Ansible中Git子模块与多部署密钥协同问题求助

核心问题 #

Ansible git 模块的 recursive 参数仅支持指定单个 key_file，无法为不同子模块分配独立的部署密钥，导致跨子模块的权限验证失败；而单独拉取子模块时，若未严格对齐父仓库记录的子模块版本，会出现“跟踪变更”的问题。

解决方案一：通过SSH Config统一密钥映射（推荐） #

利用SSH配置文件自动为不同仓库匹配对应密钥，无需在Ansible中指定key_file，即可正常使用recursive: yes拉取所有子模块。

步骤1：在目标主机配置SSH Config #

创建/编辑/home/test/.ssh/config，添加以下内容：

Host github-foo
  HostName github.com
  IdentityFile /home/test/.ssh/deploy_keys/foo
  User git

Host github-bar
  HostName github.com
  IdentityFile /home/test/.ssh/deploy_keys/bar
  User git

步骤2：调整仓库远程URL #

将父仓库和子模块的远程地址修改为SSH Config中定义的别名：

• 父仓库URL从git@github.com:org/foo.git改为github-foo:org/foo.git
• 子模块URL从git@github.com:org/bar.git改为github-bar:org/bar.git

如果父仓库已存在，可在Ansible任务中添加同步子模块URL的步骤：

- name: Sync submodule URLs to match SSH config
  command: git submodule sync --recursive
  args:
    chdir: /foo-path
  become: no

步骤3：Ansible递归拉取任务 #

此时无需指定key_file，SSH会自动匹配密钥：

- name: Checkout foo repository with all submodules
  git:
    repo: "github-foo:org/foo.git"
    dest: /foo-path
    accept_hostkey: yes
    force: yes
    version: "{{ branch }}"
    recursive: yes
  become: no

解决方案二：单独拉取子模块并对齐父仓库版本 #

若无法修改仓库URL，可通过单独拉取子模块，但需严格对齐父仓库记录的子模块commit，避免出现跟踪变更。

步骤1：拉取父仓库（不含子模块） #

- name: Checkout foo repository
  git:
    repo: "git@github.com:org/foo.git"
    dest: /foo-path
    accept_hostkey: yes
    force: yes
    key_file: /home/test/.ssh/deploy_keys/foo
    version: "{{ branch }}"
    recursive: no
  become: no

步骤2：获取父仓库记录的子模块commit #

- name: Get bar submodule commit hash from foo repo
  command: git submodule status bar-path
  args:
    chdir: /foo-path
  register: bar_submodule_info
  become: no

步骤3：拉取子模块到指定commit #

用父仓库记录的commit哈希拉取子模块，确保子模块处于与父仓库一致的 detached HEAD 状态：

- name: Checkout bar submodule to matched commit
  git:
    repo: "git@github.com:org/bar.git"
    dest: /foo-path/bar-path
    accept_hostkey: yes
    force: yes
    key_file: /home/test/.ssh/deploy_keys/bar
    version: "{{ bar_submodule_info.stdout.split()[0] }}"
    recursive: no
  become: no

为什么单独拉取会出现跟踪变更？ #

父仓库对子模块的记录是特定commit哈希，而非分支。如果单独拉取子模块时指定的是分支名（而非父仓库记录的commit），子模块会处于分支跟踪状态，与父仓库的commit记录不一致，从而被Git标记为“跟踪变更”。严格对齐父仓库的commit哈希即可解决此问题。

内容的提问来源于stack exchange，提问作者JazzCat