Ansible中item变量未定义问题及AWS安全组规则配置求助

你遇到的这个错误核心原因是：误用了任务循环（with_items）的逻辑。你的目标是给同一个安全组添加三条规则（对应public_sg_ids里的每个安全组ID），但原代码里的with_items会让Ansible重复执行整个ec2_group任务三次，而你在rules里引用的{{ item }}在任务解析阶段就会被提前检查，此时循环还未启动，自然会抛出item未定义的错误；退一步说，就算能运行，这种写法也会重复覆盖安全组规则，达不到预期效果。

最优解决方案：一次性生成所有规则条目 #

我们不需要循环整个任务，而是直接把public_sg_ids转换为rules所需的规则列表。这里用Ansible过滤器动态生成规则，既灵活又简洁：

- name: Create Web DB Security Group
  ec2_group:
    name: "{{ vpc_name }}-web-db-sg"
    state: present
    description: Security group for RDS servers in the VPC
    vpc_id: "{{ vpc_id }}"
    region: "{{ aws_region }}"
    rules: "{{ 
      public_sg_ids 
      | map('community.general.dict_kv', 'group_id') 
      | map('combine', {'proto': 'tcp', 'ports': [5432, 3306, 1433]}) 
      | list 
    }}"
  register: web_sg

代码逻辑解释：

1. map('community.general.dict_kv', 'group_id')：把public_sg_ids里的每个安全组ID转换成{"group_id": "sg-xxxx"}格式的字典。
2. map('combine', {...})：给每个字典合并上统一的协议（tcp）和端口列表配置。
3. | list：把最终的迭代器转换成标准列表，作为rules的参数传入。

备选方案：手动构造规则列表（适合固定长度场景） #

如果你的public_sg_ids长度固定，直接写出每条规则的可读性更强：

- name: Create Web DB Security Group
  ec2_group:
    name: "{{ vpc_name }}-web-db-sg"
    state: present
    description: Security group for RDS servers in the VPC
    vpc_id: "{{ vpc_id }}"
    region: "{{ aws_region }}"
    rules:
      - proto: tcp
        group_id: "{{ public_sg_ids[0] }}"
        ports: [5432, 3306, 1433]
      - proto: tcp
        group_id: "{{ public_sg_ids[1] }}"
        ports: [5432, 3306, 1433]
      - proto: tcp
        group_id: "{{ public_sg_ids[2] }}"
        ports: [5432, 3306, 1433]
  register: web_sg

另一种思路：循环追加规则（用rules_append） #

如果需要动态分批添加规则，可以用rules_append参数，每次循环只会追加一条规则，不会覆盖已有的配置：

- name: Create empty Web DB Security Group first
  ec2_group:
    name: "{{ vpc_name }}-web-db-sg"
    state: present
    description: Security group for RDS servers in the VPC
    vpc_id: "{{ vpc_id }}"
    region: "{{ aws_region }}"
    rules: []  # 先创建空安全组
  register: web_sg

- name: Append rules to Web DB Security Group
  ec2_group:
    name: "{{ vpc_name }}-web-db-sg"
    state: present
    description: Security group for RDS servers in the VPC
    vpc_id: "{{ vpc_id }}"
    region: "{{ aws_region }}"
    rules_append:
      - proto: tcp
        group_id: "{{ item }}"
        ports: [5432, 3306, 1433]
  with_items: "{{ public_sg_ids }}"

这种方式适合规则需要动态调整的场景，但不如一次性生成所有规则高效。

内容的提问来源于stack exchange，提问作者GraphicalDot