Ansible通过WinRM连接Windows主机使用AWS Secrets Manager取密码报错

问题根因 #

你使用regex_search过滤器并指定捕获组参数\\1时，过滤器返回的结果是捕获组匹配内容组成的列表，而非单个字符串。你当前实际拿到的ansible_password值是['Itismypassword']列表类型，而WinRM连接插件要求remote_password（对应ansible_password变量）必须为字符串类型，类型不匹配触发报错。

解决方案 #

方案1：直接提取列表首元素（快速修复） #

在现有表达式末尾追加提取列表首个元素的逻辑即可，两种写法二选一：

# 写法1：使用first过滤器
ansible_password: "{{ lookup('amazon.aws.aws_secret', 'ansible_password', bypath=true) | regex_search ('ansible_password\\":\\"(.*)\\"','\\1') | first }}"

# 写法2：直接取下标0
ansible_password: "{{ (lookup('amazon.aws.aws_secret', 'ansible_password', bypath=true) | regex_search ('ansible_password\\":\\"(.*)\\"','\\1'))[0] }}"

方案2：使用原生AWS Secrets Manager能力提取（更规范，推荐） #

AWS Secrets Manager的lookup插件本身支持直接解析JSON格式密钥，无需手动写正则匹配，既避免正则匹配的边界问题，写法也更简洁：

# 直接指定key参数提取JSON密钥中的对应字段
ansible_password: "{{ lookup('amazon.aws.aws_secret', 'ansible_password', key='ansible_password', bypath=true) }}"

验证方法 #

修改配置后可在Playbook最前面添加debug任务，确认变量类型符合要求：

- hosts: win
  vars:
    ansible_user: "ansible"
    # 这里放你修改后的ansible_password配置
  tasks:
    - name: 验证密码变量类型
      debug:
        msg: "密码类型为 {{ ansible_password | type_debug }}"

确认输出的类型为str后再执行后续业务任务即可。

内容的提问来源于stack exchange，提问作者witjet