Ansible配置用户账号时如何匹配对应LDAP身份源ID

核心思路 #

先从用户/组名称中提取域名部分，再通过预先生成的id_domain_dict字典匹配对应的identity_source_id，最后将动态值注入到POST请求的body中。

具体实现步骤及代码示例 #

1. 安全提取域名

使用Ansible的字符串拆分或正则替换，确保能正确获取@后的域名部分（兼容极端场景，比如名称中包含多个@的情况）：

• 拆分法：{{ item.name.split('@')[-1] }}（取最后一个@后的内容）
• 正则法：{{ item.name | regex_replace('^.*@', '') }}（替换掉@之前的所有内容）

如果存在大小写不一致的问题，可添加小写转换：{{ item.name.split('@')[-1] | lower }}

2. 匹配identity_source_id

通过字典的get方法安全取值，避免因域名不存在导致报错（可指定默认值）：
{{ id_domain_dict.get(提取的域名, '默认ID或标记') }}

3. 完整Playbook示例

- name: 批量配置LDAP角色绑定
  hosts: target_servers
  vars:
    # 预先生成的域名到ID的映射字典
    id_domain_dict:
      west.acme.com: "ldap-west-001"
      east.acme.com: "ldap-east-002"
      north.acme.com: "ldap-north-003"
      south.acme.com: "ldap-south-004"
    # 需要配置的用户/组列表
    ldap_principals:
      - name: "auditors@west.acme.com"
        role: "audit-admin"
      - name: "server-admins@east.acme.com"
        role: "sys-admin"
      - name: "db-team@north.acme.com"
        role: "db-operator"
  tasks:
    - name: 发送POST请求配置角色绑定
      uri:
        url: "https://{{ inventory_hostname }}/api/v1/role-bindings"
        method: POST
        headers:
          Content-Type: "application/json"
          Authorization: "Bearer {{ auth_token }}"
        # 静态属性+动态匹配的identity_source_id
        body: |
          {
            "name": "{{ item.name }}",
            "role": "{{ item.role }}",
            "identity_source_id": "{{ id_domain_dict[item.name.split('@')[-1]] }}",
            "permission_level": "full",
            "expiry_date": "2025-12-31"
          }
        body_format: json
        status_code: 201
      loop: "{{ ldap_principals }}"
      # 仅处理字典中存在的域名，避免无效请求
      when: item.name.split('@')[-1] in id_domain_dict

4. 进阶：预计算ID（更清晰的逻辑）

如果需要更明确的流程，可提前为每个主体计算好identity_source_id：

- name: 预计算每个主体的identity_source_id
  set_fact:
    processed_principals: "{{ processed_principals | default([]) + [
      item | combine({
        'identity_source_id': id_domain_dict.get(item.name.split('@')[-1] | lower, 'invalid-domain')
      })
    ] }}"
  loop: "{{ ldap_principals }}"

- name: 发送配置请求
  uri:
    url: "https://{{ inventory_hostname }}/api/v1/role-bindings"
    method: POST
    headers:
      Content-Type: "application/json"
      Authorization: "Bearer {{ auth_token }}"
    body: "{{ item | combine({
      'permission_level': 'full',
      'expiry_date': '2025-12-31'
    }) | to_json }}"
    body_format: json
    status_code: 201
  loop: "{{ processed_principals }}"
  when: item.identity_source_id != 'invalid-domain'

常见问题排查 #

• 域名匹配失败：检查id_domain_dict的键与提取的域名是否完全一致（包括大小写、后缀），必要时添加lower过滤器统一格式
• 拆分失败：确保所有用户/组名称都包含@，如果存在例外，可添加条件判断跳过或单独处理

内容的提问来源于stack exchange，提问作者piercjs