Если бы нужно было реализовать аналог Ansible самостоятельно, как бы вы спроектировали такое решение?

Разделите решение на inventory, безопасное подключение к узлам, декларативные задачи и исполнитель. Основная сложность аналога Ansible — идемпотентность и предсказуемое восстановление после частичного сбоя.

Для каждого ресурса нужны чтение текущего состояния, вычисление изменений и применение. Исполнитель ограничивает параллелизм, сохраняет результат по узлам и поддерживает dry-run, где это возможно. Секреты не входят в обычные логи, SSH-ключи хостов проверяются. Начните с ограниченного набора модулей, а не с универсального удалённого shell без правил безопасности.