如何在执行部分任务后设置Ansible Playbook级别的环境变量

首先得明确几个关键的坑点，你之前遇到的错误都是因为这些细节没处理好：

为什么你之前的写法会报错？ #

1. Play级environment的解析时机：Playbook开头定义的environment是在整个Play启动时就会解析所有变量的，这时候extract_key2还没被定义，所以直接报错。
2. 同个set_fact的变量并行赋值：你在同一个set_fact里先定义contents再用它定义extract_key2，但Ansible是同时处理这些变量的，contents还没生效就被引用了，自然会提示变量未定义。
3. lookup('file')的作用范围：这个过滤器是在控制节点（你运行Ansible的机器）上读取文件，而你的masterkey.txt是在远程的Kafka Broker节点上，所以根本找不到文件，必须用slurp模块读取远程节点的文件。

可行的解决方案 #

方案1：动态更新全局环境变量（推荐） #

Ansible有个内置的ansible_environment变量，你可以用set_fact来更新它，之后所有的后续任务都会自动继承这个环境变量，不用每个任务都单独设置。

完整示例Playbook：

- name: server properties
  hosts: kafka_broker
  vars:
    ansible_ssh_extra_args: "-o StrictHostKeyChecking=no"
    ansible_host_key_checking: false
    date: "{{ lookup('pipe', 'date +%Y%m%d-%H%M%S') }}"
    copy_to_dest: "/export/home/kafusr/kafka/secrets"
    server_props_loc: "/etc/kafka"
    secrets_props_loc: "{{ server_props_loc }}/secrets"
  # 这里可以给环境变量一个空默认值，避免启动时的变量未定义警告
  environment:
    CONFLUENT_SECURITY_MASTER_KEY: ""
  tasks:
    - name: Create target directory if missing
      file:
        path: "{{ copy_to_dest }}"
        state: directory
        mode: '0755'
    - name: Find server.properties files
      find:
        paths: "{{ server_props_loc }}"
        patterns: "server.properties*"
      register: etc_kafka_server_props
    - name: Find secrets files
      find:
        paths: "{{ secrets_props_loc }}"
        patterns: "*"
      register: etc_kafka_secrets_props
    - name: Copy all required files to target directory
      copy:
        src: "{{ item.path }}"
        dest: "{{ copy_to_dest }}"
        remote_src: yes
      loop: "{{ etc_kafka_server_props.files + etc_kafka_secrets_props.files }}"
    - name: Read masterkey file from remote broker
      slurp:
        src: "{{ copy_to_dest }}/masterkey.txt"
      register: masterkey_raw
    - name: Extract master key and update global environment
      set_fact:
        ansible_environment: >-
          {{
            ansible_environment | default({}) | combine({
              'CONFLUENT_SECURITY_MASTER_KEY': (masterkey_raw.content | b64decode).split('\n')[2].split('|')[2] | trim
            })
          }}
    # 下面的任务都会自动使用CONFLUENT_SECURITY_MASTER_KEY环境变量
    - name: Create new Kafka user with Confluent CLI
      command: confluent kafka user create new-user --description "New service user"
    - name: Encrypt security.properties file
      command: confluent security encryption encrypt --config {{ server_props_loc }}/security.properties
    - name: Copy encrypted properties to Confluent install directory
      copy:
        src: "{{ server_props_loc }}/security.properties"
        dest: "/path/to/confluent/install/dir/config/"
        remote_src: yes
        mode: '0644'

方案2：用Block统一管理后续任务的环境变量 #

如果不想修改全局的环境变量，你可以把需要用到这个密钥的后续任务都放在一个block里，在block级别设置environment，这样整个block里的任务都会继承这个环境变量。

示例片段：

# ... 前面的复制文件等任务 ...
    - name: Read masterkey file from remote broker
      slurp:
        src: "{{ copy_to_dest }}/masterkey.txt"
      register: masterkey_raw
    - name: Extract master key to variable
      set_fact:
        extract_key2: >-
          {{ (masterkey_raw.content | b64decode).split('\n')[2].split('|')[2] | trim }}
    # 用block包裹所有需要环境变量的任务
    - name: Execute tasks requiring master key
      block:
        - name: Create new Kafka user
          command: confluent kafka user create new-user --description "New service user"
        - name: Encrypt security.properties
          command: confluent security encryption encrypt --config {{ server_props_loc }}/security.properties
        - name: Copy encrypted config to install dir
          copy:
            src: "{{ server_props_loc }}/security.properties"
            dest: "/path/to/confluent/install/dir/config/"
            remote_src: yes
      environment:
        CONFLUENT_SECURITY_MASTER_KEY: "{{ extract_key2 }}"

关键细节说明 #

• slurp模块的使用：它会读取远程节点的文件并返回base64编码的内容，必须用b64decode过滤器解码后才能处理文本内容。
• 数组索引的注意事项：split('\n')[2]是取第三行（因为Python列表是从0开始索引的），如果你的masterkey文件格式有变化，需要调整这个索引值。
• 环境变量的继承逻辑：ansible_environment是全局的，更新后所有后续任务都会自动使用；而block级的environment只会作用于block内部的任务，更灵活。

内容的提问来源于stack exchange，提问作者adbdkb