如何通过命令行将Azure服务主体信息传递给Ansible？

首先，你的思路完全正确——生产环境确实应该规避明文凭据文件，改用更安全的方式传递认证信息。下面给你两种可行的方案，其中环境变量的方式是生产环境的首选：

方案1：通过环境变量传递凭据（推荐） #

Azure的Ansible模块和动态清单插件原生支持读取特定环境变量，这是最安全的方式（避免命令行参数泄露敏感信息），操作也非常简洁：

临时会话传递（单次执行） #

在Linux/macOS终端中，你可以先导出凭据为环境变量，再运行playbook：

# 导出Azure认证环境变量
export AZURE_SUBSCRIPTION_ID="你的订阅ID"
export AZURE_CLIENT_ID="你的服务主体ID"
export AZURE_SECRET="你的服务主体密钥"
export AZURE_TENANT="你的租户ID"

# 执行playbook
ansible-playbook -i ./dev-env/epazure_rm.yml ./dev-env/site.yml -vvvv -u adminuser

或者也可以把环境变量和命令写在一行，避免污染当前终端的全局环境：

AZURE_SUBSCRIPTION_ID="你的订阅ID" AZURE_CLIENT_ID="你的服务主体ID" AZURE_SECRET="你的服务主体密钥" AZURE_TENANT="你的租户ID" ansible-playbook -i ./dev-env/epazure_rm.yml ./dev-env/site.yml -vvvv -u adminuser

此时你的动态清单可以简化（auth_source: auto会自动优先读取环境变量）：

---
plugin: azure_rm
include_vm_resource_groups:
  - rg-devdonal-eastus01
auth_source: auto
keyed_groups:
  - prefix: tag
    key: tags

方案2：通过--extra-vars传递（适配你的现有配置） #

如果你坚持用命令行参数传递，需要注意动态清单加载优先级的问题——Ansible会先加载清单再处理playbook变量，直接在命令行传--extra-vars可能导致清单无法读取到变量。解决方法是把凭据放到权限严格的单独YAML文件中：

1. 创建azure_creds.yml文件（记得设置权限chmod 600 azure_creds.yml，禁止其他用户读取）：

AZURE_SUBSCRIPTION_ID: "你的订阅ID"
AZURE_CLIENT_ID: "你的服务主体ID"
AZURE_SECRET: "你的服务主体密钥"
AZURE_TENANT: "你的租户ID"

2. 执行playbook时引用这个文件：

ansible-playbook -i ./dev-env/epazure_rm.yml ./dev-env/site.yml -vvvv -u adminuser --extra-vars "@azure_creds.yml"

你的现有动态清单配置无需修改，因为已经正确引用了这些变量。

生产环境额外建议 #

• 避免命令行明文传敏感信息：命令行参数会被系统进程列表（如ps命令）捕获，存在泄露风险，环境变量的方式更安全。
• CI/CD环境用秘密管理：如果在GitHub Actions、GitLab CI等平台运行，直接用平台的秘密管理功能注入环境变量，完全不需要明文存储凭据。
• 进阶方案：Azure托管身份。如果你的Ansible运行在Azure VM、AKS等服务上，可以启用托管身份，完全不用传递任何凭据——只需要把清单里的auth_source改成managed_identity，并给托管身份配置对应Azure资源的权限即可，这是最安全的生产级方案。

内容的提问来源于stack exchange，提问作者donal