如何使用Ansible Playbook在本地主机将带密码短语的SSH密钥添加至ssh-add？

首先明确：这完全可行，但你的现有Playbook存在几个关键问题导致密钥添加失败，同时也有优化空间来避免密码短语泄露到历史记录或日志中。我们一步步拆解问题并给出解决方案：

一、现有Playbook的核心问题 #

1. Expect语法错误：你的expect块里写了expect of EOF，这是错误的，正确写法是expect eof；另外send "{{ sshpassphrase }}"后面需要加\r（回车符），否则ssh-add可能无法识别输入的密码。
2. ssh-agent环境变量不持久：Ansible的shell任务在独立子Shell中运行，你在任务里启动的ssh-agent仅在这个子Shell生效，终端或后续任务无法继承它的环境变量（SSH_AUTH_SOCK和SSH_AGENT_PID），所以终端执行ssh-add -l看不到新加的密钥。
3. 密码泄露风险：如果没设置no_log: true，密码可能出现在Ansible日志里；直接在shell命令中写expect脚本也有潜在泄露风险。
4. ssh-agent检测逻辑冗余：原有的ps组合命令可以用更简洁可靠的pgrep替代。

二、修正后的解决方案 #

1. 优化后的Playbook #

这个版本解决了上述所有问题，同时确保密码不泄露，且ssh-agent的环境变量可以持久化：

---
- hosts: all
  vars_files:
    - ../inventories/group_vars/vars.yml
  pre_tasks:
    - name: 检测并启动ssh-agent（若未运行）
      ansible.builtin.shell: |
        # 用pgrep更可靠地检测ssh-agent
        if ! pgrep -u "$USER" ssh-agent > /dev/null; then
          echo "ssh-agent未运行，正在启动..."
          # 启动ssh-agent并将环境变量写入文件
          eval "$(ssh-agent -s)"
          echo "export SSH_AUTH_SOCK=$SSH_AUTH_SOCK" >> ~/.ssh-agent-env
          echo "export SSH_AGENT_PID=$SSH_AGENT_PID" >> ~/.ssh-agent-env
        else
          echo "ssh-agent已在运行"
          # 若已运行，读取现有环境变量文件
          if [ -f ~/.ssh-agent-env ]; then
            source ~/.ssh-agent-env
          fi
        fi
        # 加载环境变量确保当前子Shell可用
        source ~/.ssh-agent-env
        # 用expect自动输入密码添加密钥
        expect << EOF
        spawn ssh-add ~/.ssh/{{ keyfilename }}
        expect "Enter passphrase"
        send "{{ sshpassphrase }}\r"
        expect eof
        exit 0
        EOF
      delegate_to: localhost
      no_log: true  # 关键：禁止记录该任务日志，防止密码泄露
      register: ssh_add_result
    - name: 显示密钥添加结果
      ansible.builtin.debug:
        msg: "{{ ssh_add_result.stdout }}"
      delegate_to: localhost
...

2. 让终端继承ssh-agent环境变量 #

因为Ansible任务运行在独立子Shell中，如果你想在终端里使用这个ssh-agent，需要手动加载环境变量文件：

source ~/.ssh-agent-env

之后执行ssh-add -l就能看到新加的密钥了。

三、额外的安全与优化建议 #

• 避免密码出现在历史记录：
  • 确保vars.yml文件权限设置为600，只有你能读取；
  • 用ansible-vault加密vars.yml存储敏感信息，不要在命令行直接传递密码变量。
• 简化检测逻辑：用pgrep -u "$USER" ssh-agent替代复杂的ps管道，更高效且不易出错。
• 验证添加结果：可以在Playbook中添加任务执行ssh-add -l并输出结果，确认密钥已成功添加。

四、为什么原来的方法看不到密钥？ #

你在终端执行ssh-add -l看不到密钥的核心原因是：Ansible任务运行在独立子Shell中，该子Shell启动的ssh-agent的环境变量不会自动传递到终端进程。通过将环境变量写入文件并手动加载，就能让终端继承这些变量，从而访问到同一个ssh-agent实例。

内容的提问来源于stack exchange，提问作者Dr.PB