如何根据任务执行结果动态变更Ansible主机连接方式？

这个场景我太熟悉了——Ansible默认会在play启动前就尝试建立连接并收集facts，这直接导致你没法用set_fact临时改连接参数，因为还没到那一步就失败了。我给你几个实战中验证过的方案，分场景选就行：

方案1：拆分Play，分阶段处理连接配置 #

这是最常用也最稳妥的方式，把整个流程拆成多个独立的Play，每个Play用独立的连接配置。第一个Play处理前置任务（比如搭建隧道），后续Play直接读取前置任务的结果来切换连接方式。

比如你提到的隧道+跳板机场景，示例Playbook如下：

---
# 第一阶段：配置隧道，标记是否成功
- name: Prepare tunnel and check status
  hosts: tunnel_host
  gather_facts: no  # 先禁用facts收集，避免提前触发连接失败
  tasks:
    - name: Setup tunnel between hosts
      command: /usr/local/bin/configure_tunnel.sh
      register: tunnel_setup_result

    # 用set_fact标记隧道是否配置成功
    - name: Set tunnel ready flag
      set_fact:
        tunnel_is_ready: "{{ tunnel_setup_result.rc == 0 }}"

# 第二阶段：根据隧道状态，用跳板机连接目标主机
- name: Manage target host via jump box
  hosts: target_host
  gather_facts: yes
  vars:
    # 动态设置SSH代理参数
    ansible_ssh_common_args: >-
      {% if hostvars['tunnel_host']['tunnel_is_ready'] %}
      -o ProxyCommand="ssh -W %h:%p jump_user@jump_box_ip"
      {% else %}
      # 隧道未就绪时用原连接参数
      -o ConnectTimeout=10
      {% endif %}
  tasks:
    - name: Verify connection via jump box
      debug:
        msg: "Successfully connected to target via jump box!"

每个Play的连接配置是独立加载的，第一阶段禁用gather_facts可以避免Ansible提前尝试连接目标主机，等隧道配置好后，第二阶段再用新的代理参数建立连接。

方案2：动态Inventory + 刷新库存 #

如果需要更灵活的连接变更（比如中途修改用户名/密码），可以用动态Inventory脚本配合meta: refresh_inventory指令。

举个例子：

1. 写一个动态Inventory脚本（比如dynamic_inv.py），它从一个JSON文件（比如conn_config.json）读取主机的连接参数；
2. 在Playbook中先更新这个JSON文件的内容，再刷新库存让Ansible加载新的连接配置。

示例Playbook：

---
# 第一阶段：更新连接凭证
- name: Update target host credentials
  hosts: localhost
  gather_facts: no
  tasks:
    - name: Overwrite connection parameters
      copy:
        content: |
          {
            "target_host": {
              "ansible_user": "new_admin",
              "ansible_password": "new_secure_pass",
              "ansible_become_password": "new_secure_pass"
            }
          }
        dest: /opt/ansible/conn_config.json

    # 刷新库存，让Ansible重新加载动态Inventory
    - name: Refresh inventory to apply new credentials
      meta: refresh_inventory

# 第二阶段：用新凭证连接目标主机
- name: Connect with updated credentials
  hosts: target_host
  tasks:
    - name: Check current user
      command: whoami
      register: current_user
    - debug:
        msg: "Connected as user: {{ current_user.stdout }}"

这种方式适合需要频繁变更连接参数的场景，动态Inventory可以从数据库、配置中心等实时拉取最新配置，非常灵活。

方案3：本地代理执行（极端场景） #

如果必须在同一个Play里切换连接方式（比如某些不可拆分的流程），可以跳过Ansible的连接层，用delegate_to: localhost手动执行SSH命令。

示例：

---
- name: Switch connection mid-play
  hosts: target_host
  gather_facts: no
  tasks:
    - name: Initial task with original connection
      command: echo "Running with original connection"
      register: initial_task_result

    # 根据前置任务结果，手动通过跳板机执行命令
    - name: Execute task via jump box
      command: >
        ssh -o StrictHostKeyChecking=no
        -o ProxyCommand="ssh -W %h:%p jump_user@jump_box_ip"
        target_user@target_host "echo 'Executed via jump box'"
      delegate_to: localhost
      when: initial_task_result.rc == 0

这个方法比较“hack”，需要自己处理SSH密钥、认证等细节，但适合紧急场景下的临时连接切换。

额外注意事项 #

• 尽量在不需要的Play中禁用gather_facts，或者用setup模块在确认连接正常后再手动收集facts；
• 对于跳板机配置，也可以用专门的ansible_ssh_proxy_command变量，比ansible_ssh_common_args更清晰；
• 如果涉及密码变更，确保Ansible的连接插件支持（比如启用paramiko或者安装sshpass）。

内容的提问来源于stack exchange，提问作者OJFord