Frage Ansible

Wenn du das Playbook zwei Mal direkt hintereinander ausführst, zeigt er dann trotzdem den ersten Task als "changed" an? Das sollte er eigentlich nicht, wenn das Modul richtig funktioniert. Beim ersten Durchlauf wird er es natürlich machen, weil

update_cache: yes

ja den apt cache aktualisiert und damit eine Änderung macht. Falls dann auch Updates vorliegen sollten, würde auch der 2. Task ein "changed" zurückgeben. Aber wenn du das Playbook direkt nochmal ausführst, dann sollte eigentlich die cache_valid_time greifen und er sollte den cache dann nicht aktualisieren. Hast du dieses Szenario mal durchgespielt?

Hm. Welche Ansible Version hast du denn im Einsatz? Ich habe deinen Task hier mal kurz gegen ein Debian 12 laufen lassen. Hier funktioniert es aber wie es soll. Beim ersten Mal ist der Task noch "changed", beim zweiten Mal ist alles ok. Du kannst das Playbook auch mal mit -Dvvv laufen lassen. Damit bekommst du etwas mehr Output. Du könntest ein apt update auch mal direkt auf dem Server ausführen. Evtl bekommst du dort noch andere Warnings oder Fehlermeldungen, die Ansible vielleicht unterdrückt.

ok: [host] => changed=false 
  cache_update_time: 1730914435
  cache_updated: false
  invocation:
    module_args:
      allow_change_held_packages: false
      allow_downgrade: false
      allow_unauthenticated: false
      autoclean: false
      autoremove: false
      cache_valid_time: 3600
      clean: false
      deb: null
      default_release: null
      dpkg_options: force-confdef,force-confold
      fail_on_autoremove: false
      force: false
      force_apt_get: true
      install_recommends: null
      lock_timeout: 60
      only_upgrade: false
      package: null
      policy_rc_d: null
      purge: false
      state: present
      update_cache: true
      update_cache_retries: 5
      update_cache_retry_max_delay: 12
      upgrade: null

PLAY RECAP *************
host                      : ok=1    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

Achso, welcher Task wird denn überhaupt als changed markiert? Der erste oder der zweite? Beim zweiten könnten es auch zurückgehaltene Pakete oder fehlerhafte dpkg-configure Tasks sein, die immer wieder gemacht werden. Auch da bietet es sich an, wenn man den upgrade Befehl direkt auf dem Server ausführt und sich den Ouput anschaut. Gerade wenn das ein Debian mit GUI ist, sind dort ja viel mehr Pakete installiert, die ggfs. Probleme machen könnten. Vielleicht gibt es auch andere Repos, die konfiguriert sind und dadurch Paket Konflikte auslösen. Gerade hier sind die Ausgaben von dpkg/apt manchmel sehr verbesserungswürdig.

Mal ein Schuss ins Blaue: Wie sieht denn der Log Auszug bei den Servern aus, die kein changed anzeigen? Könnte es evtl. an der Sprache liegen? Ich habe jetzt auch den 2. Task bei mir mal getestet. Aber ich kann das Problem nicht reproduzieren. Bei mir ist die Sprache auf dem Server aber auch in Englisch. Ich könnte mir durchaus vorstellen, dass Ansible die deutschen Begriffe nicht richtig interpretiert. Denn dein diff aus dem Log Auszug wirkt seltsam.

So sieht das auf meinem Testsystem aus (Output ist in yaml, aber das macht sonst keinen Unterschied)

ok: [host] => changed=false 
  invocation:
    module_args:
      allow_change_held_packages: false
      allow_downgrade: false
      allow_unauthenticated: false
      autoclean: false
      autoremove: true
      cache_valid_time: 0
      clean: false
      deb: null
      default_release: null
      dpkg_options: force-confdef,force-confold
      fail_on_autoremove: false
      force: false
      force_apt_get: true
      install_recommends: null
      lock_timeout: 60
      only_upgrade: false
      package: null
      policy_rc_d: null
      purge: false
      state: present
      update_cache: null
      update_cache_retries: 5
      update_cache_retry_max_delay: 12
      upgrade: 'yes'
  msg: |-
    Reading package lists...
    Building dependency tree...
    Reading state information...
    Calculating upgrade...
    0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
  stderr: ''
  stderr_lines: <omitted>
  stdout: |-
    Reading package lists...
    Building dependency tree...
    Reading state information...
    Calculating upgrade...
    0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
  stdout_lines: <omitted>

Ansonsten könntest du es natürlich auch nochmal mit der neusten Ansible Version versuchen.

Spracheinstellungen waren in der Vergangenheit öfter ein Problem für Ansible, vgl. https://github.com/ansible/ansible/issues/14264

Ich würde dazu raten, durch Modifikation der Umgebungsvariablen grundsätzlich alle Tasks mit englischen Spracheinstellungen laufen zu lassen (der verlinkte Diskussionsfaden sollte ein paar Anhaltspunkte dafür geben).