Ansible用户模块在OpenSSH 9.9p1及以上版本生成SSH密钥时挂起问题分析

在Ansible自动化工具中，用户模块(user module)是管理Linux系统用户账户的重要组件。近期发现当目标系统安装了OpenSSH 9.9p1或更新版本时，使用该模块生成SSH密钥的功能会出现无限挂起的问题。

问题现象

当执行包含以下任务的Playbook时：

- name: 创建带SSH密钥的用户
  user:
    name: testuser
    state: present
    generate_ssh_key: yes
    force: yes
    ssh_key_file: .ssh/test_id_rsa
    ssh_key_passphrase: mypassword

任务会在生成SSH密钥阶段无限期挂起，无法完成。这个问题特别影响使用较新Linux发行版(如Debian 13)的环境。

技术背景

Ansible用户模块在后台通过调用ssh-keygen命令生成SSH密钥对。当指定了密钥密码短语(ssh_key_passphrase)时，模块需要处理ssh-keygen的交互式提示。

在OpenSSH 9.9p1之前的版本中，ssh-keygen的密码提示格式为：

Enter passphrase (empty for no passphrase):

而9.9p1及更新版本修改为包含密钥文件路径的提示：

Enter passphrase for "/home/user/.ssh/id_rsa" (empty for no passphrase):

根本原因

Ansible用户模块中的代码硬编码匹配了旧版ssh-keygen的提示模式。当遇到新版提示时，无法正确识别和响应，导致进程挂起等待输入。

关键代码逻辑位于用户模块的SSH密钥生成部分，它期望匹配特定的提示字符串来注入密码短语。由于提示格式变化，这个匹配失败，造成交互阻塞。

解决方案

针对此问题，Ansible社区已经提交修复方案，主要改进包括：

1. 更新提示字符串匹配逻辑，使其兼容新旧版本的ssh-keygen输出
2. 增强提示处理的健壮性，支持包含文件路径的变体
3. 改进错误处理机制，避免无限等待

影响范围

该问题影响：

• 使用Ansible用户模块生成SSH密钥的场景
• 目标系统运行OpenSSH 9.9p1或更新版本
• 指定了ssh_key_passphrase参数的情况

临时规避措施

在官方修复发布前，可以采取以下临时方案：

1. 手动生成SSH密钥后通过ssh_key参数指定
2. 在目标系统降级OpenSSH到9.9p1之前的版本
3. 使用expect模块处理ssh-keygen交互

最佳实践建议

1. 在涉及SSH密钥生成的自动化任务中，考虑先验证目标系统的OpenSSH版本
2. 对于关键环境，建议预先测试Ansible模块与新版本系统组件的兼容性
3. 考虑将SSH密钥生成分离为独立任务，便于问题排查和回滚

此问题的修复将包含在未来的Ansible版本中，建议用户关注更新并及时升级。