如何在未设置Vault密码时跳过Ansible任务？

我完全理解你的痛点——不想因为没提供Vault密码就让整个任务流程失败，而是希望直接跳过这个部署密钥的安装步骤对吧？这里有几个实用的方案，你可以根据团队的使用习惯来选：

方案一：通过变量/环境变量判断执行条件 #

你可以先检查是否存在Vault密码相关的标识（比如环境变量ANSIBLE_VAULT_PASSWORD_FILE，或者自定义的密码变量），只有当这些标识存在时才执行任务：

- name: Install the deploy key
  copy:
    src: gitkey
    dest: ~/.ssh/gitkey
    mode: 0400
  when: lookup('env', 'ANSIBLE_VAULT_PASSWORD_FILE') is defined or ansible_vault_password is defined

这样一来，当没有指定Vault密码文件或密码变量时，这个任务会直接被跳过，不会触发解密失败的报错。

方案二：用Block-Rescue块捕获解密错误并跳过 #

如果变量判断的方式不够灵活，你可以借助Ansible的block和rescue结构，直接尝试执行任务，捕获解密失败的错误后再标记任务为跳过：

- block:
    - name: Install the deploy key
      copy:
        src: gitkey
        dest: ~/.ssh/gitkey
        mode: 0400
  rescue:
    - name: Skip deploy key installation when vault password is missing
      debug:
        msg: "Vault password not provided, skipping deploy key installation"
      changed_when: false
      failed_when: false

这种方法不需要提前做变量判断，只要任务因为解密失败报错，就会进入rescue块输出提示，并且不会让任务标记为失败。

方案三：结合ignore_errors和failed_when精准控制 #

如果你想要更简洁的写法，可以用ignore_errors配合failed_when，只忽略Vault密码缺失导致的错误，其他类型的失败还是会正常报错：

- name: Install the deploy key
  copy:
    src: gitkey
    dest: ~/.ssh/gitkey
    mode: 0400
  ignore_errors: true
  failed_when: "'A vault password or secret must be specified' not in ansible_failed_result.msg"

这个配置会过滤掉解密失败的特定报错，但如果是其他问题（比如源文件不存在）导致的失败，还是会正常抛出错误，兼顾了灵活性和严谨性。

你可以根据团队的实际使用场景选择最合适的方案，比如如果你们固定用环境变量传递Vault密码，方案一就很省心；如果想精准捕获解密错误，方案二或三会更合适。

备注：内容来源于stack exchange，提问作者Mikhail T.