Ansible：如何将Vault存储的变量关联到指定主机并解决连接错误

你的错误根源是Ansible连接主机所需的变量（如ansible_user）加载时机早于playbook中vars_files的加载时机：

• 解析inventory、建立SSH连接的阶段，playbook里的vars_files还没被加载，导致host_vars/test.yml里的{{ test_user }}无法被解析，Ansible只能使用默认的root用户尝试连接，最终触发权限拒绝错误。

修正步骤 #

1. 确保secrets.yml已加密（若未执行） #

ansible-vault encrypt secrets.yml

2. 调整Inventory，让凭证变量在连接阶段生效 #

修改inventory.yml，给test组添加vars_files配置，确保secrets.yml在inventory解析阶段就被加载：

all:
  children:
    test:
      hosts:
        10.10.10.10
      vars_files:
        - secrets.yml

3. 配置主机/组变量引用凭证 #

创建group_vars/test.yml（或修改host_vars/test.yml），定义连接和提权变量：

# SSH登录用户
ansible_user: "{{ test_user }}"
# SSH登录密码（如果你的主机用密码而非密钥登录）
ansible_password: "{{ test_pass }}"
# sudo提权密码
ansible_become_pass: "{{ test_pass }}"

注意：如果你的主机是用SSH密钥登录，只需保留ansible_user和ansible_become_pass即可。

4. 修正执行命令（修正笔误） #

你命令里指定的playbook是secure_linux.yml，但实际文件是playbook.yml，需修正：

ansible-playbook -i inventory.yml playbook.yml --ask-vault-pass

补充说明 #

• 连接类变量（ansible_user、ansible_password等）属于inventory变量，必须在inventory解析阶段被加载才能生效，不能仅依赖playbook的vars_files。
• 若不想修改inventory，也可以通过ansible.cfg配置defaults.vault_identity_list，或者使用--extra-vars '@secrets.yml'参数强制提前加载变量，但最规范的方式还是通过inventory的组/主机变量结合vars_files实现。

内容的提问来源于stack exchange，提问作者liegendeacht