Ansible Play与Task中的变量优先级疑问及Windows服务器重启任务的Vault凭证配置故障

我明白你现在卡在哪了——一是搞不清Task层级的变量优先级怎么影响WinRM连接凭证，二是用Vault存重启专用账户的密码后，在Task里调用就失败。咱们一步步拆解解决：

先理清变量优先级的逻辑 #

你在Reboot任务里通过vars字段设置ansible_user和ansible_password的思路完全没问题！Ansible的变量优先级里，Task级别的vars是最高优先级，会直接覆盖Play级vars_files、Inventory甚至命令行传入的同名字变量。所以你用明文能正常执行重启任务，说明这个变量覆盖的逻辑是通的，问题出在Vault变量的加载方式上。

解决Vault凭证加载失败的问题 #

你提到vars.yml里有Vault相关配置，大概率是调用Vault变量的方式不对，这里给你两种靠谱的实现方案：

方案一：Play级别加载Vault加密文件（官方推荐） #

这种方式逻辑清晰、易维护，是Ansible官方建议的Vault使用方式：

1. 先把重启专用账户的凭证单独存到一个加密文件里（比如windows_reboot_vault.yml）：

# windows_reboot_vault.yml 内容
reboot_service_user: "my_service_account"
reboot_service_password: "its_password"

然后用ansible-vault encrypt windows_reboot_vault.yml命令加密这个文件，记住加密密码。

2. 修改你的Play文件，把这个Vault加密文件加入vars_files列表：

- name: Set Active Directory Settings and Accounts
  hosts: "{{ eth1_ip }}"
  vars_files:
    - vars.yml
    - windows_reboot_vault.yml  # 加载加密的Vault文件

  roles:
    - set-xxxx
    - set-yyyy

  tasks:
  - name: Reboot my server
    ansible.windows.win_reboot:
      post_reboot_delay: 60
      reboot_timeout: 180
      msg: Last reboot from Ansible
    vars: 
      ansible_user: "{{ reboot_service_user }}"
      ansible_password: "{{ reboot_service_password }}"

3. 运行Play时，记得带上Vault密码参数：

# 交互式输入密码
ansible-playbook your_playbook.yml --ask-vault-pass
# 或者用密码文件（适合自动化场景）
ansible-playbook your_playbook.yml --vault-password-file /path/to/vault_pass.txt

方案二：Task内直接调用Vault lookup插件 #

如果不想在Play级别加载Vault文件，也可以用lookup插件直接读取，但需要先安装community.general社区集合：

ansible-galaxy collection install community.general

然后修改Reboot任务的vars字段：

- name: Reboot my server
    ansible.windows.win_reboot:
      post_reboot_delay: 60
      reboot_timeout: 180
      msg: Last reboot from Ansible
    vars: 
      ansible_user: "my_service_account"
      ansible_password: "{{ lookup('community.general.vault', '/path/to/windows_reboot_vault.yml', 'reboot_service_password') }}"

同样，运行时需要提供Vault密码，确保Ansible能解密文件。

常见错误排查点 #

如果还是失败，你可以检查这几个细节：

• 有没有漏写变量引用的双大括号{{ }}？比如直接写ansible_password: reboot_service_password而不是带大括号的形式。
• Vault加密文件的路径是不是正确？有没有拼写错误？
• 运行Play时有没有忘记提供Vault密码？Ansible无法解密的话，变量值会是空的，自然会导致WinRM连接失败。

备注：内容来源于stack exchange，提问作者motorbass