Фиксируйте roles/collections с version: (tag/semver); в CI ansible-galaxy install -r requirements.yml; коммитьте lock там, где tooling позволяет; обновления — отдельный PR.
Разбор
- Floating
master запрещён для prod.
- Зеркало коллекций для air-gapped.
- Совместимость ansible-core ↔ collection versions.
- CVE: регулярный bump и changelog review.
Итог
Pinned requirements = воспроизводимый control node и CI.
Ansible · middle · сложность 3