Ansible 与 Puppet 的差异与选择

结论先行

Ansible 无 agent、YAML playbook、推送式执行，适合临时操作、网络设备和中小规模配置管理；Puppet 基于 agent/master、声明式清单，适合大规模主机的持续合规和配置收敛。需要快速上手/无 agent 选 Ansible，需要大规模持续状态管理选 Puppet。

核心差异

怎么选

• 不想装 agent、需要临时批量操作：Ansible。
• 大规模主机、需要持续收敛和报告：Puppet。
• 网络设备/云 API 编排：Ansible 生态更直接。
• 已有 Puppet 代码和 master：继续 Puppet，除非要迁移。

注意

ansible-playbook -i inventory site.yml --check --diff
puppet agent --test
puppet apply site.pp --noop

• Ansible 的幂等性取决于模块和写法；shell/command 要加 creates/changed_when。
• Puppet 的声明式模型要求资源关系清晰；循环依赖会导致失败。
• Ansible 是推送式，控制节点到目标机的网络和凭据要打通。
• Puppet agent 需要证书签发和 master 可用；证书过期会导致失联。
• 两者都能管理包/服务/文件，但语法和抽象层次不同，不能直接复用模块。
• 大规模执行要注意并发、分批和回滚。

相关命令

• ansible-playbook — Ansible
• puppet — Puppet
• ansible-vault — 敏感变量