Ansible多环境用户组配置：如何为未定义用户组设默认值

刚接触Ansible管控用户权限的时候，我也踩过变量未定义导致报错的坑，结合你用ansible-users角色+多环境变量的场景，分享几个实用的解决思路：

1. 使用Ansible的default过滤器（最直接） #

这是Ansible处理变量默认值的标准方式，在引用group_membership变量时直接添加默认值，变量不存在时会自动 fallback 到你设置的默认值。

场景1：默认单个用户组 #

如果你的用户默认只需要加入一个基础组，比如users，可以这么写：

- name: 应用用户管理角色
  hosts: all
  roles:
    - role: ansible-users
      user_groups: "{{ group_membership | default('users') }}"

场景2：默认多个用户组（列表形式） #

如果默认需要加入多个组，比如users和sudo，就用列表作为默认值：

user_groups: "{{ group_membership | default(['users', 'sudo']) }}"

2. 在跨环境变量文件中设置全局默认 #

既然你已经用了000_cross_env_vars作为跨环境基础变量文件，可以直接在这里定义group_membership的默认值，这样所有环境如果没有在env_specific.yml里覆盖这个变量，就会自动使用这个默认值：

# 000_cross_env_vars.yml
group_membership: ['users', 'sudo']

这种方式适合所有环境有统一默认组的场景，后续某个环境需要特殊组时，只需要在对应环境的env_specific.yml里重新定义group_membership即可覆盖默认值。

3. 利用角色的defaults目录设置默认 #

如果你是在自定义角色里调用ansible-users，可以在自己角色的defaults/main.yml里设置默认的用户组变量，因为Ansible的角色默认变量优先级较低，会被环境变量、跨环境变量覆盖，非常适合做兜底：

# your_role/defaults/main.yml
group_membership: ['users']

额外提示 #

如果是针对单个用户的组设置默认，比如用户列表里每个用户的groups字段，同样可以用default过滤器：

cross_env_users:
  - name: minnow47
    groups: "{{ minnow47_groups | default(['users', 'dev']) }}"

另外建议默认值尽量贴合你的基础安全规范，比如不要默认给所有用户sudo权限，除非你的业务场景确实需要。

内容的提问来源于stack exchange，提问作者Minnow47