Ansibleのcheckモードとdiffでドライラン検証する方法｜本番適用前に変更内容を確認する運用設計

この記事のポイント

・ansible-playbook --check --diffで本番変更内容を事前に確認できる
・diffの「---」が変更前、「+++」が変更後の内容を示す
・commandとshellモジュールはcheckモードでスキップされる点に注意
・本番適用前は「check→出力確認→apply」の3ステップが基本形

# ドライランモードで実行する（実際の変更は加えない）
ansible-playbook site.yml -i inventory/production --check

# 差分を表示しながら実行する（実際に変更が適用される）
ansible-playbook site.yml -i inventory/production --diff

# ドライラン + 差分表示（本番適用前の確認に使う）
ansible-playbook site.yml -i inventory/production --check --diff

PLAY [webservers] ************************************************************

TASK [Gathering Facts] *******************************************************
ok: [web01.example.internal]
ok: [web02.example.internal]

TASK [nginx : ensure nginx package is installed] *****************************
ok: [web01.example.internal]
ok: [web02.example.internal]

TASK [nginx : deploy /etc/nginx/nginx.conf] **********************************
--- before: /etc/nginx/nginx.conf
+++ after: /root/.ansible/tmp/ansible-tmp-1719820045.23-98723-45612/source
@@ -10,7 +10,7 @@
     sendfile        on;
-    keepalive_timeout  65;
+    keepalive_timeout  75;
     server_tokens   off;

changed: [web01.example.internal]
ok: [web02.example.internal]

TASK [nginx : ensure nginx is running and enabled] ***************************
ok: [web01.example.internal]
ok: [web02.example.internal]

PLAY RECAP *******************************************************************
web01.example.internal  : ok=4    changed=1    unreachable=0    failed=0
web02.example.internal  : ok=4    changed=0    unreachable=0    failed=0

Ansibleの基礎からしっかり学びたい方へ

checkモードを正しく使いこなすには、Playbook設計・モジュールの挙動・インベントリ管理の理解が前提になります。
現役エンジニアによるハンズオン形式のセミナーで、実務で通用する構成管理スキルを体系的に身につけませんか。
＞＞ Ansible実践セミナーの詳細はこちら

# ドライラン結果をファイルに保存しながら画面にも表示する
ansible-playbook site.yml -i inventory/production --check --diff   | tee /tmp/ansible-check-$(date +%Y%m%d-%H%M%S).log

# tasks/main.yml の例

# このタスクはcheckモードでも必ず実行する（例: 事前確認コマンド）
- name: check disk free space
  command: df -h /var
  check_mode: false
  register: df_result
  changed_when: false

# このタスクはcheckモードの通常の挙動に従う（シミュレーションのみ）
- name: deploy application config
  template:
    src: app.conf.j2
    dest: /etc/myapp/app.conf
  notify: restart myapp

# checkモードかどうかによって処理を切り替える例
- name: show notice when running in check mode
  debug:
    msg: "ドライランモードで実行中です。実際の変更は行われません。"
  when: ansible_check_mode

- name: run database migration (skip in check mode)
  command: /opt/myapp/bin/migrate --run
  when: not ansible_check_mode

# NG例: checkモードでは command がスキップされるため
#       result.stdout が存在せず後続タスクがエラーになる
- name: get current config version
  command: /opt/myapp/bin/version --current
  register: result

- name: apply config if version is old
  template:
    src: config.j2
    dest: /etc/myapp/config
  when: result.stdout != "v2.0"

# OK例: check_mode: false で強制実行して register を確実に取得する
- name: get current config version
  command: /opt/myapp/bin/version --current
  register: result
  check_mode: false
  changed_when: false

# ディレクトリ作成タスクをcheckモードでも実行する例
- name: ensure config directory exists
  file:
    path: /etc/myapp/conf.d
    state: directory
    mode: "0755"
  check_mode: false

# 特定のロールのみドライラン確認する
ansible-playbook site.yml -i inventory/production --check --diff --tags nginx

# 特定のホストのみドライラン確認する
ansible-playbook site.yml -i inventory/production --check --diff --limit web01.example.internal