1. 为什么运维脚本越写越像体力活如果你手上已经有一个 Git 仓库、一条能跑的流水线日常却还在重复写 Ansible 的copy、template、systemd三段式那这篇就是写给你的。Cursor 在这里的角色不是“帮你补全一行 YAML”而是把「需求描述 → Playbook 骨架 → Role 拆分 → CI 校验 → GitOps 同步」串成一条可复制的链路。Ansible 负责配置落地GitOps 负责让 Git 成为唯一事实源CI/CD 负责在合并前把语法、幂等、安全三类问题拦下来。我试过的场景很典型一个 8 人运维小组维护 30 多台虚机加一个 K8s 集群每周要发 3 到 5 次配置变更。以前写一个部署 Nginx 证书 日志轮转的 Playbook 要 40 分钟现在用 Cursor 生成骨架再人工收敛12 分钟能进 PR。差别不在打字速度而在于 Cursor 能读到仓库里的inventory、group_vars和已有 Role 的命名风格生成的东西不用大改就能过 lint。这篇会交付四样可以直接抄的东西一份.cursorrules规则文件、一套 Ansible 目录骨架、一段 GitHub Actions 流水线配置、以及本地 lint 与 dry-run 的验证命令。适合已经有 Git 仓库和流水线、想把 AI 生成真正接进交付链路的运维同学。下面从环境准备开始一步步来。2. 前置准备TaoToken 接入与 Cursor 模型配置Cursor 本身支持自定义模型接入把模型端点配好之后生成质量和响应速度都会稳定很多。这里用 TaoToken 做统一入口它的 API 地址是https://taotoken.net/api兼容 OpenAI 风格的调用方式Cursor 里填 Base URL 就能用。先拿 Key。打开控制台创建 API Key建议按项目建独立的 Key方便后面在流水线里做用量区分。创建入口在控制台的 API Keys 页面地址是https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentapikeys。拿到形如sk-xxxx的字符串后先存到本地密码管理器别直接写进仓库。然后在 Cursor 里配置。打开 Settings → Models → OpenAI API Key把 Base URL 改成https://taotoken.net/apiKey 填刚创建的那串。保存后新建一个对话测试问一句“用一句话说明 Ansible 的幂等性”能正常返回就说明链路通了。如果要做长期编码和 Agent 任务可以看下 Coding Plan 的额度说明地址是https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentcodingplan按团队规模选档位比单次调用更划算。模型选择上给个实测建议生成 Playbook 骨架用响应快的轻量模型做跨文件重构和排错时切到长上下文模型。Cursor 的 Composer 模式适合多文件联动单文件补全用 Tab 就够。配置完成后接下来把规则文件写进仓库让 Cursor 每次生成都遵守同一套约定。3. 可复制配置规则文件、目录骨架与流水线3.1 .cursorrules 规则文件在仓库根目录建.cursorrules内容如下。这份规则的核心是三条强制 FQCN、强制 tags 分组、禁止硬编码敏感信息。Cursor 读取后会把这些约束带进每次生成。# 项目运维规范Cursor 生成时必须遵守 ## 技术栈 - Ansible Core 2.16Python 3.10 - 目标系统Ubuntu 22.04 LTS、Rocky Linux 9 - 所有模块使用 FQCN例如 ansible.builtin.copy ## 编码规范 - Playbook 必须包含 name、hosts、become、vars、tasks、handlers - 每个 task 必须有中文 name - 使用 tags 分组install、configure、service、verify - 循环统一用 loop不用 with_items - 模板文件放 templates/变量放 defaults/ 或 group_vars/ ## 安全规范 - 密码、密钥一律用 {{ vault_xxx }} 引用 - 敏感任务加 no_log: true - 配置文件权限不超过 0640 - 禁止在生成代码中出现硬编码密码或 Token ## Git 规范 - Commit 格式type(scope): description - type 取值feat/fix/refactor/docs/chore - scope 取值ansible/terraform/k8s/ci-cd3.2 Ansible 目录骨架按下面的结构建目录Cursor 在生成 Role 时会自动往对应位置放文件。这套骨架和后面流水线里的 lint 路径是对齐的。ansible/ ├── ansible.cfg ├── inventory/ │ ├── production.yml │ └── staging.yml ├── group_vars/ │ ├── all.yml │ ├── production.yml │ └── staging.yml ├── playbooks/ │ └── site.yml ├── roles/ │ └── nginx/ │ ├── tasks/main.yml │ ├── handlers/main.yml │ ├── templates/nginx.conf.j2 │ ├── defaults/main.yml │ └── molecule/default/molecule.yml └── requirements.ymlansible.cfg里把 inventory 路径和 roles 路径固定下来避免每次执行都要带参数[defaults] inventory ./inventory roles_path ./roles forks 20 host_key_checking False interpreter_python auto_silent stdout_callback yaml retry_files_enabled False [privilege_escalation] become True become_method sudo [ssh_connection] pipelining True ssh_args -o ControlMasterauto -o ControlPersist60s3.3 用 Cursor 生成第一个 Role在 Cursor 里打开仓库按 CmdL 打开对话输入下面这段 Prompt。注意把目标系统和功能点写清楚越具体生成质量越高。基于当前仓库的 .cursorrules 和 ansible/ 目录结构 生成一个 nginx Role要求 - 目标系统 Ubuntu 22.04 和 Rocky Linux 9 - 功能安装 nginx、部署自定义配置、启动并开机自启、健康检查 - 使用 FQCN每个 task 加中文 name 和 tags - 配置文件权限 0640属主 root - 包含 molecule 测试骨架生成后重点检查三处when条件是否按ansible_os_family分支、handler 名称和notify是否完全一致、模板里的变量是否都在defaults/main.yml里有默认值。这三处是 AI 生成最容易出问题的地方。3.4 流水线配置片段在.github/workflows/下建iac-quality.yml把 lint、安全扫描、dry-run 三步串起来。这段配置只做校验不做部署部署交给 GitOps 控制器职责分离更清晰。name: IaC Quality Pipeline on: pull_request: branches: [main] push: branches: [main] concurrency: group: quality-${{ github.ref }} cancel-in-progress: true jobs: lint: name: Lint and Format runs-on: ubuntu-latest steps: - uses: actions/checkoutv4 - name: Ansible Lint uses: ansible/ansible-lint-actionv6 with: working_directory: ansible/ args: --strict - name: YAML Lint run: | pip install yamllint yamllint -c .yamllint.yml ansible/ security: name: Security Scan runs-on: ubuntu-latest needs: lint steps: - uses: actions/checkoutv4 - name: Trivy Config Scan uses: aquasecurity/trivy-actionmaster with: scan-type: config scan-ref: ansible/ severity: CRITICAL,HIGH exit-code: 1 - name: Secret Detection uses: gitleaks/gitleaks-actionv2 env: GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }} dry-run: name: Ansible Dry Run runs-on: ubuntu-latest needs: security steps: - uses: actions/checkoutv4 - name: Install Ansible run: pip install ansible-core2.16.5 - name: Syntax Check run: | cd ansible/ ansible-playbook playbooks/site.yml --syntax-check - name: Check Mode run: | cd ansible/ ansible-playbook playbooks/site.yml --check --diff env: ANSIBLE_VAULT_PASSWORD: ${{ secrets.ANSIBLE_VAULT_PASSWORD }}--check --diff是 dry-run 的关键它不会真正改目标机器只输出将要发生的变更。配合--diff能看到模板渲染前后的差异PR 里贴出来评审效率很高。4. 验证请求与成功结果配置写完后先在本地跑一遍确认没问题再推流水线。本地验证分三步语法检查、lint、dry-run。cd ansible/ # 1. 语法检查只解析不执行 ansible-playbook playbooks/site.yml --syntax-check # 2. lint按 .ansible-lint 规则检查 ansible-lint playbooks/site.yml # 3. dry-run连到 staging 看变更预览 ansible-playbook playbooks/site.yml \ --check --diff \ -i inventory/staging.yml \ --limit web_servers语法检查通过会输出playbook: playbooks/site.yml没有报错行。lint 通过输出Passed: 0 failure(s), 0 warning(s)。dry-run 会逐 task 打印changed或ok配合--diff能看到配置文件的具体改动。本地通过后推分支流水线会自动触发。在 Actions 页面能看到三个 job 依次变绿。如果 security 阶段报出 CRITICAL 级别的配置问题先修再合别用exit-code: 0绕过那样等于把安全门禁关掉了。GitOps 侧用 ArgoCD 做同步Application 配置里把syncPolicy.automated打开selfHeal设为 true。这样 Git 里的配置一变ArgoCD 检测到差异会自动同步到集群。验证同步是否生效用argocd app get app-name看 Sync Status 和 Health Status 是否都是 Synced 和 Healthy。5. 本篇常见错排查5.1 ansible-lint 报 FQCN 错误报错形如fqcn[action-core]: Use FQCN for module actions。原因是生成时用了短模块名比如copy而不是ansible.builtin.copy。修法是在.cursorrules里已经写了强制 FQCN如果还出现检查是不是 Cursor 没读到规则文件。确认.cursorrules在仓库根目录且 Cursor 的 Settings → General → Rules 里启用了项目规则。5.2 dry-run 报 vault 解密失败报错Attempting to decrypt but no vault secrets found。原因是流水线里没注入 vault 密码。在 GitHub 仓库的 Settings → Secrets 里加ANSIBLE_VAULT_PASSWORD然后在 workflow 的 env 里引用。本地跑的话用--ask-vault-pass交互输入别把密码写进命令行历史。5.3 handler 不触发现象是配置文件改了但服务没重启。九成是notify的名字和 handler 的name不一致大小写或空格差一个字符都不行。用grep -n notify roles/nginx/tasks/main.yml和grep -n name: roles/nginx/handlers/main.yml对照检查。Cursor 生成时偶尔会自作主张改名字这是高频坑。5.4 幂等性测试失败Molecule 的idempotence步骤失败说明第二次执行还有changed。常见原因是用了command或shell模块且没加changed_when。修法是优先用专用模块实在要用命令就加changed_when: false或根据输出判断。比如检查服务状态用ansible.builtin.systemd而不是systemctl status。5.5 ArgoCD 反复同步现象是 ArgoCD 一直显示 OutOfSync同步完又变回去。原因是某些字段被控制器修改了和 Git 里的声明不一致。在 Application 的spec.ignoreDifferences里把这些字段排除比如 HPA 管理的replicas字段。别直接关掉selfHeal那样会失去漂移自愈能力。6. 把链路跑顺之后整套跑下来最值得投入时间的是.cursorrules和 Prompt 模板库这两块。规则文件写一次后面所有生成都受益Prompt 模板按场景分类存到docs/prompts/下团队新人直接抄不用从零描述需求。我踩过的坑是早期没写规则文件生成出来的 Playbook 命名风格五花八门review 时一半时间在改格式。另一个实用技巧是把--check --diff的输出贴到 PR 描述里。评审的人不用拉代码就能看到这次变更会影响哪些文件、改了什么内容比看 diff 直观。配合流水线的 lint 和 security 门禁合并前的质量基本能兜住。模型对话入口在这里遇到生成质量问题可以直接开对话调试 Prompthttps://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentmodelchat。接入文档在https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_contentdoc里面有各语言 SDK 的调用示例。长期做编码和 Agent 任务的话Coding Plan 的额度比按次调用更稳地址前面给过了。最后留一个可以直接用的验证动作在 staging 环境跑一次完整的--check --diff把输出和上一次的对比确认没有意外变更。这一步花两分钟能挡掉大部分配置漂移问题。链路跑顺之后你会发现真正花时间的不是写脚本而是想清楚变更的影响范围——这部分 AI 替不了但能帮你把执行层面的重复劳动压到最低。
