如何实现Ansible首次生成文件时仅替换Jinja2变量，后续不再变更

要解决首次生成配置时自动生成密码、后续更新配置时保留原有密码的需求，且不依赖Ansible控制器维护状态，可以通过先检查目标文件状态+提取现有密码+模板动态取值的方式实现，具体步骤如下：

步骤1：编写Playbook逻辑 #

先检查目标配置文件是否存在，若存在则提取其中的密码，再通过模板生成/更新文件时复用原有密码：

- name: 检查my-service.conf配置文件是否存在
  ansible.builtin.stat:
    path: /etc/my-service.conf  # 替换为你的目标文件实际路径
  register: conf_file_stat

- name: 读取现有配置文件内容（仅当文件存在时）
  ansible.builtin.slurp:
    path: /etc/my-service.conf
  register: existing_conf_content
  when: conf_file_stat.stat.exists

- name: 从现有配置中提取密码
  ansible.builtin.set_fact:
    service_password: "{{ (existing_conf_content.content | b64decode) | regex_search('password = \'(.*)\'', multiline=True) | regex_replace('password = \'(.*)\'', '\\1') }}"
  when: conf_file_stat.stat.exists

- name: 生成或更新配置文件
  ansible.builtin.template:
    src: my-service.conf.j2
    dest: /etc/my-service.conf
    mode: '0644'

步骤2：修改Jinja2模板 #

调整模板文件my-service.conf.j2，通过default过滤器判断：如果已提取到现有密码则复用，否则生成新密码：

user = 'admin'
password = '{{ service_password | default(lookup('ansible.builtin.password', '/dev/null', chars=['ascii_lowercase', 'digits'], length=32), true) }}'

some_other_option = 'yes'

原理说明 #

1. 首次执行：目标文件不存在，service_password变量未定义，模板会调用password lookup生成随机密码并写入文件。
2. 后续执行：目标文件已存在，Playbook会读取现有文件并提取密码，模板直接复用该密码，仅更新其他配置项（比如修改some_other_option为no时，密码不会被覆盖）。
3. 安全性保障：全程在目标主机上处理状态，无需Ansible控制器存储密码或使用不安全的种子，符合公网角色的安全要求。

替代方案（适合少量配置项修改） #

如果仅需修改个别配置项，也可以拆分操作：首次用模板生成完整文件，后续用lineinfile单独更新指定行，避免重新渲染整个模板：

- name: 首次生成配置文件（仅当文件不存在时）
  ansible.builtin.template:
    src: my-service.conf.j2
    dest: /etc/my-service.conf
    mode: '0644'
  when: not conf_file_stat.stat.exists

- name: 更新some_other_option配置
  ansible.builtin.lineinfile:
    path: /etc/my-service.conf
    regexp: '^some_other_option = '
    line: 'some_other_option = ''no'''

内容的提问来源于stack exchange，提问作者Michael Altfield