Ansible Jinja2テンプレートへの任意の変数埋め込み

Question

前提・実現したいこと

AnsibleでLinuxユーザの作成をしています。
グループ変数ymlとしてユーザ定義（パスワード以外）を作成し、
別ymlにAnsible Vaultで暗号化したパスワード定義を行っています。

ユーザが新規作成された際に該当ユーザにメールを送る処理をAnsibleで作成したいですが
メールを送ることはできるのですが、そこにパスワード情報を埋め込むことができません。
メール送信はmailモジュールを使用し、メールBodyのテンプレートファイル（Jinja2テンプレート）
を参照してメールを作っています。

以下ソースです。

• commom.yml（ユーザ定義）

user:
  - name: user_a
    uid: 5001
    groups: subgroup
    state: present
    append: yes
    generate_ssh_key: yes
    comment: '[e-mail]'
  - name: user_b
    uid: 5002
    groups: subgroup
    state: present
    append: yes
    generate_ssh_key: yes
    comment: '[e-mail]'

• secret.yml（パスワード定義）

secret:
  - user: user_a
    password: 'abcdefg'
  - user: user_b
    password: 'hijklmn'

• main.yml（ユーザ作成ロール）

# ユーザ作成
- name: "ユーザ作成"
  include_tasks: user.yml
  with_items: "{{ user }}"
  loop_control:
    loop_var: user_item

# パスワード設定
- name: "パスワード設定"
  include_tasks: password.yml
  with_items: "{{ secret }}"
  loop_control:
    loop_var: secret_item

• user.yml（main.ymlからincludeしているタスク）

# ユーザ作成
- name: "{{ user_item.name }} ユーザ作成"
  user:
    name: "{{ user_item.name }}"
    uid: "{{ user_item.uid }}"
    groups: "{{ user_item.groups }}"
    state: "{{ user_item.state }}"
    append: "{{ user_item.append }}"
    generate_ssh_key: "{{ user_item.generate_ssh_key }}"
  register: _user

# メール送信
- name: "{{ user_item.name }} メール送信"
  mail:
    subject: "サーバアクセス情報の送付（{{ user_item.name }}）"
    from: [e-mail]
    to: "{{ user_item.comment }}"
    body: "{{ lookup('template', 'mail_template.j2') }}"
  when: _user.create_home is defined     # 新規作成時のみメール送付

ここで「mail_template.j2」へユーザのパスワード情報を埋め込みたいのですが、
「user」変数内にパスワードが無いため、うまく参照することができていません。

試したこと

• json_queryフィルタ

https://docs.ansible.com/ansible/latest/user_guide/playbooks_filters.html#json-query-filter
ここにあるjson_queryフィルタを使って、テンプレート内に以下の様に書いてみました。

パスワード：{{ secret | json_query('[?user==user_item.name].password') }}

結果は、埋め込んだ場所に「[]」という空のリストのようなものが入っただけでした。

パスワード：[]

• json_queryフィルタその２

json_queryフィルタでユーザ名を「user_item.name」で指定している個所に直接ユーザ名を書いてみました。
実際には直接ユーザ名を書くわけにはいかないので実験です。

パスワード：{{ secret | json_query('[?user=='user_a'].password') }}

結果は、パスワードは取り出せましたが、前後に余計な文字列（[u'、]）がくっついてきました。

パスワード：[u'abcdefg']

jinja2のフィルターの使い方がよくわかってないだけかもしれませんが・・・。

パスワードだけ暗号化のために外出しする、というのはよくある手法なのかと思うのですが、
その場合、ユーザに対応したパスワードをうまく参照するのに、皆さんどうやっているのでしょう？
変数のシーケンス、マッピングの作り方が悪いのか、Roleの作り方が悪いのか・・・。
知恵をお貸しください！

・暗号化せずにuser変数内にパスワードを定義するか
・user変数にパスワードを定義してまるっと全部暗号化するか
のどちらかでは簡単に実現できそうですが、最後の手段としたいです。

補足情報（FW/ツールのバージョンなど）

Ansibleバージョン：2.6.1

Answer 1

これでできると思います。

パスワード：{{ secret | json_query("[?user=='" + user_item.name + "'].password") | join }}

• json_queryの引数は文字列なので、直接変数は使えない。文字列連結で対応。
• [u'abcdefg']は配列を出力したようなので、joinで文字列にする。

参考にしたページは以下になります。

• jinja2 - Ansible template adds 'u' to array in template - Stack Overflow

検索キーワード: ansible template u

• json_query filter not expanding variable inside query · Issue #22346 · ansible/ansible

検索キーワード: ansible json_query variable

パスワードだけ暗号化のために外出しする、というのはよくある手法なのかと思うのですが、

その場合、ユーザに対応したパスワードをうまく参照するのに、皆さんどうやっているのでしょう？

あまり詳しくないですが、Ansible Vaultを使えばまあ問題ないかなと。。。

Comments

[Rabiusagi]

ありがとうございます！
教えて頂いた方法で実現することができました。
大変助かりました。