Ansibleの接続設計｜コントロールノードとSSH鍵・踏み台サーバーの設定からインベントリ変数まで

この記事のポイント

・Ansibleの接続はインベントリの変数（ansible_host / ansible_user等）で制御する
・SSH鍵配布はssh-copy-idで行い、known_hostsの確認を先に済ませる
・踏み台経由はansible_ssh_common_argsにProxyJumpを指定するだけ
・ansible pingが全ホストでSUCCESSになれば接続設計は完成

# inventory/hosts.ini
[webservers]
web01 ansible_host=192.168.10.11 ansible_user=rocky ansible_ssh_private_key_file=~/.ssh/ansible_id_rsa

[dbservers]
db01  ansible_host=192.168.10.21 ansible_user=rocky ansible_ssh_private_key_file=~/.ssh/ansible_id_rsa

[all:vars]
ansible_become=true
ansible_become_user=root

all:
  vars:
    ansible_become: true
    ansible_become_user: root
  children:
    webservers:
      hosts:
        web01:
          ansible_host: 192.168.10.11
          ansible_user: rocky
          ansible_ssh_private_key_file: ~/.ssh/ansible_id_rsa
    dbservers:
      hosts:
        db01:
          ansible_host: 192.168.10.21
          ansible_user: rocky
          ansible_ssh_private_key_file: ~/.ssh/ansible_id_rsa

# コントロールノードで実行
# Ansible専用のED25519鍵ペアを生成（パスフレーズなし）
ssh-keygen -t ed25519 -C "ansible-control" -f ~/.ssh/ansible_id_rsa -N ""

# 確認
ls -la ~/.ssh/ansible_id_rsa*
# 出力例:
# -rw------- 1 rocky rocky 399 Aug  5 09:12 /home/rocky/.ssh/ansible_id_rsa
# -rw-r--r-- 1 rocky rocky  93 Aug  5 09:12 /home/rocky/.ssh/ansible_id_rsa.pub

# 公開鍵をターゲットノードへ配布
ssh-copy-id -i ~/.ssh/ansible_id_rsa.pub rocky@192.168.10.11

# 手動で配布する場合（ssh-copy-idが使えない環境）
# ターゲットノードにログインして以下を実行
mkdir -p ~/.ssh
chmod 700 ~/.ssh
echo "（公開鍵の内容をペースト）" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

# inventory/hosts.ini の内容
[webservers]
web01 ansible_host=192.168.10.11
web02 ansible_host=192.168.10.12

[dbservers]
db01 ansible_host=192.168.10.21

[all:vars]
ansible_user=rocky
ansible_ssh_private_key_file=~/.ssh/ansible_id_rsa
ansible_become=true
ansible_become_user=root

# 全ホストへのping確認
ansible -i inventory/hosts.ini all -m ping

# 正常時の出力例:
# web01 | SUCCESS => {
#     "ansible_facts": {
#         "discovered_interpreter_python": "/usr/bin/python3"
#     },
#     "changed": false,
#     "ping": "pong"
# }
# web02 | SUCCESS => { ... }
# db01  | SUCCESS => { ... }

# ansible.cfg（ansible-playbookを実行するディレクトリに置く）
[defaults]
host_key_checking = False
inventory = inventory/hosts.ini

Ansibleの接続からPlaybook設計まで体系的に学びたい方へ

接続設計はAnsible自動化の入口にすぎません。インベントリ設計・role構造・Vault連携を実際のサーバーで動かしながら学ぶには、ハンズオン形式のセミナーが最短ルートです。
＞＞ Ansible実践セミナーの詳細はこちら

# インベントリでProxyJumpを設定する
[webservers]
web01 ansible_host=192.168.10.11

[all:vars]
ansible_user=rocky
ansible_ssh_private_key_file=~/.ssh/ansible_id_rsa
ansible_ssh_common_args='-o ProxyJump=ec2-user@bastion.example.com'

# ~/.ssh/config に踏み台設定を書く方法（インベントリをシンプルに保つ）
Host bastion
  HostName bastion.example.com
  User ec2-user
  IdentityFile ~/.ssh/bastion_key

Host 192.168.10.*
  ProxyJump bastion
  IdentityFile ~/.ssh/ansible_id_rsa

# この場合のインベントリはシンプルにできる
# [webservers]
# web01 ansible_host=192.168.10.11 ansible_user=rocky

# 踏み台経由のping確認（コントロールノードで実行）
ansible -i inventory/hosts.ini webservers -m ping

# 出力（正常時）:
# web01 | SUCCESS => {
#     "ansible_facts": {
#         "discovered_interpreter_python": "/usr/bin/python3.11"
#     },
#     "changed": false,
#     "ping": "pong"
# }

# 手動でSSH接続を試みる
ssh -i ~/.ssh/ansible_id_rsa rocky@192.168.10.11

# SSH接続できる場合はインベントリの記述を疑う
# 接続できない場合はfirewallまたはセキュリティグループを確認

# ターゲットノード側の /etc/sudoers.d/ansible の設定例
# visudo コマンドで編集するか、新規ファイルを作成する
rocky ALL=(ALL) NOPASSWD:ALL

# known_hostsから対象ホストのエントリを削除する
ssh-keygen -R 192.168.10.11

# 手動でフィンガープリントを確認してから再接続
ssh -i ~/.ssh/ansible_id_rsa rocky@192.168.10.11
# "Are you sure you want to continue connecting (yes/no)?" に yes で登録