Ansible循环创建本地账户时如何隐藏SHA加密密码？

方法1：使用no_log: true隐藏任务敏感输出 #

在user任务中添加no_log: true参数，Ansible会完全禁止该任务的日志输出，包括循环中的item详情，从根源上避免密码泄露：

- name: "Add users"
  user:
    name: "{{item.name}}"
    uid: "{{item.uid}}"
    password: "{{ toto | string | password_hash('sha512') }}"  # 直接引用group_vars中的加密变量
    group: toto
    update_password: always
    comment: toto
    shell: /bin/bash
    password_expire_max: 365
  loop:
    - { uid: 12000, name: 'toto' }  # 移除item中多余的password字段，任务直接调用group_vars变量即可
  no_log: true

方法2：自定义循环输出标签（保留部分任务输出） #

如果不想完全隐藏任务输出，只想屏蔽敏感字段，可通过loop_control的label参数自定义循环显示内容，只展示非敏感信息：

- name: "Add users"
  user:
    name: "{{item.name}}"
    uid: "{{item.uid}}"
    password: "{{ toto | string | password_hash('sha512') }}"
    group: toto
    update_password: always
    comment: toto
    shell: /bin/bash
    password_expire_max: 365
  loop:
    - { uid: 12000, name: 'toto' }
  loop_control:
    label: "User: {{ item.name }} (UID: {{ item.uid }})"

执行后循环输出会变为：

ok: [192.168.113.199] => (item=User: toto (UID: 12000))

不再包含任何密码相关内容。

额外优化建议 #

• 不要在loop的item中存放敏感数据：即使做了输出隐藏，也尽量避免将密码这类敏感信息放在循环字典里，减少风险。
• 确保group_vars加密正确：用ansible-vault encrypt命令加密存储密码的group_vars文件，保障静态敏感数据安全。

内容的提问来源于stack exchange，提问作者farnould