Ansible批量配置目录ACL需先确认文件系统支持acl挂载选项，再用acl模块设置用户/组权限，结合file模块管理基础权限，最后用getfacl验证或setfacl -b清理。
在 Ansible 中批量分发与配置目录的 ACL（Access Control List）规则，核心是用 file 模块配合 acl 模块，并确保被控节点已启用 ACL 支持。ACL 不是普通权限的替代，而是对 user/group/other 之外的精细授权补充，比如给某个运维账号单独授予某业务目录的读写权，而不动原有属主权限。
确认目标系统支持 ACL 并挂载选项正确
ACL 依赖文件系统挂载时开启 acl 选项。批量检查前先确认：
- 运行
mount | grep " / "或findmnt -o SOURCE,TARGET,FSTYPE,OPTIONS /，确认根分区或目标目录所在分区的挂载参数含acl - 若无，需修改
/etc/fstab对应行，例如：/dev/sdb1 /data ext4 defaults,acl 0 2，再执行mount -o remount /data - Ansible 中可用
command模块做预检：ansible webservers -m command -a "getfacl /data | head -3"，若报错Operation not supported就说明未启用
用 acl 模块设置单条或多条 ACL 规则
Ansible 的 acl 模块专为 ACL 管理设计，比用 shell 调 setfacl 更安全、幂等、可读性强：
- 给用户
deploy对/opt/app/logs目录设置递归读写执行权限：- name: Set recursive ACL for deploy user<br> acl:<br> path: /opt/app/logs<br> entity: deploy<br> etype: user<br> permissions: rwX<br> state: present<br> recursive: true
- 同时设置多个实体（用户+组）时，用循环：
- name: Apply multiple ACL entries<br> acl:<br> path: /var/www/html<br> entity: "{{ item.entity }}"<br> etype: "{{ item.etype }}"<br> permissions: "{{ item.perms }}"<br> state: present<br> loop:<br> - { entity: 'jenkins', etype: 'user', perms: 'rx' }<br> - { entity: 'webadmins', etype: 'group', perms: 'rwx' }
结合 file 模块统一管理目录结构与基础权限
ACL 是附加层，目录本身的基础权限（owner/group/mode）仍需先配好。建议在同一个 task 中组合使用：
- 先用
file创建目录并设属主属组：- name: Ensure app dir exists with correct owner<br> file:<br> path: /opt/myapp/data<br> state: directory<br> owner: appuser<br> group: appgroup<br> mode: '0750'
- 再在其上叠加 ACL，比如允许备份账号
backup只读访问：- name: Grant read-only ACL to backup user<br> acl:<br> path: /opt/myapp/data<br> entity: backup<br> etype: user<br> permissions: r<br> state: present
验证与清理 ACL 的实用技巧
批量部署后快速验证是否生效，避免“以为设了其实没生效”：
- 用
getfacl检查结果：ansible webservers -m command -a "getfacl /opt/app/logs | grep -E '^(user|group):'" - 清理某用户的 ACL 条目（非删除整个 ACL）：
- name: Remove ACL entry for tempuser<br> acl:<br> path: /tmp/shared<br> entity: tempuser<br> etype: user<br> state: absent
- 若要彻底清除所有扩展 ACL（只保留基础权限），用
file模块：- name: Remove all extended ACLs<br> file:<br> path: /var/log/nginx<br> state: touch<br> setype: unconfined_u # 此处仅示意；实际用 acl 模块不支持全清，需 shell：command: setfacl -b {{ item }}
注意：acl模块暂不支持-b（batch clear），如需全清，改用command+setfacl -b，但要加ignore_errors: yes防止路径不存在时报错中断
