Ansible多主机凭据配置冲突问题及解决方案咨询

问题背景 #

我有一个包含多台主机的Ansible清单，部分主机直接配置了ansible_user=root及对应密码，其余主机使用当前登录用户，未设置ansible_user、ansible_password和ansible_sudo_pass。清单示例如下：

[glpi]
nginx-eu ansible_host=8.8.8.8
elk-emea ansible_host=8.8.8.8 ansible_user=root ansible_password=foo ansible_sudo_pass=bar

单独运行两台主机时的命令分别为：

• 运行elk-emea无需额外指定凭据：

ansible-playbook toto.yml -i Inventory --limit elk-emea

• 运行nginx-eu需要通过--extra-vars传入本地凭据文件：

ansible-playbook toto.yml -i Inventory --limit nginx-eu --extra-vars @~/.ansible/passwords.yml

同时运行的冲突问题 #

当同时运行两台主机时，会遇到两难情况：

• 不传入--extra-vars：elk-emea可正常执行，但nginx-eu因缺少凭据失败；
• 传入--extra-vars：全局变量会覆盖elk-emea清单中已配置的ansible_password和ansible_sudo_pass，导致其无法使用root用户的凭据执行任务。

提出的解决方案 #

我计划通过以下方式解决冲突：

1. 在~/.ansible/passwords.yml中以当前登录用户名为前缀定义凭据变量，比如当前用户名为mylogin，则文件内容为：

mylogin_password: your_login_password
mylogin_sudo_pass: your_sudo_password

2. 修改清单中nginx-eu的配置，通过环境变量USER动态引用对应前缀的凭据变量：

nginx-eu ansible_host=8.8.8.8 ansible_password="{{ hostvars[inventory_hostname][lookup('ansible.builtin.env', 'USER') + '_password'] }}" ansible_sudo_pass="{{ hostvars[inventory_hostname][lookup('ansible.builtin.env', 'USER') + '_sudo_pass'] }}"

方案可行性分析 #

这个方案是完全可行的，核心原因如下：

• 变量优先级适配：清单中通过Jinja2表达式定义的主机变量，优先级高于--extra-vars传入的全局变量，因此elk-emea的原有凭据配置不会被覆盖；
• 动态引用隔离：lookup('ansible.builtin.env', 'USER')只会获取当前执行Ansible命令的用户名，拼接出的凭据变量仅对nginx-eu生效，不会干扰elk-emea的配置；
• 多用户场景兼容：不同用户的凭据可以通过用户名前缀区分，避免多人共享清单时的凭据冲突。

优化建议 #

为了让清单结构更简洁，可将动态引用逻辑迁移到主机变量文件中（比如host_vars/nginx-eu.yml），清单仅保留基础主机配置：
host_vars/nginx-eu.yml内容：

ansible_password: "{{ hostvars[inventory_hostname][lookup('ansible.builtin.env', 'USER') + '_password'] }}"
ansible_sudo_pass: "{{ hostvars[inventory_hostname][lookup('ansible.builtin.env', 'USER') + '_sudo_pass'] }}"

修改后的清单：

[glpi]
nginx-eu ansible_host=8.8.8.8
elk-emea ansible_host=8.8.8.8 ansible_user=root ansible_password=foo ansible_sudo_pass=bar

内容的提问来源于stack exchange，提问作者ofthestreet