如何在Ansible Playbook中正确读取AWX自定义凭证变量

问题背景 #

在AWX中创建了名为Ansible Vault的自定义凭证类型，试图将凭证中的密码传递到Playbook用于Windows主机的WinRM连接。测试Playbook能正常读取my_password变量，但实际连接主机时抛出错误：

• ntlm: the specified credentials were rejected by the server
• unreachable

现有配置 #

自定义凭证输入配置 #

fields:
  - id: my_password
    type: string
    label: password
    secret: true
required:
  - my_password

自定义凭证注入器配置 #

extra_vars:
  my_password: 'myfakepassword'

正常运行的测试Playbook #

---
- hosts: myhost.com
  
  vars:
    ansible_winrm_password: "myfakepassword"
    ansible_user: ansiblerunner
    ansible_connection: winrm
    ansible_port: 5986
    ansible_winrm_transport: ntlm
    ansible_winrm_server_cert_validation: ignore
    source_file: "../files/test.txt" 

  tasks:
    - name: 打印凭证密码
      debug:
        var: my_password

运行失败的Playbook #

---
- hosts: myhost.com 

  vars:
    ansible_winrm_password: "{{ my_password }}"
    ansible_user: ansiblerunner
    ansible_connection: winrm
    ansible_port: 5986
    ansible_winrm_transport: ntlm
    ansible_winrm_server_cert_validation: ignore
    source_file: "../files/test.txt" 

  tasks:
    - name: 打印凭证密码
      debug:
        var: my_password 

核心原因 #

AWX通过extra_vars注入的变量在Playbook执行阶段才会生效，但WinRM的连接参数（如ansible_winrm_password）是在主机连接阶段就需要加载的，此时my_password变量还未被注入，导致连接时使用的是未解析的{{ my_password }}字符串而非实际密码。

解决方法 #

方法1：修改注入器配置，直接注入连接变量 #

将凭证的注入器配置改为直接设置inventory变量或环境变量，确保连接阶段能获取到密码：

方案A：注入inventory变量

inventory_vars:
  ansible_winrm_password: '{{ my_password }}'

方案B：注入环境变量

env:
  ANSIBLE_WINRM_PASSWORD: '{{ my_password }}'

方法2：验证变量传递有效性 #

• 在AWX模板中启用"显示额外变量"（注意敏感信息保密），确认my_password已正确传递。
• 在Playbook中添加前置debug任务，验证ansible_winrm_password是否被正确解析：

tasks:
  - name: 验证连接密码
    debug:
      var: ansible_winrm_password
    delegate_to: localhost

内容的提问来源于stack exchange，提问作者eia92