Ansible脚本报错求助：冲突的操作语句user与update_password

第一个错误：conflicting action statements: user, update_password #

你的Reset root password任务中，update_password是user模块的专属参数，却被写成了和user平级的任务动作，违反Ansible语法规则，导致冲突报错。

修复后的该任务代码： #

- name: Reset root password
  user:
    name: root
    password: "{{ vault_ansible_production_root_password }}"
    update_password: always

注意：update_password必须缩进在user的参数块内，和name、password保持同一层级。

额外提醒：直接明文存储密码存在安全风险，建议用Ansible Vault加密该变量，替换当前明文值。

第二个任务：批量删除用户的写法错误 #

原任务里name: "*"和uid: ">=1000"的写法不被user模块支持——user模块一次只能操作单个用户，无法通过通配符或uid范围批量处理。

修复后的批量删除逻辑： #

1. 先用getent模块获取系统中所有uid≥1000的用户（通常为普通用户）
2. 循环遍历这些用户，调用user模块逐一删除

修复后的代码：

- name: Get all users with uid >=1000
  getent:
    database: passwd
    split: ":"
  register: passwd_entries

- name: Disable user accounts
  user:
    name: "{{ item.key }}"
    state: absent
    remove: yes
  loop: "{{ passwd_entries.entries | dict2items }}"
  when: item.value[2] | int >= 1000

解释：

• getent passwd会获取系统所有用户信息，结果存入passwd_entries变量
• 通过dict2items将字典格式的用户信息转为可循环的列表结构
• when条件过滤出uid（passwd条目第三个字段）≥1000的用户
• 循环执行删除操作处理每个符合条件的用户

完整修正后的脚本 #

---
- name: Reset root password, disable users
  hosts: all
  become: yes
  become_user: root
  vars:
    vault_ansible_production_root_password: "{{ vault_ansible_production_root_password }}" # 建议用Ansible Vault加密
  tasks:
    - name: Reset root password
      user:
        name: root
        password: "{{ vault_ansible_production_root_password }}"
        update_password: always

    - name: Get all users with uid >=1000
      getent:
        database: passwd
        split: ":"
      register: passwd_entries

    - name: Disable user accounts
      user:
        name: "{{ item.key }}"
        state: absent
        remove: yes
      loop: "{{ passwd_entries.entries | dict2items }}"
      when: item.value[2] | int >= 1000

内容的提问来源于stack exchange，提问作者network_sense