Ansible getent模块查询LDAP用户存在性结果异常解决方法

原playbook调用getent模块拉取全量passwd数据库条目时，Ansible默认仅枚举本地/etc/passwd（files数据源）的内容，不会完整遍历NSS配置的LDAP/SSSD等远程后端的全量条目，因此LDAP用户不会出现在getent_passwd的键列表中，导致匹配失败。手动在Bash中执行getent passwd <用户名>指定单个key查询时，会按nsswitch配置顺序检索所有后端，因此能正常返回LDAP用户结果。

1. 仅校验LDAP用户存在性 #

不要拉取全量passwd列表做匹配，直接针对待校验用户调用getent模块，通过service参数强制指定从LDAP后端查询，从数据源层面隔离本地用户，确保校验通过的用户一定来自LDAP，不会把本地用户（比如root）误判为合法用户。
提前在目标主机Bash中执行命令验证对应服务名，能正常返回用户信息即可使用：

• 直连nslcd对接LDAP场景：执行getent -s ldap passwd myfid验证，service参数填ldap
• SSSD对接LDAP场景：执行getent -s sss passwd myfid验证，service参数填sss

2. 用户不存在时终止playbook #

通过register关键字存储getent查询的返回结果，遍历结果如果存在查询失败的条目，直接调用fail模块终止playbook运行即可。

完整可直接复用的playbook片段如下：

- name: 校验目标LDAP用户有效性
  ansible.builtin.getent:
    database: passwd
    key: "{{ item }}"
    service: ldap  # 按实际对接情况替换为ldap/sss
  loop:
    - myfid
    # 此处追加所有需要校验的LDAP用户名
  register: ldap_user_verify
  failed_when: false

- name: 校验不通过则终止部署
  ansible.builtin.fail:
    msg: "LDAP用户 {{ item.item }} 不存在，不符合安装要求，playbook终止运行"
  loop: "{{ ldap_user_verify.results }}"
  when: item.failed

补充说明：单用户查询的写法避免了全量枚举LDAP用户的性能问题，查询效率更高，结果也更精准。

内容的提问来源于stack exchange，提问作者János