в дистрибьюции сертов я сделал так по тому что некоторые серты нужны и на W и на M
- name: Copy the appropriate certificates and private keys to each worker instance Worker ca.pem
 copy:    
   src: "{{ ca_dir }}ca.pem"
   dest: "{{ ca_dir }}"
 loop:
   - "{{ groups['worker'] }}"
   - "{{ groups['master'] }}"

и дальше по тому же плею
- name: Copy the appropriate certificates and private keys to each worker instance Worker service-account.pem
 copy:    
   src: "{{ ca_dir }}service-account.pem"
   dest: "{{ ca_dir }}"
 loop: "{{ groups['master'] }}"
- name: Copy the appropriate kubelet kubeconfig files to each worker
 copy:    
   src: "{{ ca_dir }}{{ item | replace('[','') | replace(']','') |  from_yaml }}.kubeconfig"
   dest: "{{ ca_dir }}"
 loop: "{{ groups['worker'] }}"

можно было бы разбить этот плей на несколько плеев, но ... нужно ли еще атомарнее ?

Вроде, выглядит уже неплохо

Непонятно только - зачем там в последнем таске replace и from_yaml, если на входе у вас обычный список хостов

Народ подскажите, как запустить выполнение скрипта, который был скопирован?

Разобрался

Он в ['worker0'] получается

Добрый день, коллеги, подскажите, есть ли способ какой-то в шифрованном виде держать приватную часть ключа на сервере ansible и успешно запускать playbook? Суть задачи не держать ключи в открытом вид.

vault ?

который ansible? если я туда помещу ключ, то как я его передам в команду ansible-playbook ?

Или имеется в вижу сторонний какой-то?

В смысле?

ssh-agent

у него обратимое шифрование идет? Если хост взломают, то смогут добраться до этого хранилища?

Ну в stdout будут ковычки и скобки

А при чем тут stdout?

Если я подключаюсь в удаленному хосту используя ssh key, то поместив в ansible-vault этот ключ, я смогу выполнить ansible-playbook test.yaml -i host.ini —vault-id? Каким образом ansible будет понимать что ключ для подключения надо искать в vault ?

У вас идет просто цикл по хостам группы:

loop: "{{ groups['worker'] }}"