Ansible中Vault机密与group_vars变量调用异常问题咨询

原因分析 #

你的问题核心在于变量example_com_cert_data的定义方式以及Ansible的变量解析逻辑：

1. 在global_vars.yml中，example_com_cert_data: "{{ vault_example_com_cert_data }}"是一个字符串形式的模板，而非直接的变量引用。Ansible默认不会自动解析这类嵌套在变量中的模板字符串，因此该变量的实际值就是{{ vault_example_com_cert_data }}，而非解密后的证书内容。
2. 当你通过vars[cert_data_var_2]获取该变量时，得到的就是这个未解析的字符串。而some_secret能正常解析，是因为copy模块的content字段是jinja2模板，{{ some_secret }}会被引擎二次解析：先替换为{{ vault_some_secret }}，再解析为实际值；但vars[cert_data_var_2]返回的字符串包含换行，jinja2默认不会对多行字符串进行二次解析，因此直接输出了原始模板内容。

解决方法 #

以下是几种可行的解决方案：

方案1：开启Jinja2原生解析 #

在ansible.cfg中添加或修改配置：

jinja2_native = true

开启后，Ansible在加载变量时会自动解析嵌套的模板字符串，example_com_cert_data会直接被解析为vault_example_com_cert_data的实际值，无需修改现有变量定义。

方案2：显式使用template过滤器解析 #

在copy模块的content中，对vars[cert_data_var_2]添加template过滤器：

content: |
  some secret is {{ some_secret }}
  cert data 1      = {{ cert_data_var_1 }}
  vars cert data 1 = {{ vars[cert_data_var_1] }}
  cert data 2      = {{ cert_data_var_2 }}
  vars cert data 2 = {{ vars[cert_data_var_2] | template }}

该过滤器会强制jinja2解析字符串中的模板内容，得到解密后的证书数据。

方案3：直接引用vault变量 #

修改cert_data_var_2的定义，让它指向vault变量而非中间变量：

- name: Replace dots with underscores in web_domain
  set_fact:
    cert_data_var_2: "vault_{{ web_domain.replace('.', '_') }}_cert_data"

这样vars[cert_data_var_2]就能直接获取到解密后的vault_example_com_cert_data值，和cert_data_var_1的逻辑一致。

方案4：使用lookup('vars', ...)替代vars[...] #

将vars[cert_data_var_2]替换为lookup('vars', cert_data_var_2)：

content: |
  some secret is {{ some_secret }}
  cert data 1      = {{ cert_data_var_1 }}
  vars cert data 1 = {{ vars[cert_data_var_1] }}
  cert data 2      = {{ cert_data_var_2 }}
  vars cert data 2 = {{ lookup('vars', cert_data_var_2) }}

lookup('vars', ...)会递归解析变量的最终值，包括嵌套的模板引用。

内容的提问来源于stack exchange，提问作者Red Cricket