如何在Ansible Vault中存储用户独立密码并动态访问密钥

1. 修改Ansible Vault配置 #

把原来的单个密码变量改成用户与密码对应的结构化存储，推荐用字典形式管理，更整洁易维护。

推荐方式：用字典存储所有用户密码 #

编辑你的Vault加密文件（比如vars/vault.yml），调整为如下结构：

---
db_user_passwords:
  user1: "secretpass_user1"
  user2: "secretpass_user2"

如果修改时解密了文件，记得重新加密：

ansible-vault encrypt vars/vault.yml

备选方式：为每个用户单独定义变量 #

若偏好独立变量的形式，也可以这样写：

---
db_user1_pass: "secretpass_user1"
db_user2_pass: "secretpass_user2"

2. 调整Ansible任务配置 #

根据Vault的存储结构，修改任务中的password字段，动态匹配对应用户的密码。

对应字典存储的任务修改 #

直接通过用户名从字典中取值：

- name: "mysql remote users present"
  mysql_user:
    login_user: root
    login_password: "{{ mysql_root_passwd }}"
    name: "{{ remote_user.user }}"
    host: "{{ remote_user.host }}"
    password: "{{ db_user_passwords[remote_user.user] }}"
    state: present
  loop: "{{ mysql_remote_users_enabled }}"
  loop_control:
    loop_var: remote_user

注意：如果用户列表里存在字典中未定义的用户，会触发变量未定义错误，建议确保两者一一对应，避免安全风险。

对应独立变量的任务修改 #

用变量拼接+vars lookup的方式动态获取变量值：

- name: "mysql remote users present"
  mysql_user:
    login_user: root
    login_password: "{{ mysql_root_passwd }}"
    name: "{{ remote_user.user }}"
    host: "{{ remote_user.host }}"
    password: "{{ lookup('vars', 'db_' + remote_user.user + '_pass') }}"
    state: present
  loop: "{{ mysql_remote_users_enabled }}"
  loop_control:
    loop_var: remote_user

3. 验证配置运行 #

确保playbook正确加载Vault文件，比如在playbook中通过vars_files引入：

- name: Manage MySQL users
  hosts: db_servers
  vars_files:
    - vars/vault.yml
  roles:
    - your_mysql_role

运行时带上Vault密码参数：

ansible-playbook your_playbook.yml --ask-vault-pass

内容的提问来源于stack exchange，提问作者Powerriegel