Ansible Vault与SSH间歇性协同故障排查问询

针对你遇到的委托任务中Vault密码间歇性失效、硬编码后恢复的问题，以下是几个核心排查方向：

1. SSH连接复用的缓存异常 #

Ansible默认会复用SSH连接以提升效率，这可能导致Vault解密后的密码在连接缓存中出现状态异常：

• 当连接池中的会话未正确携带最新的解密密码时，就会出现认证失败；
• 硬编码密码会强制Ansible重建全新的SSH连接池，重置缓存状态，因此换回Vault后能恢复正常，直到缓存再次出现异常。

验证/解决方法：
在清单或任务变量中添加以下配置禁用连接复用：

ansible_ssh_control_path=None
ansible_ssh_pipelining=no

2. 委托场景下的变量解密时机问题 #

使用delegate_to时，变量的解密上下文可能和目标主机不一致：

• 虽然ansible-inventory显示变量值正常，但实际执行阶段（尤其是跨主机委托），Vault变量的解密可能存在竞态，导致偶尔解密失败；
• 硬编码密码跳过了解密步骤，直接使用明文，因此不受此影响。

验证/解决方法：

• 将Vault变量直接定义在委托目标主机的组变量中，而非全局all:vars；
• 在委托任务的vars块中显式引用Vault变量，确保解密时机和委托上下文绑定：

- name: 委托执行shell任务
  ansible.builtin.shell: echo test
  delegate_to: myhost1
  vars:
    ansible_password: "{{ vault_ansible_password }}"
    ansible_ssh_password: "{{ vault_ansible_ssh_password }}"

3. Ansible版本的已知bug #

部分旧版本Ansible在处理「委托任务+Vault变量+SSH连接复用」的组合时存在间歇性bug，导致解密后的变量无法正确传递到委托连接中。

验证/解决方法：

• 检查当前Ansible版本：ansible --version；
• 升级到对应分支的最新稳定版（比如2.15.x及以上的版本），修复已知的变量解析和连接缓存相关bug。

4. Vault解密密钥的间歇性不可用 #

如果你的Vault解密密钥是通过环境变量（如ANSIBLE_VAULT_PASSWORD）传递的，可能存在执行过程中环境变量丢失的情况：

• 自动化环境的进程上下文可能偶尔出现环境变量异常，导致解密失败；
• 硬编码密码不需要解密步骤，因此正常运行；换回Vault时，环境刚好恢复密钥可用状态，直到下次异常。

验证/解决方法：
执行Playbook时显式指定解密密钥文件，避免依赖环境变量：

ansible-playbook your_playbook.yml --vault-password-file /path/to/vault_key.txt

内容的提问来源于stack exchange，提问作者Jason Kirk