为何Ansible使用SSH密钥连接时不读取SSH_AUTH_SOCK使用代理？

问题场景 #

我在运行Ansible剧本时，先在localhost上启动ssh-agent并添加密钥，代码如下：

- name: Start ssh agent
  hosts: localhost
  gather_facts: no
  vars_files:
    - common_vars.yml
  tasks:
    - name: Start the SSH agent
      shell: |
        ssh-agent -s
      register: ssh_agent_result

    - name: Extract the SSH Agent PID
      set_fact:
        ssh_agent_socket: "{{ ssh_agent_result.stdout | regex_search('(/tmp/ssh-[^;]+/agent.[0-9]+)') }}"

    - name: Add the SSH private key to the agent (using the SSH Agent PID)
      shell: ssh-add /home/max/projects/kw-infra-simplified/terraform/do-compose-private-instance-key.pem
      environment:
        SSH_AUTH_SOCK: "{{ ssh_agent_socket }}"

随后在下一个play中配置使用该SSH_AUTH_SOCK：

- name: Ping instances
  hosts: apps
  gather_facts: no
  vars:
    ssh_agent_pid: "{{ hostvars['localhost'].ssh_agent_pid }}"
    ssh_agent_socket: "{{ hostvars['localhost'].ssh_agent_socket }}"
    ansible_ssh_user: ubuntu
  environment:
    SSH_AUTH_SOCK: "{{ ssh_agent_socket }}"
  tasks:
    - name: Debug the extracted SSH Agent PID
      debug:
        msg: "SSH_AUTH_SOCK is {{ ssh_agent_socket }}"

    - name: Ping the apps instances
      ping:

调试信息显示SSH_AUTH_SOCK路径正确，但无法连接远程主机，通过ansible-playbook -vvvvv ping.yaml查看输出发现SSH未尝试使用代理。请问该问题的原因是什么？我尝试的方案是否可行？

问题原因 #

1. 代理进程生命周期问题：你在localhost的shell任务中启动的ssh-agent进程，会在该shell任务执行完成后立即退出。因为Ansible的每个shell任务都运行在独立子shell中，任务结束后子shell关闭，对应的ssh-agent进程也会终止，后续play拿到的socket路径对应的进程已经不存在了。
2. 环境变量传递逻辑错误：即使代理进程没退出，你在apps play中设置的environment是把SSH_AUTH_SOCK传递给远程主机的环境，但ssh-agent是运行在控制节点（localhost）上的，远程主机根本无法访问控制节点/tmp路径下的socket文件，这种设置完全无法让远程SSH连接用到本地代理。

方案可行性分析 #

你当前的方案不可行，核心错误在于误解了Ansible中environment参数的作用，以及ssh-agent的运行机制：

• ssh-agent必须运行在控制节点的持久会话中，而非单个任务的子shell里。
• 远程主机的SSH连接需要通过控制节点的代理，而非在远程主机上设置控制节点的socket路径。

正确解决方法 #

方法1：复用控制节点已有的ssh-agent（推荐） #

如果你的本地终端已经启动了ssh-agent并添加了密钥，直接让Ansible继承当前终端的环境变量即可，无需在剧本中启动代理：

# 先在终端确保ssh-agent运行且密钥已添加
ssh-add /path/to/your/key.pem
# 直接运行Ansible，它会自动继承SSH_AUTH_SOCK环境变量
ansible-playbook ping.yaml

方法2：用Ansible模块持久化控制节点的ssh-agent #

使用ssh-agent模块（需依赖sshpass）管理控制节点的代理，该模块会自动维持代理进程的生命周期：

- name: Manage SSH agent on control node
  hosts: localhost
  gather_facts: no
  tasks:
    - name: Start ssh-agent and add key
      ansible.builtin.ssh_agent:
        state: started
        private_key: /home/max/projects/kw-infra-simplified/terraform/do-compose-private-instance-key.pem
      register: ssh_agent

- name: Ping instances
  hosts: apps
  gather_facts: no
  vars:
    ansible_ssh_user: ubuntu
  # 关键：将控制节点的SSH_AUTH_SOCK传递给Ansible用于连接远程的SSH进程
  environment:
    SSH_AUTH_SOCK: "{{ hostvars['localhost'].ssh_agent.ssh_auth_sock }}"
  tasks:
    - name: Ping apps instances
      ping:

内容的提问来源于stack exchange，提问作者Max Koretskyi