你定义一个scenario的platforms：

platforms: - name: instance image: geerlingguy/docker-${MOLECULE_DISTRO:-ubuntu1804}-ansible:latest privileged: true pre_build_image: true

你不是在声明“我要起一台Ubuntu 18.04机器”，而是在声明：“我的role必须能在Ubuntu 18.04的最小可行环境中，以非root用户身份，通过Docker标准网络栈，完成从基础包安装到服务启动的全生命周期验证”。

这个契约包含四个不可妥协的维度：

  • 环境保真度：geerlingguy/docker-ubuntu1804-ansible镜像预装了Python 3.6.9、OpenSSH 7.6p1、systemd 237，完全匹配Ubuntu 18.04.6 LTS官方仓库状态；
  • 权限约束力：privileged: true仅用于需要加载内核模块的场景（如iptables或kmod），普通role必须设为false，强制验证非特权操作可行性；
  • 网络确定性：Docker bridge网络确保localhost解析、端口绑定、防火墙规则全部按预期工作，避免Vagrant NAT模式下127.0.0.1与::1解析不一致的坑；
  • 状态隔离性：每次molecule test都会销毁并重建容器，杜绝“上次测试残留的apt缓存影响本次结果”的幽灵问题。

2.3 Ubuntu 18.04作为基线的三重硬性理由

选择Ubuntu 18.04绝非偶然，而是基于三个不可绕过的工程现实：

第一，Python生态断层线。Ansible 2.8+要求Python 3.6+，而Ubuntu 16.04默认Python 3.5.2，升级会破坏apt核心依赖；Ubuntu 20.04虽自带Python 3.8，但大量企业级role依赖的pywinrm在3.8下存在SSL握手bug。Ubuntu 18.04的Python 3.6.9是唯一经过Ansible官方CI矩阵验证的稳定版本。

第二，Docker运行时兼容性。Travis CI的dist: bionic环境预装Docker 19.03.8，其runc版本（1.0.0-rc10）与Ubuntu 18.04内核（4.15.0-128-generic）的cgroup v1接口完全匹配。我们曾将同一套Molecule配置切到dist: focal（Ubuntu 20.04），因cgroup v2默认启用，导致docker run --privileged容器内systemctl直接报错Failed to get D-Bus connection。

第三，Ansible Galaxy生态锚点。截至2021年，Ansible Galaxy上Top 100 role中，87个明确声明min_ansible_version: "2.8"，而该版本的CI测试矩阵中Ubuntu 18.04是唯一覆盖所有become_method（sudo/su/pbrun）的平台。这意味着你的role若只在CentOS 7上测试，可能在Ubuntu 18.04的become: yes场景下静默失败——因为/etc/sudoers默认策略差异。

3. 核心细节拆解：Molecule配置的每一行都在解决什么问题

3.1molecule.yml：不是模板，是基础设施的宪法

一个典型的molecule/default/molecule.yml配置，表面看是YAML，实则是对role运行边界的法律定义：

dependency: name: galaxy options: ignore-certs: true role-file: ${MOLECULE_PROJECT_DIRECTORY}/requirements.yml driver: name: docker platforms: - name: instance image: geerlingguy/docker-ubuntu1804-ansible:latest privileged: false pre_build_image: true volumes: - /sys/fs/cgroup:/sys/fs/cgroup:ro provisioner: name: ansible inventory: host_vars: instance: ansible_user: root ansible_connection: docker playbooks: converge: ${MOLECULE_PROJECT_DIRECTORY}/molecule/default/converge.yml verify: ${MOLECULE_PROJECT_DIRECTORY}/molecule/default/verify.yml verifier: name: testinfra options: sudo: true sudo-user: root

逐行解构其工程意图：

dependency: galaxy—— 强制role依赖通过Ansible Galaxy解析，而非git clone或pip install。原因：Galaxy的requirements.yml支持src+version精确锁定，避免git+https://...#v2.1.0这种写法在CI中因网络波动拉取到错误commit。我们曾因某依赖role的master分支被强制推送，导致线上部署突然失败。

driver: docker—— 明确拒绝Vagrant等重量级driver。这里有个关键细节：pre_build_image: true不是为了加速，而是为了规避Docker Hub拉取限频。Travis CI的免费计划每6小时限频100次，而geerlingguy镜像约280MB，频繁拉取极易触发toomanyrequests错误。pre_build_image: true会让Molecule在molecule create前先执行docker pull，配合Travis的cache: docker可将镜像拉取从单次120秒降至平均3.2秒。

platforms.volumes——/sys/fs/cgroup:/sys/fs/cgroup:ro这一行是systemd容器化的生命线。Ubuntu 18.04的systemd要求cgroup文件系统挂载，否则systemctl start nginx会报Failed to get D-Bus connection。只读挂载（:ro）既满足需求，又符合安全最小权限原则。

provisioner.inventory.host_vars.instance.ansible_connection: docker—— 这是Molecule区别于普通Ansible的关键。docker连接插件会自动注入docker exec -i <container> /bin/sh -c '...'命令，绕过SSH密钥管理、端口映射等复杂环节。实测显示，相比ansible_connection: ssh，它将converge阶段耗时降低41%，且100%规避Connection refused类网络超时问题。

verifier.options.sudo: true—— Testinfra验证器默认以非root用户运行，但Ansible role的最终状态（如/etc/nginx/conf.d/default.conf权限、nginx进程是否以www-data用户运行）必须用root权限检查。sudo: true会自动在Testinfra命令前加sudo，无需在test_default.py里写host.run('sudo ls -l /etc/nginx')。

3.2converge.yml：测试不是“跑playbook”，而是“验证收敛态”

很多新手把converge.yml写成：

- hosts: all roles: - my_role

这是危险的。真正的converge.yml必须包含幂等性验证闭环：

--- - name: Converge hosts: all gather_facts: true become: true vars: # 强制覆盖role内所有可变参数，确保测试环境纯净 my_role_config_file: "/tmp/my_role_test.conf" my_role_service_name: "my_role_test_service" pre_tasks: - name: Ensure test directory exists file: path: "/tmp/my_role_test" state: directory mode: '0755' roles: - role: my_role tags: ['converge'] post_tasks: - name: Verify service is enabled and running systemd: name: "{{ my_role_service_name }}" state: started enabled: true register: service_status - name: Fail if service not active assert: that: - service_status is succeeded - service_status.status.ActiveState == "active" msg: "Service {{ my_role_service_name }} failed to start or is not enabled"

关键设计点：

  • gather_facts: true：强制收集facts，避免role内when: ansible_distribution_major_version == "18"因facts未收集而跳过；
  • vars块覆盖所有role变量：防止role内部defaults/main.yml的默认值污染测试边界；
  • post_tasks中的assert：不是可选的“锦上添花”，而是收敛态的数学定义。Ansible的“幂等”不是“不报错”，而是“执行前后系统状态不变”。systemd模块返回的status.ActiveState是唯一可信的状态指标，比ps aux | grep字符串匹配可靠100倍。

3.3 Testinfra验证：用代码写运维SOP

Testinfra的Python测试文件molecule/default/tests/test_default.py，本质是将运维手册转化为可执行代码：

import pytest import os def test_my_role_config_file(host): """验证配置文件存在且权限正确""" f = host.file("/tmp/my_role_test.conf") assert f.exists assert f.is_file assert f.user == "root" assert f.group == "root" assert f.mode == 0o644 def test_my_role_service_running(host): """验证服务进程存在且监听正确端口""" service = host.service("my_role_test_service") assert service.is_running assert service.is_enabled def test_my_role_listening_port(host): """验证服务监听指定端口""" socket = host.socket("tcp://0.0.0.0:8080") assert socket.is_listening @pytest.mark.parametrize("package", [ "curl", "jq", "python3-pip" ]) def test_required_packages_installed(host, package): """参数化验证所有依赖包已安装""" pkg = host.package(package) assert pkg.is_installed # 额外验证版本约束（如果role有明确要求） if package == "curl": assert pkg.version.startswith("7.64")

这里藏着三个实战技巧：

  • @pytest.mark.parametrize：避免为每个包写重复的assert，将包列表作为测试数据源，Molecule会为每个包生成独立测试用例，失败时精准定位到具体包；
  • host.socket("tcp://0.0.0.0:8080")：比host.run("netstat -tuln | grep :8080")可靠，后者依赖netstat命令存在且输出格式稳定，而socket检查直接调用Linuxgetsockopt系统调用；
  • 版本验证pkg.version.startswith("7.64")：Ubuntu 18.04的curl固定为7.64.0-4ubuntu1.2，硬编码版本前缀比正则更稳定，且能捕获上游仓库意外升级导致的兼容性断裂。

注意：Testinfra的host.service()在Ubuntu 18.04上需systemd支持，若role目标是SysV init系统，必须改用host.process.get(comm="my_service")，否则测试永远失败。

4. 实操全流程：从零搭建可落地的CI流水线

4.1 环境准备：Travis CI账户与仓库授权

第一步不是写代码，而是建立信任链。登录Travis CI（travis-ci.com），用GitHub账户授权。关键操作：

  • 进入Settings→Permissions，勾选Repository access下的Only select repositories，手动添加你的Ansible role仓库；
  • 关闭Build pushed branches和Build pushed pull requests的全局开关，改为在.travis.yml中精确控制触发条件；
  • 在Environment Variables中添加DOCKER_USERNAME和DOCKER_PASSWORD（用于私有镜像拉取），切勿明文写在.travis.yml中。

为什么必须手动授权？因为Travis CI的OAuth token默认权限过大，若仓库被恶意fork，攻击者可通过.travis.yml窃取token。我们曾发现某开源role的.travis.yml中硬编码了export AWS_ACCESS_KEY_ID=xxx，导致AWS账单暴增$23,000。

4.2 初始化Molecule：不是molecule init，而是“契约初始化”

在role根目录执行：

# 创建molecule目录结构 molecule init scenario --role-name my_role --scenario-name default --driver-name docker # 删除无用文件（Travis CI不需要Vagrant） rm -rf molecule/default/Vagrantfile # 替换为Ubuntu 18.04专用配置 cat > molecule/default/molecule.yml << 'EOF' dependency: name: galaxy driver: name: docker platforms: - name: instance image: geerlingguy/docker-ubuntu1804-ansible:latest privileged: false pre_build_image: true volumes: - /sys/fs/cgroup:/sys/fs/cgroup:ro provisioner: name: ansible inventory: host_vars: instance: ansible_user: root ansible_connection: docker playbooks: converge: ${MOLECULE_PROJECT_DIRECTORY}/molecule/default/converge.yml verify: ${MOLECULE_PROJECT_DIRECTORY}/molecule/default/verify.yml verifier: name: testinfra options: sudo: true sudo-user: root EOF

重点说明molecule init scenario的深层含义：它生成的不是测试脚本，而是基础设施契约的初始版本。--driver-name docker强制绑定容器化，--scenario-name default定义了主验证路径，后续可追加molecule init scenario --scenario-name centos7扩展多平台测试。

4.3 编写Travis CI配置：.travis.yml的每一行都是性能杠杆

# .travis.yml language: python python: "3.6" # 锁定Ubuntu 18.04环境 dist: bionic sudo: false # 启用Docker服务 services: - docker # 缓存Docker镜像，避免重复拉取 cache: directories: - $HOME/.cache/pip - $HOME/.molecule pip: true docker: true # 安装Ansible和Molecule install: - pip install --upgrade pip setuptools wheel - pip install ansible==2.9.27 molecule==3.4.0 testinfra==6.10.0 # 预检：验证role语法和依赖 before_script: - ansible-playbook --syntax-check molecule/default/converge.yml - ansible-galaxy install -r requirements.yml -p ./roles --force # 核心测试：Molecule全生命周期 script: - molecule test --all # 清理：显式删除容器，避免Travis runner磁盘爆满 after_script: - docker system prune -f --filter "until=24h" # 仅对PR和main分支触发 branches: only: - /^main$/ - /^develop$/ - /^feature\/.*$/ # 跳过特定提交（如文档更新） if: type != pull_request AND commit_message !~ /(docs|documentation|chore)/i

逐项解析性能关键点：

  • sudo: false：Travis的sudo: true模式启动的是完整VM，而sudo: false是容器化环境，启动时间从42秒降至8.3秒；
  • cache: docker：Docker镜像缓存使docker pull geerlingguy/docker-ubuntu1804-ansible从120秒降至3.2秒；
  • ansible==2.9.27：Ansible 2.10+移除了include_role的动态变量支持，而大量legacy role依赖此特性。2.9.27是最后一个兼容所有语法的稳定版；
  • molecule test --all：等价于molecule destroy && molecule create && molecule converge && molecule idempotence && molecule verify && molecule destroy，确保每次测试都是干净的原子操作；
  • after_script清理：Travis的免费runner磁盘仅15GB，若不清理，第3次测试就会因no space left on device失败。

4.4 多平台测试扩展：从Ubuntu 18.04到全栈验证

当基础CI稳定运行后，扩展多平台只需新增scenario：

# 初始化CentOS 7 scenario molecule init scenario --scenario-name centos7 --driver-name docker # 修改其molecule.yml cat > molecule/centos7/molecule.yml << 'EOF' platforms: - name: instance image: geerlingguy/docker-centos7-ansible:latest privileged: false pre_build_image: true volumes: - /sys/fs/cgroup:/sys/fs/cgroup:ro provisioner: name: ansible inventory: host_vars: instance: ansible_user: root ansible_connection: docker EOF

关键适配点：

  • CentOS 7的systemd版本为219，不支持State=inactive等新状态，test_default.py中service.is_running需改为host.process.get(comm="my_service").args；
  • geerlingguy/docker-centos7-ansible镜像使用epel-release而非apt，test_required_packages_installed中host.package("curl")需改为host.package("curl")（RPM包名相同，但底层调用不同）；
  • 所有platforms的image必须显式指定，不能依赖MOLECULE_DISTRO环境变量，否则Travis中不同scenario会相互污染。

此时.travis.yml的script段升级为：

script: - molecule test --scenario-name default - molecule test --scenario-name centos7 - molecule test --scenario-name ubuntu2004

实测数据：单platform测试平均耗时2分18秒，3个platform并行（Travis允许2个job并发）总耗时仍控制在3分05秒内，比串行快42%。

5. 常见问题与排查技巧：那些文档里不会写的血泪教训

5.1 “Connection refused”不是网络问题，是Docker权限问题

现象：molecule converge卡在TASK [Gathering Facts]，日志显示FAILED! => {"msg": "Failed to connect to the host via ssh: ssh: connect to host 127.0.0.1 port 22: Connection refused"

真相：你误用了ansible_connection: ssh。在Docker driver下，Molecule默认通过docker exec通信，根本不需要SSH。解决方案：

  • 检查molecule.yml中provisioner.inventory.host_vars.instance.ansible_connection是否为docker；
  • 若必须用SSH（如测试SSH加固role），需在platforms中添加port: 2222并映射，且geerlingguy镜像需替换为geerlingguy/docker-ubuntu1804-ansible-ssh。

5.2 “idempotence test failed”不是role有bug，是验证逻辑缺陷

现象：molecule test在idempotence阶段失败，但手动执行两次ansible-playbook结果一致。

根源：Molecule的idempotence测试默认比较changed计数，而某些模块（如lineinfile）在文件末尾添加空行时，Ansible会报告changed=1，但实际系统状态未变。解决方案：

  • 在converge.yml中为敏感任务添加check_mode: no，强制跳过check模式；
  • 或在molecule.yml中禁用idempotence测试：verifier: {name: testinfra}（移除idempotence阶段）；
  • 最佳实践：在post_tasks中添加debug: var=ansible_facts，对比两次执行的ansible_facts哈希值，这才是真正的幂等性验证。

5.3 Travis CI构建失败：docker: command not found

现象：Travis日志首行即报错/home/travis/build.sh: line 104: docker: command not found

原因：services: docker声明必须与sudo: false共存。若sudo: true，Travis会启动VM而非容器，Docker不在PATH中。修复方案：

  • 确认.travis.yml中sudo: false存在且未被注释；
  • 删除before_install中所有sudo apt-get install docker-ce类命令，Travis的bionic环境已预装Docker 19.03.8；
  • 若仍失败，添加before_install: - which docker || echo "Docker missing"快速定位。

5.4 Testinfra验证失败：AssertionError: Service my_service is not running

现象：molecule verify报错，但手动进入容器docker exec -it <id> bash后systemctl status my_service显示active。

诊断路径：

  1. 检查converge.yml中systemd模块是否加了state: started和enabled: true；
  2. 进入容器执行journalctl -u my_service -n 50 --no-pager，查看服务启动日志；
  3. 常见陷阱：my_service依赖network-online.target，而Docker容器启动时网络未就绪。解决方案：在service文件中添加After=network.target，或在converge.yml中加wait_for_connection: timeout=30。

5.5 镜像拉取限频：toomanyrequests: You have reached your pull rate limit

现象：molecule create失败，日志显示toomanyrequests: You have reached your pull rate limit for anonymous users

根治方案：

  • 在Travis Settings中添加DOCKER_USERNAME和DOCKER_PASSWORD环境变量；
  • 修改.travis.yml，在install段添加：
    - echo "$DOCKER_PASSWORD" | docker login -u "$DOCKER_USERNAME" --password-stdin
  • 将molecule.yml中image改为私有仓库地址，如my-registry.example.com/geerlingguy/ubuntu1804-ansible。

实操心得：我们为所有role统一维护一个docker-registry，将geerlingguy镜像docker pull后docker tag并docker push到私有库，彻底规避Docker Hub限频。同步脚本仅需12行Bash，却让CI稳定性从92%提升至99.8%。

6. 进阶实战：让持续测试真正驱动架构演进

6.1 从“测试通过”到“质量度量”：提取可行动指标

Molecule本身不提供质量报告，但我们可以用简单工具构建度量体系：

# 在.travis.yml的after_success段添加 after_success: - | # 提取测试覆盖率（基于Testinfra用例数） TEST_COUNT=$(find molecule/*/tests -name "test_*.py" | xargs cat | grep "def test_" | wc -l) # 提取role任务数（衡量复杂度） TASK_COUNT=$(grep -r "^\s*-.*:" roles/my_role/tasks/ | wc -l) # 计算测试密度 DENSITY=$(echo "scale=2; $TEST_COUNT / $TASK_COUNT" | bc) echo "Test Density: $DENSITY (target > 0.8)" # 发送指标到内部Dashboard curl -X POST https://metrics.internal/api/v1/ansible \ -H "Content-Type: application/json" \ -d "{\"role\":\"my_role\",\"density\":$DENSITY,\"timestamp\":\"$(date -u +%s)\"}"

这个指标驱动我们重构了3个高风险role：当DENSITY < 0.5时，自动触发molecule init scenario --scenario-name security，强制添加CVE扫描、密码强度验证等安全测试场景。

6.2 与Ansible Lint集成：在CI中拦截反模式

在.travis.yml的before_script中加入：

- pip install ansible-lint==4.3.7 - ansible-lint -x ANSIBLE0011,ANSIBLE0012 roles/my_role/ # 忽略已知误报

重点拦截的反模式：

  • ANSIBLE0011：command模块缺少creates/removes参数，导致非幂等；
  • ANSIBLE0012：shell模块未加executable，在Ubuntu 18.04的/bin/sh下行为异常；
  • 自定义规则：检测copy模块是否使用content而非src，强制静态文件走template模块。

6.3 生产就绪：将Molecule测试嵌入Ansible Tower/AWX

Molecule测试通过只是准入门槛，最终要接入生产调度系统。我们在AWX中创建专用Job Template：

  • Inventory：指向Travis CI构建机的IP（通过SSH密钥认证）；
  • Playbook：/opt/molecule-runner/run-molecule.yml；
  • Extra Variables：
    { "molecule_role_path": "/var/lib/awx/projects/my_role", "molecule_scenario": "production" }
  • Limit：localhost，确保在AWX控制节点本地执行。

这样，每次AWX发布新版本role前，自动触发Molecule全场景测试，失败则阻断发布流程。上线成功率从83%提升至99.2%，故障平均修复时间（MTTR）从47分钟降至6.3分钟。

最后分享一个小技巧：在molecule.yml中设置log: true，Molecule会生成molecule/logs/目录，里面包含每次测试的完整Ansible日志。我们用Logstash将其接入ELK，构建了Ansible测试的APM系统——哪个role的converge阶段最慢？哪个platform的verify失败率最高？数据不会说谎，它只告诉你下一步该优化哪里。