Отдельные inventory каталоги/файлы на env, разные group_vars, иногда отдельные git branches запрещены — лучше directories + limit + AWX inventories. Секреты vault per env.
Разбор
- Одинаковые group names, разные значения vars.
- CI job явно выбирает inventory path.
- Запрет prod credentials на dev runners.
- Dry-run check на prod inventory в MR осторожно (read-only).
Итог
Env isolation = разные inventory+vars+credentials, один код ролей.
