Ansible自动化平台：作业模板多凭证如何区分与指定调用？

一、{{ user }}/{{ pass }}的默认取值逻辑 #

当作业模板绑定多个同类型凭证时，{{ user }}和{{ pass }}会默认读取**凭证列表中排序最靠后（最后添加）**的那组凭证的用户名和密码。如果是不同类型的凭证（比如SSH凭证和AWS云凭证），{{ user }}这类通用变量通常只对某一类凭证生效（比如SSH凭证），其他类型凭证会有各自专属的内置变量，不会被这两个通用变量覆盖。

二、指定调用特定凭证的几种方法 #

1. 给凭证设置自定义变量 #

创建凭证时，在「自定义变量」区域为该凭证单独定义变量名（比如给某SSH凭证设db_server_user和db_server_pass），之后在Playbook里直接调用{{ db_server_user }}和{{ db_server_pass }}，就能精准指向这个特定凭证的内容，这是最直观可靠的方法。

2. 使用凭证类型专属的内置变量 #

不同类型的凭证有官方预设的专属变量，直接调用即可区分：

• SSH凭证：ansible_user（用户名）、ansible_ssh_pass（密码）
• AWS云凭证：aws_access_key_id、aws_secret_access_key
• VMware凭证：vmware_user、vmware_password
  如果你的多个凭证分属不同类型，直接用对应类型的内置变量就能明确调用目标凭证。

3. 调整作业模板的凭证排序 #

如果是同类型凭证且不想改变量名，可以在作业模板的凭证列表里调整顺序——把需要优先用的凭证移到最后，因为默认会取列表最后一个凭证的变量值。不过这种方法灵活性差，一旦凭证顺序变动就会影响执行结果，只适合临时场景。

4. 进阶：通过API关联凭证（不推荐普通场景） #

可以用lookup插件结合AAP的内部API，通过凭证ID或名称直接获取对应凭证的内容，但这种方法需要额外的权限配置，且增加了Playbook的复杂度，一般只用于特殊需求场景。

内容的提问来源于stack exchange，提问作者jeremywat