AnsibleのWindows管理入門｜WinRM設定とansible.windows collectionで混在環境を自動化する方法

この記事のポイント

・AnsibleはWinRM（ポート5985/5986）でWindows Serverに接続して管理できる
・Windows側でEnable-PSRemoting -Forceを実行してWinRMを有効化する
・インベントリにansible_connection: winrmを設定するだけで既存のPlaybook形式が使える
・win_service・win_package・win_copyでサービス・パッケージ・ファイルを一括管理できる

# WinRM リスナーを有効化（HTTP・ポート 5985 でリスナーが作られる）
Enable-PSRemoting -Force

# 実行後にリスナーを確認
winrm enumerate winrm/config/listener

# 出力例（Windows Server 2022 実機）
Listener
    Address = *
    Transport = HTTP
    Port = 5985
    Hostname
    Enabled = true
    URLPrefix = wsman
    CertificateThumbprint
    ListeningOn = 192.168.xxx.xxx, 127.0.0.1

# ポート 5985 の受信規則を確認する
Get-NetFirewallRule -DisplayName "*Windows Remote Management*"

# ルールが無効の場合は有効化する
Enable-NetFirewallRule -DisplayName "Windows Remote Management (HTTP-In)"

# pywinrm をインストール（RHEL 10 / Rocky Linux 9 の場合）
pip3 install pywinrm

# インストール確認
python3 -c "import winrm; print(winrm.__version__)"
# 出力例: 0.4.3

# Kerberos 認証を使う場合は追加でインストール
pip3 install pywinrm[kerberos]

# inventory/hosts.yml

all:
  children:
    windows:
      hosts:
        win-server01:
          ansible_host: 192.168.1.100
        win-server02:
          ansible_host: 192.168.1.101
      vars:
        ansible_user: Administrator
        ansible_password: "{{ vault_windows_password }}"
        ansible_connection: winrm
        ansible_winrm_transport: ntlm
        ansible_port: 5985
        ansible_winrm_server_cert_validation: ignore  # テスト環境のみ

# ansible コマンドで win_ping を実行
$ ansible windows -m ansible.windows.win_ping -i inventory/hosts.yml

# 接続成功時の出力例（検証サーバー 192.168.1.100/101 で確認）
win-server01 | SUCCESS => {
    "changed": false,
    "ping": "pong"
}
win-server02 | SUCCESS => {
    "changed": false,
    "ping": "pong"
}

ansible-galaxy collection install ansible.windows

# IIS（W3SVC）を起動して自動起動を有効にする
- name: IIS サービスを起動・自動起動に設定する
  ansible.windows.win_service:
    name: W3SVC
    state: started
    start_mode: auto

# SQL Server エージェントを停止する
- name: SQL Server エージェントサービスを停止する
  ansible.windows.win_service:
    name: SQLSERVERAGENT
    state: stopped
    start_mode: manual

# ディレクトリを作成する
- name: アプリケーションログディレクトリを作成する
  ansible.windows.win_file:
    path: C:\App\logs
    state: directory

# Linux 側のファイルを Windows サーバーにコピーする
- name: 設定ファイルをコピーする
  ansible.windows.win_copy:
    src: files/app.config
    dest: C:\App\config\app.config

# 7-Zip をサイレントインストールする
- name: 7-Zip をインストールする
  ansible.windows.win_package:
    path: \\nas01\packages\7z2301-x64.msi
    state: present
    arguments: /quiet /norestart

# インストール状態を確認する（product_id はアプリ名または GUID）
- name: 7-Zip のインストール状態を確認する
  ansible.windows.win_package:
    product_id: 7-Zip
    state: present

# ローカル管理者の UAC リモートトークンフィルタリングを無効にする
# （NTLM 認証でフルアクセスが必要な場合に設定）
- name: LocalAccountTokenFilterPolicy を有効にする
  ansible.windows.win_regedit:
    path: HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    name: LocalAccountTokenFilterPolicy
    data: 1
    type: dword

# playbook/setup-iis.yml
---
- name: IIS セットアップ
  hosts: windows
  tasks:
    - name: IIS の Windows 機能をインストールする
      ansible.windows.win_feature:
        name: Web-Server
        state: present
        include_management_tools: yes

    - name: IIS サービスを起動して自動起動に設定する
      ansible.windows.win_service:
        name: W3SVC
        state: started
        start_mode: auto

    - name: アプリケーションのドキュメントルートを作成する
      ansible.windows.win_file:
        path: C:\inetpub\wwwroot\myapp
        state: directory

    - name: index.html をコピーする
      ansible.windows.win_copy:
        src: files/index.html
        dest: C:\inetpub\wwwroot\myapp\index.html

$ ansible-playbook playbook/setup-iis.yml -i inventory/hosts.yml

PLAY [IIS セットアップ] **********************************

TASK [Gathering Facts] ***********************************
ok: [win-server01]

TASK [IIS の Windows 機能をインストールする] **************
changed: [win-server01]

TASK [IIS サービスを起動して自動起動に設定する] **********
changed: [win-server01]

TASK [アプリケーションのドキュメントルートを作成する] ****
changed: [win-server01]

TASK [index.html をコピーする] ***************************
changed: [win-server01]

PLAY RECAP ***********************************************
win-server01 : ok=5  changed=4  unreachable=0  failed=0  skipped=0

# エラーメッセージ例
win-server01 | UNREACHABLE! => {
    "changed": false,
    "msg": "winrm connection error: ...[WinError 10061] 接続が拒否されました",
    "unreachable": true
}

# エラーメッセージ例
win-server01 | UNREACHABLE! => {
    "msg": "...(401) Unauthorized..."
}

# エラーメッセージ例
msg: "...[SSL: CERTIFICATE_VERIFY_FAILED]..."