Ansible能否在运行Playbook前校验密码正确性？

当然有办法解决这个问题！我之前也踩过一模一样的坑——密码输错一次就触发全环境批量失败，LDAP账户直接被锁，折腾了好久才搞定。下面是几个实用的方案，按优先级推荐：

1. 先做单点密码预校验 #

写一个极简的校验Playbook，只在一台测试主机上验证SSH和SUDO密码的正确性，确认没问题后再跑全量部署。这样能把风险完全控制在单台机器上。

示例校验Playbook：

- name: 预校验SSH与SUDO密码有效性
  hosts: test-server-01  # 替换成你的测试主机
  gather_facts: false
  tasks:
    - name: 验证SSH密码可正常登录
      ansible.builtin.ping:
      vars:
        ansible_ssh_pass: "{{ input_ssh_pass }}"
        ansible_become_pass: "{{ input_sudo_pass }}"

    - name: 验证SUDO密码可切换到root权限
      ansible.builtin.command: whoami
      become: true
      vars:
        ansible_become_pass: "{{ input_sudo_pass }}"
      register: sudo_result
      failed_when: sudo_result.stdout != 'root'

运行这个Playbook，只要有任何一步失败，直接终止操作，绝不会触发全环境执行。

2. 用--limit参数先测试单台 #

如果不想单独写校验Playbook，也可以直接在部署Playbook里用--limit指定单台主机测试：

ansible-playbook your-deploy-playbook.yml --limit single-test-host -e "ssh_pass=xxx sudo_pass=xxx"

确认这台主机执行成功后，再去掉--limit参数跑全量部署。

3. 配置Ansible失败阈值避免批量重试 #

在ansible.cfg里调整以下配置，确保一旦有一台主机验证失败，立刻停止所有后续执行，避免多次错误尝试导致账户被锁：

[defaults]
max_fail_percentage = 1  # 只要1台失败就终止整个Playbook
retries = 0  # 关闭重试机制，减少错误尝试次数

这个配置能有效防止密码错误时，Ansible在所有主机上反复尝试登录，大大降低LDAP/AD账户被锁定的概率。

4. 进阶：用expect模块验证SUDO密码（可选） #

如果需要更精细的SUDO密码验证，可以用ansible.builtin.expect模块模拟交互式验证，但这个方法相对繁琐，一般前面几个方案足够覆盖需求：

- name: 验证SUDO密码有效性
  ansible.builtin.expect:
    command: sudo -v
    responses:
      "Password:": "{{ input_sudo_pass }}"
    timeout: 5
  register: sudo_verify
  failed_when: sudo_verify.rc != 0

总的来说，先单点验证再全量执行是最稳妥的流程，结合max_fail_percentage配置，基本能杜绝因密码错误导致的账户锁定问题。

内容的提问来源于stack exchange，提问作者Tomas Hrubovcak