ansible.builtin.file跨主机错误应用用户身份问题排查

问题根源 #

你遇到的核心问题是Ansible 2.9版本的file模块解析用户名到UID/GID的机制导致的：

• 默认情况下，file模块如果用用户名指定owner/group，会在控制节点或者第一个执行该任务的远程节点上解析出对应的UID/GID数值，之后把这个数值直接复用在所有其他节点上。
• 你的Playbook同时在多台主机（bastionbox、operatorbox组）并行执行任务，不同主机上jimbo/bobo的UID/GID不一致，加上任务执行顺序随机，就会出现所有权来回切换的情况——哪台主机先执行任务，它的UID就会被错误套用到其他主机。

另外你的with_dict写法有个小冗余：- "{{ operators }}"把字典套成了列表，虽然不影响功能，但标准写法应该直接用"{{ operators }}"。

解决方案 #

要让每个目标节点都用本地的UID/GID设置权限，有两种可靠方法：

方法1：强制在目标节点本地解析UID/GID #

修改file任务的owner和group字段，用lookup('pipe')在目标节点执行命令获取本地的UID/GID：

- name: Set home directory permissions
  file:
    path: "/home/{{ item.key }}"
    state: directory
    owner: "{{ lookup('pipe', 'id -u {{ item.key }}') }}"
    group: "{{ lookup('pipe', 'id -g {{ item.key }}') }}"
    recurse: true
  with_dict: "{{ operators }}"

这种方式会在每台目标主机上单独执行id -u/id -g命令，确保拿到的是当前主机对应用户的正确ID。

方法2：禁用Ansible的UID/GID缓存 #

在ansible.cfg中添加以下配置，关闭用户名到UID/GID的缓存，让模块每次都在目标节点重新解析：

[defaults]
fact_caching = none
gathering = explicit

如果你的Playbook不需要收集其他系统信息，也可以在Play中添加gather_facts: false，不过这种方式不如方法1直接可控。

额外优化 #

把with_dict: - "{{ operators }}"改成with_dict: "{{ operators }}"，因为operators本身就是字典，不需要额外套一层列表，让代码更规范。

内容的提问来源于stack exchange，提问作者jsharpe