1. 導入：なぜ「いきなり実行」が怖いのか？
インフラエンジニアにとって、サーバーの設定変更は常に緊張を伴う作業です。「設定ファイルを一行書き換えただけでサービスが停止した」「意図しない設定で上書きされてしまった」といった経験は、誰しも一度は避けたいものですよね。Ansibleの「Dry Run（–checkオプション）」は、まさにそんな不安を解消するためのツールです。実際に設定を変更することなく、「実行したらどうなるか」をシミュレートできるため、本番環境への適用前に必須のステップとなります。
2. 基礎知識：Dry Runと冪等性（べきとうせい）
Ansibleの最大の特徴は「冪等性（べきとうせい）」です。これは「何度同じ操作を繰り返しても、最終的な結果が同じになる」という性質を指します。Dry Runを行うと、Ansibleはこの冪等性を利用して、「今のサーバーの状態」と「Playbookで指定した状態」を比較し、差分があるかどうかを判定します。
・–check: 設定変更を行わず、変更が必要なタスクのみを特定します。
・–diff: 設定ファイルなどの「中身がどう変わるか」まで詳細に表示します。
3. 実装/解決策：まずはこのコマンドで確認しよう
AnsibleのPlaybookを実行する際に、コマンドの末尾に –check をつけるだけでシミュレーションが可能です。さらに –diff を組み合わせると、ファイル内のどこが書き換わるかまで確認できるため、事故を未然に防ぐ確率が劇的に上がります。
実行コマンド例：
ansible-playbook site.yml –check –diff
4. サンプルプログラム：動作確認用のPlaybook
以下は、Webサーバーの設定ファイル（例：index.html）の内容を安全に更新するためのサンプルコードです。
—
- name: Webサーバーの安全な設定確認
hosts: webservers
tasks:
- name: index.htmlの内容を更新する（テスト用）
copy:
content: “Hello, Ansible Dry Run!”
dest: /var/www/html/index.html
owner: root
mode: ‘0644’
# このタスクを実行すると、現在のファイル内容との差分が確認できます
# –check をつけて実行することで、ファイルは書き換えられません
5. 応用・注意点：現場で陥りやすい罠
Dry Runには非常に便利な反面、注意点もあります。
・すべてのタスクがチェックできるわけではない:
shellモジュールやcommandモジュールなどで実行する「自作スクリプト」は、Ansibleがその中身を判断できないため、–checkを付けても「変更あり（changed）」と判定されなかったり、逆に危険な動作を検知できなかったりします。できる限りcopyやtemplateなどの標準モジュールを使うのが、安全運用のコツです。
・「依存関係」の盲点:
Dry Runはあくまで「そのタスク単体」のシミュレーションです。前のタスクで作成されるはずだったディレクトリが存在しない場合、後続のタスクがエラーになることがあります。
まずは開発環境で –check –diff を実行する癖をつけて、インフラ構築の安全性を高めていきましょう！
コメント