如何通过Ansible Playbook自动化创建用户密码？

刚好碰到过类似的批量服务器用户创建场景，给你几个实用的解决方案，从最简单的内置方法到自定义实现都有：

方法1：用Ansible内置的password_hash过滤器（首推） #

这是最省心的方式，Ansible本身就内置了密码哈希生成过滤器，完全不用你手动登录目标机跑python-crypt。你只需要定义明文密码（建议用Ansible Vault加密），直接通过过滤器转成符合系统要求的哈希值。

示例Playbook：

- name: 批量创建用户并自动生成密码哈希
  hosts: all
  vars:
    # 这里可以换成Ansible Vault加密后的变量，避免明文泄露
    user_password: "YourSecurePassword123!"
  tasks:
    - name: 创建新用户
      ansible.builtin.user:
        name: new_user
        # 用sha512算法生成哈希，Linux系统通用
        password: "{{ user_password | password_hash('sha512') }}"
        state: present
        shell: /bin/bash

解释下：password_hash支持多种算法，比如bcrypt（如果目标系统支持的话），你可以根据需求替换。敏感密码一定要用ansible-vault encrypt_string加密，命令如下：

ansible-vault encrypt_string 'YourSecurePassword123!' --name 'user_password'

把输出的加密内容直接替换到Playbook的vars里就行，安全又方便。

方法2：在控制节点动态调用python-crypt生成哈希 #

如果一定要用python-crypt的话，没必要登录每台目标机去跑——直接在你的Ansible控制主机上生成哈希，再把结果传到所有目标机就行，效率拉满。

示例Playbook：

- name: 用python-crypt动态生成密码哈希并创建用户
  hosts: all
  vars:
    raw_password: "YourSecurePassword456!"
  tasks:
    - name: 在Ansible控制主机生成密码哈希
      ansible.builtin.command: python3 -c "import crypt; print(crypt.crypt('{{ raw_password }}', crypt.mksalt(crypt.METHOD_SHA512)))"
      register: hashed_password
      delegate_to: localhost  # 强制在控制主机运行，不用碰目标机
      changed_when: false  # 这个命令不会修改系统，标记为无变更

    - name: 给目标机创建用户并应用哈希
      ansible.builtin.user:
        name: another_user
        password: "{{ hashed_password.stdout }}"
        state: present
        shell: /bin/bash

只要你的Ansible控制主机装了Python3和crypt模块就行，百台服务器也只需要跑一次生成命令，完美解决批量痛点。

方法3：Windows主机的PowerShell实现思路 #

如果你的目标是Windows服务器，处理方式更简单——Ansible的win_user模块会自动处理密码的加密存储，不需要手动生成哈希：

- name: 在Windows主机批量创建用户
  hosts: windows_servers
  vars:
    win_password: "WinSecurePass789!"
  tasks:
    - name: 创建Windows用户
      ansible.windows.win_user:
        name: win_newuser
        password: "{{ win_password }}"
        state: present
        groups: Users

如果一定要手动用PowerShell生成哈希的话，可以用这条命令：

$password = ConvertTo-SecureString "WinSecurePass789!" -AsPlainText -Force
$hashed_pass = $password | ConvertFrom-SecureString

把$hashed_pass的值作为变量传给win_user的password参数就行。

额外实用提示 #

• 批量场景下，建议用组变量/主机变量来管理不同服务器的用户密码，或者结合ansible.builtin.set_fact和password_hash生成随机密码，同时把密码记录到文件里方便后续管理。
• 所有敏感信息一定要用Ansible Vault加密，避免密码泄露的风险。

内容的提问来源于stack exchange，提问作者davetherave