Ansible循环中条件覆盖条目值的方法及变量未定义报错排查

报错核心是Ansible动态任务加载配合循环时的变量解析时序问题，叠加循环变量的只读限制：

1. 你使用的ansible.builtin.include_tasks是动态加载机制，Ansible会在每个循环迭代的任务正式执行前，先对所有参数里的变量引用做合法性校验。而set_fact是任务执行阶段才会赋值的操作，预校验阶段desired_item_state还未生成，直接触发未定义错误。
2. 多主机批量执行、跨循环迭代时，set_fact生成的主机级fact不会稳定传递到下一轮迭代的预校验流程，进一步放大了这个问题。
3. 你最初尝试直接修改item.state失败是正常现象：loop生成的item是Ansible内部的只读循环上下文对象，不允许在任务中直接修改属性。

不需要定义中间变量，直接把判断逻辑内联到任务参数中即可，完全规避变量作用域和时序问题，代码也更易维护。
修改后的create-account.yml内容如下，删除原来的set_fact任务，替换所有desired_item_state引用为内联判断：

---
- name: Create/update {{ item.name }} user ID
  become: true
  ansible.builtin.user:
    name: "{{ item.name }}"
    state: "{{ 'absent' if ('bastion' in group_names and not item.onbastion) else item.state }}"
    uid: "{{ item.id }}"
    groups: "{{ item.groups }}"
    append: yes
    update_password: on_create
    password: "!"

- name: Create/update {{ item.name }} group ID
  become: true
  ansible.builtin.group:
    name: "{{ item.name }}"
    state: "{{ 'absent' if ('bastion' in group_names and not item.onbastion) else item.state }}"
    gid: "{{ item.id }}"

- name: Update ownership of /home/{{ item.name }}
  become: true
  ansible.builtin.file:
    path: /home/{{ item.name }}
    state: directory
    recurse: yes
    owner: "{{ item.name }}"
    group: "{{ item.name }}"
  when: "item.state == 'present' and not ('bastion' in group_names and not item.onbastion)"

如果觉得重复写判断逻辑冗余，也可以用前置过滤的写法，逻辑更清晰：

1. 保留create-account.yml里的任务，直接使用item.state作为state参数，when条件统一判断item.state == 'present'
2. 修改tasks/main.yml，在调用时过滤掉不需要在当前节点创建的用户，额外增加清理任务：

- name: Create/keep valid users on current host
  ansible.builtin.include_tasks: create-account.yml
  loop: "{{ users }}"
  when: >
    item.state == 'present'
    and not ('bastion' in group_names and not item.onbastion)

- name: Remove invalid users from current host
  become: true
  ansible.builtin.user:
    name: "{{ item.name }}"
    state: absent
    remove: yes
  loop: "{{ users }}"
  when: >
    item.state == 'absent'
    or ('bastion' in group_names and not item.onbastion)

这种写法不需要重复写多段相同的判断逻辑，账号创建和删除的逻辑完全分离，后续调整规则时只需要改一处过滤条件即可，也不会出现变量未定义的问题。

如果一定要保留set_fact的写法，只需要在create-account.yml开头给desired_item_state预定义默认值，让预校验阶段能找到该变量即可：

---
vars:
  desired_item_state: "{{ item.state }}"

- name: Update item state if on bastion
  set_fact:
    desired_item_state: "{{ 'absent' if ('bastion' in group_names and item.onbastion == false) else item.state }}"
# 后续任务保持不变

但这种方案多了一层不必要的中间变量，维护成本更高，不推荐使用。

内容的提问来源于stack exchange，提问作者chief_finanigans