Ansible如何优先从主机变量选取secret-key，否则使用组变量？

当然可以实现，以下是几种可行的方案，按推荐程度排序：

1. 利用Ansible原生变量优先级（最推荐） #

Ansible内置的变量优先级规则已经完全匹配你的需求：主机变量（inventory/hostvars/下的配置）优先级高于组变量（inventory/group_vars/下的配置）。

只要你保持两个文件中的变量名统一为secret_key：

• 已在hostvars/host-01中定义secret_key的主机，会自动使用自身的密钥值；
• 属于production组但未在hostvars中定义secret_key的主机，会自动继承production组变量中的密钥值。

直接在playbook中使用{{ secret_key }}即可，无需额外配置。

2. 显式使用default过滤器兜底 #

如果需要更清晰地体现 fallback 逻辑，或避免其他变量干扰，可以在使用变量时用default过滤器显式指定组变量作为默认值：

- name: 输出当前使用的密钥
  debug:
    msg: "当前生效密钥: {{ secret_key | default(hostvars['production'].secret_key) }}"

该写法会优先读取主机自身的secret_key，若不存在则直接调用production组变量中的值。

3. 全局默认+分层覆盖（扩展场景） #

如果后续有非production组的主机也需要类似逻辑，可以通过全局默认变量实现分层覆盖：

• 在inventory/group_vars/all中定义全局默认值：secret_key: "global-default-key"
• 在inventory/group_vars/production中定义组级默认值：secret_key: "production-default-key"（会覆盖全局默认）
• 在inventory/hostvars/host-01中定义主机专属值：secret_key: "host-01-specific-key"（会覆盖组级默认）

变量会按「主机变量 > 组变量 > 全局默认」的优先级自动生效，适配更复杂的场景。

关于你尝试的tag方案 #

tag的作用是控制playbook中哪些任务执行，和变量赋值逻辑完全无关，因此用tag处理变量会导致异常（比如额外添加变量），不建议这么做。

内容的提问来源于stack exchange，提问作者Saumya