Ansible多Inventory文件变量未隔离问题及优化咨询

现象是否符合预期？ #

是，这属于Ansible的默认行为。当同时加载多个Inventory文件时，Ansible会按ASCII字母顺序合并同名的组，后加载的组变量会直接覆盖先加载的组变量，所以你遇到的变量未隔离、被覆盖的情况是符合预期的。

如何实现变量隔离？ #

可以通过以下几种方式实现环境/组的变量隔离，同时保留角色默认变量：

1. 用环境顶层组嵌套子组 #

将不同环境的database组作为各自环境顶层组的子组，避免组名冲突导致的变量合并覆盖：

• production.yml 示例：

production:
  children:
    database:
      hosts:
        host_b:
  vars:
    security_access_users: ["prod_admin", "prod_ops"]
    sudo_users: ["prod_sudo"]

• staging.yml 示例：

staging:
  children:
    database:
      hosts:
        host_a:
  vars:
    security_access_users: ["stage_dev", "stage_test"]
    sudo_users: ["stage_sudo"]

这样production.database和staging.database属于不同的组层级，变量完全隔离，执行时可以针对指定环境或主机操作，变量不会互相覆盖。

2. 使用Inventory目录结构拆分环境 #

创建如下目录结构：

inventory/
├── production/
│   ├── hosts.yml
│   └── group_vars/
│       └── database.yml
└── staging/
    ├── hosts.yml
    └── group_vars/
        └── database.yml

• 在inventory/production/hosts.yml中定义production环境的主机和组，group_vars/database.yml存放该环境database组的变量；
• inventory/staging/下同理存放staging环境的配置。
  执行时通过-i inventory/production或-i inventory/staging指定环境，Ansible会自动加载对应环境的变量，天然实现隔离。

3. 为组变量添加环境前缀（不推荐） #

如果不想调整组结构，可以给变量名添加环境前缀，比如prod_security_access_users、stage_security_access_users，但这种方式会增加变量管理复杂度，不如前两种方法优雅。

关于角色默认变量的保留 #

Ansible的变量优先级规则为：角色默认变量 < 组变量 < 主机变量 < 命令行变量。只要你在组变量中只定义需要自定义的变量，未定义的变量会自动使用角色的默认值，无需额外配置。

内容的提问来源于stack exchange，提问作者rrauenza