如何在GitLab CI中配置Ansible使用指定GCP服务账号？

1. 确保环境变量在Ansible任务Job中生效 #

Terraform Job中配置的环境变量不会自动传递到其他Job，需在Ansible任务所在的Job中重新配置或通过artifacts传递凭证文件：

• 若依赖Terraform Job生成的凭证，可通过needs和artifacts下载_auth目录：

  ansible_deploy:
    stage: deploy
    needs: [terraform_apply]
    artifacts:
      paths:
        - _auth/
      from: terraform_apply
    before_script:
      - export GOOGLE_APPLICATION_CREDENTIALS=$CI_PROJECT_DIR/_auth/.gcp_temp_cred.json
      - export CLOUDSDK_AUTH_CREDENTIAL_FILE_OVERRIDE=$GOOGLE_APPLICATION_CREDENTIALS
      - export GOOGLE_CLOUD_PROJECT=$(cat $CI_PROJECT_DIR/_auth/.GOOGLE_CLOUD_PROJECT)
      # 激活指定服务账号，覆盖Runner默认账号
      - gcloud auth activate-service-account --key-file=$GOOGLE_APPLICATION_CREDENTIALS
  

2. 让Ansible明确使用指定凭证 #

针对Ansible GCP模块（如google.cloud系列）

在playbook中显式指定服务账号文件路径，避免fallback到Runner默认账号：

- name: 管理GCP实例
  hosts: localhost
  vars:
    gcp_cred_file: "{{ lookup('env', 'GOOGLE_APPLICATION_CREDENTIALS') }}"
    gcp_project: "{{ lookup('env', 'GOOGLE_CLOUD_PROJECT') }}"
  tasks:
    - name: 获取实例列表
      google.cloud.gcp_compute_instance_info:
        project: "{{ gcp_project }}"
        auth_kind: serviceaccount
        service_account_file: "{{ gcp_cred_file }}"

针对调用gcloud命令的场景

在shell/command模块中显式指定凭证，或确保环境变量传递：

- name: SSH到GCP实例
  shell: |
    gcloud compute ssh {{ instance_name }} \
      --project {{ gcp_project }} \
      --zone {{ instance_zone }} \
      --auth-file={{ gcp_cred_file }}
  environment:
    GOOGLE_APPLICATION_CREDENTIALS: "{{ gcp_cred_file }}"

3. 验证凭证有效性 #

在Ansible Job的before_script中添加验证步骤，确认当前使用的服务账号正确：

# 检查环境变量是否存在
echo "当前凭证路径: $GOOGLE_APPLICATION_CREDENTIALS"
# 检查凭证对应的服务账号邮箱
cat $GOOGLE_APPLICATION_CREDENTIALS | grep client_email
# 检查gcloud当前激活的账号
gcloud config get-value account

4. 排除Ansible配置文件干扰 #

检查ansible.cfg中是否存在硬编码的GCP凭证配置，比如gcp_service_account_file参数，若有则在playbook中显式指定参数覆盖配置文件设置。

内容的提问来源于stack exchange，提问作者Gary Turner