AnsibleのWindows管理入門｜WinRM設定とansible.windows collectionで混在環境を自動化する方法

この記事のポイント

・AnsibleはWinRM（ポート5985/5986）でWindows Serverに接続して管理できる
・Windows側でEnable-PSRemoting -Forceを実行してWinRMを有効化する
・インベントリにansible_connection: winrmを設定するだけで既存のPlaybook形式が使える
・同じPlaybookを何度実行しても安全な冪等性で、win_service・win_package・win_copyを一括管理できる

# WinRM リスナーを有効化（HTTP・ポート 5985 でリスナーが作られる）
Enable-PSRemoting -Force

# 実行後にリスナーを確認
winrm enumerate winrm/config/listener

# 出力例（Windows Server 2022 実機）
Listener
    Address = *
    Transport = HTTP
    Port = 5985
    Hostname
    Enabled = true
    URLPrefix = wsman
    CertificateThumbprint
    ListeningOn = 192.168.xxx.xxx, 127.0.0.1

# NTLM 認証の有効状態を確認する
winrm get winrm/config/service/auth

# 出力例（Negotiate = true であれば NTLM が有効）
Auth
    Basic = false
    Kerberos = true
    Negotiate = true
    Certificate = false
    CredSSP = false
    CbtHardeningLevel = Relaxed

# Negotiate が false の場合は有効化する
winrm set winrm/config/service/auth @{Negotiate="true"}

# ポート 5985 の受信規則を確認する
Get-NetFirewallRule -DisplayName "*Windows Remote Management*"

# ルールが無効の場合は有効化する
Enable-NetFirewallRule -DisplayName "Windows Remote Management (HTTP-In)"

# pywinrm をインストール（RHEL 10 / Rocky Linux 9 の場合）
pip3 install pywinrm

# インストール確認
python3 -c "import winrm; print(winrm.__version__)"
# 出力例: 0.4.3

# Kerberos 認証を使う場合は追加でインストール
pip3 install pywinrm[kerberos]

# inventory/hosts.yml

all:
  children:
    windows:
      hosts:
        win-server01:
          ansible_host: 192.168.1.100
        win-server02:
          ansible_host: 192.168.1.101
      vars:
        ansible_user: Administrator
        ansible_password: "{{ vault_windows_password }}"
        ansible_connection: winrm
        ansible_winrm_transport: ntlm
        ansible_port: 5985
        ansible_winrm_server_cert_validation: ignore  # テスト環境のみ

# group_vars ディレクトリを作成して Windows 用の Vault ファイルを作る
mkdir -p group_vars/windows/

# 暗号化された変数ファイルを新規作成（Vault パスワードを入力）
ansible-vault create group_vars/windows/vault.yml

# ファイル内容（エディタが開くので以下を記入して保存）
vault_windows_password: "YourSecurePassword123!"

# Vault ファイルを使って Playbook を実行する
ansible-playbook site.yml -i inventory/hosts.yml --ask-vault-pass

# ansible.cfg（プロジェクトルートに配置）
[defaults]
inventory = inventory/hosts.yml
host_key_checking = False
deprecation_warnings = False

[winrm]
# WinRM 接続タイムアウトを延長する（デフォルト 30 秒）
operation_timeout_sec = 60
read_timeout_sec = 70

# ansible コマンドで win_ping を実行
$ ansible windows -m ansible.windows.win_ping -i inventory/hosts.yml

# 接続成功時の出力例（検証サーバー 192.168.1.100/101 で確認）
win-server01 | SUCCESS => {
    "changed": false,
    "ping": "pong"
}
win-server02 | SUCCESS => {
    "changed": false,
    "ping": "pong"
}

ansible-galaxy collection install ansible.windows

# IIS（W3SVC）を起動して自動起動を有効にする
- name: IIS サービスを起動・自動起動に設定する
  ansible.windows.win_service:
    name: W3SVC
    state: started
    start_mode: auto

# SQL Server エージェントを停止する
- name: SQL Server エージェントサービスを停止する
  ansible.windows.win_service:
    name: SQLSERVERAGENT
    state: stopped
    start_mode: manual

# ディレクトリを作成する
- name: アプリケーションログディレクトリを作成する
  ansible.windows.win_file:
    path: C:\App\logs
    state: directory

# Linux 側のファイルを Windows サーバーにコピーする
- name: 設定ファイルをコピーする
  ansible.windows.win_copy:
    src: files/app.config
    dest: C:\App\configpp.config

# 7-Zip をサイレントインストールする
- name: 7-Zip をインストールする
  ansible.windows.win_package:
    path: \nas01\packagesz2301-x64.msi
    state: present
    arguments: /quiet /norestart

# インストール状態を確認する（product_id はアプリ名または GUID）
- name: 7-Zip のインストール状態を確認する
  ansible.windows.win_package:
    product_id: 7-Zip
    state: present

# ローカル管理者の UAC リモートトークンフィルタリングを無効にする
# （NTLM 認証でフルアクセスが必要な場合に設定）
- name: LocalAccountTokenFilterPolicy を有効にする
  ansible.windows.win_regedit:
    path: HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    name: LocalAccountTokenFilterPolicy
    data: 1
    type: dword

# PowerShell コマンドでディスク空き容量を取得する
- name: C ドライブの空き容量を確認する
  ansible.windows.win_shell: |
    $disk = Get-PSDrive C
    Write-Output "Free: $($disk.Free / 1GB) GB"
  register: disk_info

- name: ディスク空き容量を表示する
  ansible.builtin.debug:
    msg: "{{ disk_info.stdout }}"

# playbook/setup-iis.yml
---
- name: IIS セットアップ
  hosts: windows
  handlers:
    - name: restart iis
      ansible.windows.win_service:
        name: W3SVC
        state: restarted

  tasks:
    - name: IIS の Windows 機能をインストールする
      ansible.windows.win_feature:
        name: Web-Server
        state: present
        include_management_tools: yes
      notify: restart iis

    - name: IIS サービスを起動して自動起動に設定する
      ansible.windows.win_service:
        name: W3SVC
        state: started
        start_mode: auto

    - name: アプリケーションのドキュメントルートを作成する
      ansible.windows.win_file:
        path: C:\inetpub\wwwroot\myapp
        state: directory

    - name: index.html をコピーする
      ansible.windows.win_copy:
        src: files/index.html
        dest: C:\inetpub\wwwroot\myapp\index.html
      notify: restart iis

$ ansible-playbook playbook/setup-iis.yml -i inventory/hosts.yml

PLAY [IIS セットアップ] **********************************

TASK [Gathering Facts] ***********************************
ok: [win-server01]

TASK [IIS の Windows 機能をインストールする] **************
changed: [win-server01]

TASK [IIS サービスを起動して自動起動に設定する] **********
changed: [win-server01]

TASK [アプリケーションのドキュメントルートを作成する] ****
changed: [win-server01]

TASK [index.html をコピーする] ***************************
changed: [win-server01]

RUNNING HANDLER [restart iis] ***************************
changed: [win-server01]

PLAY RECAP ***********************************************
win-server01 : ok=6  changed=5  unreachable=0  failed=0  skipped=0

# エラーメッセージ例
win-server01 | UNREACHABLE! => {
    "changed": false,
    "msg": "winrm connection error: ...[WinError 10061] 接続が拒否されました",
    "unreachable": true
}

# エラーメッセージ例
win-server01 | UNREACHABLE! => {
    "msg": "...(401) Unauthorized..."
}

# エラーメッセージ例
msg: "...[SSL: CERTIFICATE_VERIFY_FAILED]..."

# エラーメッセージ例（権限不足）
TASK [IIS の Windows 機能をインストールする] *****
fatal: [win-server01]: FAILED! => {
    "msg": "Access to the path is denied."
}