如何在Ansible Playbook任务中临时切换SSH私钥与远程用户

核心问题分析 #

你需要在同一个Playbook中先以ec2-user身份执行创建service_account的任务，后续默认使用service_account，但之前的Playbook写法错误地将连接变量（remote_user、ansible_ssh_private_key_file）放在了模块参数内部，导致这些配置无法生效。

正确的Playbook写法 #

将连接变量移至任务/块的vars层级，而非模块参数中。同时可以利用block统一配置变量，避免重复代码：

---
- hosts: all
  become: true
  gather_facts: yes
  vars:
    # 全局定义ec2-user的私钥路径，便于统一管理
    ec2_user_ssh_key: /home/me/.ssh/id_rsa_ec2-user
  tasks:
    - name: 以ec2-user身份执行用户配置任务
      block:
        - name: 创建临时home目录/home1
          ansible.builtin.file:
            path: /home1
            state: directory
            owner: root
            group: root
            serole: object_r
            setype: user_home_dir_t
            seuser: system_u

        - name: 创建service_account用户
          ansible.builtin.user:
            name: service_account
            password_lock: true
            comment: Service Account
            shell: /bin/bash
            home: /home1/service_account

        - name: 配置service_account的授权密钥
          ansible.posix.authorized_key:
            user: service_account
            state: present
            key: https://www.example.com:9090/ssh/pubkey
      # 整个block内的任务统一使用ec2-user身份及对应私钥
      vars:
        remote_user: ec2-user
        ansible_ssh_private_key_file: "{{ ec2_user_ssh_key }}"

    - name: 后续任务默认使用service_account执行
      ansible.builtin.debug:
        msg: "Oh hai!"
...

关键说明 #

• 连接变量生效规则：remote_user、ansible_ssh_private_key_file属于Ansible的连接变量，必须在任务/block的vars上下文定义，不能作为模块参数传入，否则无法被连接插件识别生效。
• Block复用配置：把需要切换用户的任务打包进同一个block，一次性设置连接变量，避免每个任务重复写相同配置，提升可维护性。
• 临时覆盖全局配置：inventory中默认的ansible_user和私钥配置会被block内的vars临时覆盖，仅在当前block任务中生效，后续任务自动恢复为inventory默认设置。

内容的提问来源于stack exchange，提问作者Mose