多云环境下Ansible服务器登录权限配置问题

1. 重构Inventory与组变量 #

放弃在主机行硬编码ansible_user，改用组变量统一管理不同云环境的登录规则，避免与Playbook配置冲突。

最终Inventory文件（inventory.ini）

# 按云环境分组
[cloud1]
x.x.x.x  # 需要admin登录后提权的服务器

[cloud2]
z.z.z.z  # 可直接root登录的服务器

# 所有云服务器的父组
[all_clouds:children]
cloud1
cloud2

创建组变量文件

在Inventory同级目录下新建group_vars文件夹，分别为每个云组创建配置文件：

• group_vars/cloud1.yml（对应cloud1环境）

# 默认服务账号（后续日常操作使用）
default_remote_user: my_service_account
# 临时/首次root登录的配置
root_login_user: admin
root_login_become: yes
root_login_become_user: root

• group_vars/cloud2.yml（对应cloud2环境）

# 默认服务账号（后续日常操作使用）
default_remote_user: my_service_account
# 临时/首次root登录的配置
root_login_user: root
root_login_become: no

2. 修改Playbook实现动态身份切换 #

通过自定义变量use_root控制登录身份，默认使用服务账号，临时需要root时只需传入变量即可，无需命令行-u参数。

修改后的Playbook（site.yml）

---
- name: Multi-cloud server management
  hosts: "{{ ansible_limit | default('all_clouds') }}"
  gather_facts: false
  # 动态选择登录用户：use_root为true时用root登录配置，否则用默认服务账号
  remote_user: "{{ use_root | default(false) | ternary(root_login_user, default_remote_user) }}"
  # 动态控制提权：仅cloud1环境需要sudo提权
  become: "{{ use_root | default(false) | ternary(root_login_become, false) }}"
  # 仅当需要提权时指定become_user
  become_user: "{{ use_root | default(false) | ternary(root_login_become_user, omit) }}"

  roles:
    - defaults
    - webserver

  tasks:
    - name: Check current user
      shell: whoami
      register: current_user_output
    - debug:
        msg: "Current executing user: {{ current_user_output.stdout }}"

3. 使用方式 #

• 默认日常操作（服务账号）：直接运行Playbook，自动使用各环境的服务账号登录

  ansible-playbook site.yml
  

• 临时以root身份执行：通过-e传入use_root=true，自动匹配对应云环境的root登录方式

  ansible-playbook site.yml -e use_root=true
  

关键优势 #

• 云环境的登录配置完全隔离，新增环境只需添加组和组变量，维护成本低
• 无需修改Playbook或命令行-u参数，通过变量快速切换身份
• 彻底解决ansible_user与Playbookremote_user的覆盖冲突问题

内容的提问来源于stack exchange，提问作者Ricky Levi