Ansible如何实现除单个远程任务外其余任务在localhost运行及配置远程凭据

核心实现遵循Ansible官方推荐的委托机制，不改动原有localhost执行的整体逻辑，仅针对需要跨主机操作的任务做单独配置，要点如下：

• 提前将远程存储服务器加入Ansible资产清单（inventory），不要将主机地址硬编码在任务逻辑中，降低后续维护成本
• 写入远程文件使用copy模块的content参数直接传递注册变量内容，保证操作幂等，避免用shell重定向、debug输出等非幂等方式写文件
• 后续需要读取远程文件做逻辑判断时，同样通过任务委托的方式在远程主机侧读取文件内容，拉取到本地做变量解析后再做条件判断，不要尝试在localhost直接挂载远程路径读取
• 所有委托到远程主机的任务关闭facts收集，减少不必要的SSH连接开销

凭据配置遵循最小权限、敏感信息不落地明文的原则，优先级从高到低如下：

• 优先使用SSH密钥免密认证：将执行playbook的本地主机公钥提前写入远程存储服务器对应用户的~/.ssh/authorized_keys文件中，全程不需要输入密码，是生产环境首选方案
• 自定义连接参数配置：如果需要指定非默认用户、自定义私钥路径或使用密码认证，将ansible_user、ansible_ssh_private_key_file、ansible_password这类连接变量配置在存储服务器对应的host_vars、group_vars或inventory文件中，所有敏感值必须用ansible-vault加密存储
• 临时执行场景可以在执行playbook时通过-e参数传入临时凭据，执行结束后凭据不会留存到配置文件中
• 禁止将SSH密码、私钥内容等敏感信息明文写在playbook任务逻辑中

首先在inventory文件中添加存储服务器条目，示例inventory.ini配置：

[localhost]
localhost ansible_connection=local

[storage_servers]
remote.storageserver.com ansible_user=storage_admin # 可在这里追加加密后的连接参数

对应playbook内容：

- hosts: localhost
  gather_facts: false
  tasks:
    - name: run task1
      debug: msg="running task on localhost"

    - name: run task 2
      debug: msg="running all others also localhost"
      register: output

    - name: store registered output to remote storage server file
      copy:
        content: "{{ output | to_nice_json }}"
        dest: /opt/storage/task2_result.json # 替换为远程服务器实际的目标文件路径
        mode: '0644'
      delegate_to: remote.storageserver.com
      delegate_facts: false

    # 读取远程存储的文件内容用于后续判断
    - name: fetch stored file content from remote server
      slurp:
        src: /opt/storage/task2_result.json
      delegate_to: remote.storageserver.com
      register: remote_file_raw

    - name: parse file content to usable variable
      set_fact:
        stored_result: "{{ remote_file_raw.content | b64decode | from_json }}"

    - name: run conditional task based on stored content
      debug: msg="Condition matched, execute follow-up logic"
      when: stored_result.msg == "running all others also localhost"

注意：执行前确认本地主机到远程存储服务器的SSH 22端口连通性正常，配置的远程用户对目标文件路径有读写权限。

内容的提问来源于stack exchange，提问作者SNR