GitHub Actions中Molecule测试Provisioner用户被覆盖的问题排查

问题背景 #

我有一个使用Molecule进行测试的项目，已在molecule.yml中配置预配阶段使用名为molecule的非特权用户（该用户已包含在推送至镜像仓库的镜像中）：

provisioner:
  name: ansible
  connection_options:
    ansible_ssh_user: molecule

项目核心是通过Ableton的Nix角色安装Nix包管理器，我在GitHub Actions上搭建了可复现问题的小型剧本。

本地执行molecule test时一切正常，预配流程以molecule用户运行；但推送到GitHub触发GitHub Actions工作流执行同一命令时，测试却以runner用户运行，导致测试失败。

我最初使用的是旧版配置，后来换成了上面的新版，两种配置在本地都正常，但在GitHub Actions环境中均无效：

provisioner:
  name: ansible
  config_options:
    defaults:
      remote_user: molecule

我想知道：为什么这种配置覆盖仅发生在GitHub Actions环境中？有没有办法绕过或修正这个行为？我查阅了GitHub Actions文档及相关资料，但未找到对应内容。

可能的原因 #

1. Ansible全局配置优先级更高：GitHub Actions runner环境中可能存在系统级或用户级的ansible.cfg文件，其中设置了remote_user=runner，而Ansible的配置加载优先级会覆盖Molecule传递的参数。
2. 环境变量覆盖：GitHub Actions环境中可能设置了ANSIBLE_REMOTE_USER环境变量，其优先级高于Molecule配置中的用户设置。
3. Docker Driver连接逻辑差异：如果使用Docker作为Molecule的driver，GitHub Actions环境中Docker的运行方式可能导致容器默认使用runner相关用户，而非镜像中预设的molecule用户。

解决方案 #

1. 在Playbook中直接指定远程用户 #

这是优先级最高的方式，直接在playbook开头声明remote_user，会覆盖所有配置文件和环境变量：

- name: 安装Nix包管理器
  hosts: all
  remote_user: molecule
  roles:
    - role: Ableton.nix

2. 在Molecule配置中强制设置环境变量 #

在molecule.yml的provisioner部分添加env字段，直接覆盖Ansible的远程用户环境变量：

provisioner:
  name: ansible
  env:
    ANSIBLE_REMOTE_USER: molecule
  connection_options:
    ansible_ssh_user: molecule

3. 检查并覆盖GitHub Actions中的Ansible全局配置 #

在工作流中先查看当前Ansible的全局配置，确认是否有冲突：

jobs:
  molecule-test:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: 查看Ansible全局配置
        run: ansible-config view
      # 后续安装Molecule及测试步骤

如果发现全局配置中存在remote_user=runner，可以在运行molecule test前创建临时的ansible.cfg覆盖：

- name: 创建临时Ansible配置文件
  run: |
    cat > ansible.cfg << EOF
    [defaults]
    remote_user = molecule
    EOF

4. 配置Molecule Docker Driver指定运行用户 #

如果使用Docker作为driver，直接在platforms配置中指定容器运行的用户：

driver:
  name: docker
platforms:
  - name: instance
    image: your-image:tag
    command: ""
    user: molecule  # 强制容器以该用户启动

内容的提问来源于stack exchange，提问作者staticdev