如何用Ansible从本地针对多环境Keycloak运行Playbook？

针对你的需求——本地运行Playbook，通过API配置不同环境的Keycloak实例，无需连接远程服务器本身，以下是更规范的实现方式：

1. 采用分层Inventory目录结构 #

通过Ansible的环境专属Inventory+Group Vars实现配置隔离，既保持本地运行的逻辑，又清晰区分各环境参数：

目录结构 #

inventories/
├── dev/
│   ├── inventory
│   └── group_vars/
│       └── all/
│           └── keycloak.yml
├── staging/
│   ├── inventory
│   └── group_vars/
│       └── all/
│           └── keycloak.yml
└── production/
    ├── inventory
    └── group_vars/
        └── all/
            └── keycloak.yml

每个环境的Inventory文件 #

所有环境的inventory文件内容统一，明确指定本地运行：

localhost ansible_connection=local

环境专属变量文件 #

在每个环境的keycloak.yml中定义对应Keycloak实例的参数（敏感数据建议用Ansible Vault加密，见下文）：

inventories/dev/group_vars/all/keycloak.yml

auth_keycloak_url: "https://keycloak-dev.example.com/auth"
auth_realm: "master"
auth_username: "admin"
auth_client_id: "admin-cli"
realm: "my-dev-realm"

inventories/staging/group_vars/all/keycloak.yml

auth_keycloak_url: "https://keycloak-staging.example.com/auth"
auth_realm: "master"
auth_username: "admin"
auth_client_id: "admin-cli"
realm: "my-staging-realm"

2. 优化Playbook #

保留原Playbook的核心逻辑，无需修改太多——变量会自动从对应环境的Group Vars中加载，密码仍通过交互式输入：

- name: Configure Keycloak Roles
  hosts: all
  vars_prompt:
    - name: auth_password
      prompt: "Enter Keycloak admin password for target environment"
      private: yes
  module_defaults:
    community.general.keycloak_role:
      auth_keycloak_url: "{{ auth_keycloak_url }}"
      auth_realm: "{{ auth_realm }}"
      auth_username: "{{ auth_username }}"
      auth_password: "{{ auth_password }}"
      auth_client_id: "{{ auth_client_id }}"
      realm: "{{ realm }}"
  tasks:
    - name: Ensure client roles exist
      community.general.keycloak_role:
        name: "{{ item }}"
        client_id: "my-test-client"
        state: present
      loop:
        - role_01
        - role_02
        - role_03

3. 执行命令 #

针对不同环境，指定对应的Inventory路径即可：

# 配置Dev环境
ansible-playbook -i inventories/dev/inventory keycloak_roles.yml

# 配置Staging环境
ansible-playbook -i inventories/staging/inventory keycloak_roles.yml

# 配置Production环境（建议搭配Vault）
ansible-playbook -i inventories/production/inventory keycloak_roles.yml --ask-vault-pass

4. 敏感数据加密（可选但推荐） #

对于生产环境的敏感变量（如用户名、密码），用Ansible Vault加密存储：

# 加密生产环境的变量文件
ansible-vault encrypt inventories/production/group_vars/all/keycloak.yml

# 编辑加密后的文件
ansible-vault edit inventories/production/group_vars/all/keycloak.yml

方案说明 #

这种方式的合理性在于：你的操作本质是本地发起API请求配置远程Keycloak服务，而非登录到Keycloak服务器执行命令，因此使用ansible_connection=local是完全正确的。通过Group Vars隔离环境参数，既符合Ansible的最佳实践，又能清晰管理不同环境的配置差异，避免重复代码。

内容的提问来源于stack exchange，提问作者Robert Strauch