AnsibleでWindowsを支配せよ：WinRMの泥沼を抜け出し、構成管理を「コード」へ昇華させる極意
こんにちは。インフラストラクチャを「運用」から「エンジニアリング」へと転換させるための技術を追求し続けているテックリードです。
「AnsibleはLinux用」という先入観は今すぐ捨ててください。WinRM（Windows Remote Management）の罠さえ制すれば、Windows Serverのプロビジョニングは劇的な速度で自動化できます。本稿では、現場で遭遇する「なぜか繋がらない」を撲滅し、チームの生産性を底上げするための、極めて実践的な知見を共有します。
—
1. 泥沼のWinRM設定を「冪等性」で制圧する
Windows管理の最大の壁は、最初の接続（WinRM）の確立です。ドメイン環境かワークグループ環境かによって挙動が異なりますが、まずは以下の「PowerShell自動化スクリプト」をテンプレート化してください。これを手動で打つのは2024年のエンジニアではありません。
現場で使うべき「WinRM初期化スクリプト」
WinRMを構成し、Ansibleからの接続を許可する
冪等性を担保するため、設定済みならスキップするロジックを組み込む
winrm quickconfig -q
winrm set winrm/config/service/Auth ‘@{Basic=”true”}’
winrm set winrm/config/service ‘@{AllowUnencrypted=”true”}’ # 検証環境用。本番はHTTPS必須
winrm set winrm/config/winrs ‘@{MaxMemoryPerShellMB=”1024″}’
Restart-Service WinRM
認証エラー対策の「必勝法」
Ansible側の`inventory`でハマる典型は、`ansible_winrm_server_cert_validation: ignore` の設定漏れです。また、ドメイン環境でKerberos認証を通すためには、`python-gssapi`をAnsible実行環境（Controller）に入れておくのが鉄則です。
—
2. 開発スピードを加速させる「神・構成管理」の流儀
推奨のディレクトリ構造（ベストプラクティス）
大規模チームで「誰が書いても同じクオリティ」を維持するための構成例です。
.
├── group_vars/
│ └── windows.yml # 全Windows共通の接続設定
├── roles/
│ └── web_server/ # 役割ごとの責務分離
│ ├── tasks/
│ │ └── main.yml
│ └── defaults/
│ └── main.yml # 変数はここに集約
├── site.yml # 全体定義
└── ansible.cfg # チーム共通設定
チームで共有すべき `ansible.cfg` の神設定
[defaults]
実行ログを可視化し、デバッグの迷宮入りを防ぐ
stdout_callback = yaml
プロセスの並列数を増やし、プロビジョニング時間を短縮
forks = 20
キャッシュを有効化し、ファクト収集時間を短縮
gathering = smart
fact_caching = jsonfile
fact_caching_connection = /tmp/ansible_cache
—
3. 実践：Windows専用モジュールの神髄
`win_shell`を多用するのは、Linuxでいう「全てを`shell`モジュールでやる」のと同じアンチパターンです。Windows専用モジュールを駆使して、冪等性を担保してください。
- `win_feature`: Windows機能（IISなど）の追加。`state: present`を指定するだけで、インストール済みか判断してくれます。
- `win_package`: MSIパッケージの管理。これを使えば、インストーラーの戻り値まで制御可能です。
- `win_regedit`: レジストリ操作。`win_shell`で`reg add`を叩くのはやめましょう。
—
4. プロの隠れたテクニック：生産性向上編
開発を劇的に加速するエディタ設定
- VS Codeの「Ansible」拡張機能: Red Hat公式の拡張を絶対に入れてください。YAMLのシンタックスチェックだけでなく、モジュールのパラメータ補完が効くようになります。
- `.ansible-lint`の厳格化: チームのGitHubリポジトリには必ず`ansible-lint`をCIに組み込んでください。これにより、レビューの手間が半分になります。
キーボードショートカット活用術
- Ansible実行時のTips:
- `–check` (Dry Run): 実行前に必ず通す。
- `–diff`: どこが変更されるか差分を表示させる（これが無いと怖くて運用できません）。
- `–limit`: 特定のノードだけを叩く。`ansible-playbook -i inv site.yml -l web01 –diff` は指が覚えるほど叩くべきコマンドです。
—
結論：コードによる支配
Windows Serverのプロビジョニングを「ポチポチ作業」から「Git管理されたコード」に変えることは、単なる自動化ではありません。「インフラの挙動を完全に再現可能にする」という、SREとしての究極の責務を果たす行為です。
WinRMの設定で躓いたら、迷わず`win_ping`モジュールで接続テストを行い、一つずつ層を剥がすようにデバッグしてください。壁を越えた先には、驚くほど静かで、確実な自動化の世界が待っています。
あなたのインフラに、コードによる秩序を。現場からは以上です。