Ansible调用Graph API循环添加Azure AD组成员仅最后一个生效问题

• 当前循环逻辑仅遍历az_group_config_data中的组配置对象，未对每个组下的members成员列表做二次遍历，az_user_mail变量实际拿到的是整个成员邮箱数组而非单个邮箱地址，导致用户ID查询匹配异常，最终仅最后一个符合匹配规则的用户会被添加到组中。

步骤1：修改main.yml中的组填充任务循环逻辑 #

将原遍历组配置的循环改为使用subelements过滤器遍历「组+单个成员」的组合：

- name: Populate the group with members
  include_tasks: tasks/groups/add_member.yml
  when: az_group_id != "" and group_member_pair.0.state == "present"
  loop: "{{ az_group_config_data | subelements('members') }}"
  loop_control:
    loop_var: group_member_pair

步骤2：修改vars/main.yml中的变量引用规则 #

适配新的循环变量，每次循环取单个成员邮箱：

az_group_name: "{{ group_member_pair.0.az_group_name }}"
az_user_mail: "{{ group_member_pair.1 }}"

# api helpers
graph_api_base_url: "https://graph.microsoft.com/v1.0/"
group_service_context: "groups"
user_service_context: "users"

# query helpers
az_group_id_query: "[?displayName == '{{ az_group_name }}'].id | [0]"
az_user_id_query: "[?mail == '{{ az_user_mail }}'].id | [0]"

当前get_userid.yml中每次添加成员都会调用一次Graph API拉取全量用户列表，重复请求会降低执行效率、容易触发接口限流。可以将拉取全量用户列表的任务提前到所有成员添加操作之前执行，一次性把用户列表存为Ansible Fact，后续查询用户ID直接复用该缓存即可。

内容的提问来源于stack exchange，提问作者hashim vayalar