如何通过Ansible在Windows主机上设置Git持久化凭据？

针对你遇到的Ansible远程Windows主机操作Git时凭据无法持久化、后续git pull等操作失败的问题，以下是几个可行的解决方案：

方案1：修改仓库配置嵌入凭据（临时应急） #

如果可以接受明文存储凭据（仅限内部安全环境），直接修改克隆后仓库的.git/config文件，将凭据嵌入仓库URL，后续Git操作会自动使用该凭据：

- name: 给Git仓库URL添加凭据
  community.windows.win_lineinfile:
    path: C:\target\repo\.git\config
    regexp: '^\s*url = https://my-git-server.com/path/to/repo.git'
    line: '        url = https://{{ git_user }}:{{ git_password }}@my-git-server.com/path/to/repo.git'
    backrefs: yes
  no_log: yes

对于子模块，需要遍历子模块的.git/config文件做同样修改，或者在克隆时直接使用带凭据的URL并加上--recurse-submodules参数。

方案2：用PowerShell直接添加Windows凭据管理器条目 #

绕过community.windows.win_credential模块的become问题，使用Windows自带的cmdkey命令直接添加凭据到系统凭据管理器，再配置Git使用wincred助手：

- name: 添加Git服务器凭据到Windows凭据管理器
  community.windows.win_powershell:
    script: |
      cmdkey /add:my-git-server.com /user:{{ git_user }} /pass:{{ git_password }}
  no_log: yes

- name: 设置Git全局凭据助手为wincred
  community.windows.win_shell:
    git config --global credential.helper wincred

此方式和手动克隆时的凭据存储逻辑一致，后续Git操作会自动读取凭据管理器中的条目。如果你的Git版本较新，也可以尝试将wincred替换为manager（部分新版本Git的凭据助手名称变更）。

方案3：使用Git的store凭据助手并触发存储 #

若之前设置credential.helper store未生效，可能是克隆时直接使用带凭据的URL导致Git未触发凭据存储流程。可以通过设置GIT_ASKPASS环境变量，让Git在需要凭据时自动获取并存储：

- name: 设置Git全局凭据助手为store
  community.windows.win_shell:
    git config --global credential.helper store

- name: 克隆仓库并触发凭据存储
  community.windows.win_shell: |
    git clone https://my-git-server.com/path/to/repo.git --branch my-branch C:\target\repo
    # 执行fetch触发凭据存储
    git -C C:\target\repo fetch
  environment:
    GIT_ASKPASS: "powershell -Command \"Write-Host '{{ git_user }}:{{ git_password }}'\""
  no_log: yes

此方案会将凭据明文存储在用户目录下的.git-credentials文件中，适合对安全性要求不高的场景。

注意事项 #

• 所有涉及密码的任务务必添加no_log: yes，避免密码在Ansible日志中泄露；
• 确保Ansible连接Windows主机的用户拥有足够权限修改Git配置和访问凭据管理器；
• 若使用子模块，需确保子模块的仓库URL也能继承全局凭据配置，或单独为子模块设置凭据。

内容的提问来源于stack exchange，提问作者jeremywat