Ansible以非root用户重启activemq服务失败问题求助

问题场景 #

使用自身用户执行Ansible脚本时，需以非root的activemq用户身份重启ActiveMQ服务，已配置Playbook和sudoers授权，但任务执行失败，仅能通过手动执行sudo -u activemq sudo /bin/systemctl restart activemq完成操作（去掉第二个sudo会要求输入密码）。

现有配置 #

Playbook代码 #

- name: Recharger le service si la configuration de ACTIVEMQ a changé.
  service:
    name: activemq
    state: restarted
    enabled: true
  become: true
  become_user: activemq
  become_method: sudo
  when: activemq_conf is changed

sudoers授权配置 #

activemq ALL=NOPASSWD: /bin/systemctl restart activemq, /bin/systemctl reload activemq, /bin/systemctl start activemq, /bin/systemctl stop activemq, /bin/systemctl enable activemq

错误信息 #

执行任务时返回超时错误，本质是权限验证失败（类似需要输入密码的场景）：

"msg": "Unable to start service activemq: Failed to start activemq.service: Connection timed out\nSee system logs and 'systemctl status activemq.service' for details.\n"

解决方案 #

问题核心是当前Playbook的提权逻辑未匹配实际权限链：activemq用户需通过sudo才能执行systemctl操作，而Ansible的service模块默认不会自动嵌套sudo调用。

方案1：修改Playbook，直接执行嵌套sudo命令 #

放弃service模块，改用command模块让activemq用户执行带sudo的systemctl命令，匹配现有sudoers配置：

- name: Recharger le service si la configuration de ACTIVEMQ a changé.
  command: sudo /bin/systemctl restart activemq
  become: true
  become_user: activemq
  become_method: sudo
  when: activemq_conf is changed

执行前可通过以下命令验证activemq用户的sudo权限是否生效：

sudo -u activemq sudo -l

输出需包含配置的systemctl命令并标注NOPASSWD。

方案2：调整sudoers，让自身用户直接授权 #

若无需强制以activemq身份执行，可直接授权自身用户无密码管理该服务，简化Playbook：

1. 更新sudoers配置（替换your_user为你的实际用户名）：

your_user ALL=NOPASSWD: /bin/systemctl restart activemq, /bin/systemctl reload activemq, /bin/systemctl start activemq, /bin/systemctl stop activemq, /bin/systemctl enable activemq

2. 修改Playbook提权到root执行：

- name: Recharger le service si la configuration de ACTIVEMQ a changé.
  service:
    name: activemq
    state: restarted
    enabled: true
  become: true
  become_user: root
  become_method: sudo
  when: activemq_conf is changed

方案3：配置Polkit补充权限（若系统依赖Polkit） #

部分系统中Polkit会影响systemctl的非root调用，可添加规则允许activemq用户管理该服务：

1. 创建规则文件/etc/polkit-1/rules.d/50-activemq.rules：

polkit.addRule(function(action, subject) {
    if (action.id.indexOf("org.freedesktop.systemd1.manage-units") == 0 &&
        subject.user == "activemq" &&
        action.lookup("unit") == "activemq.service") {
        return polkit.Result.YES;
    }
});

2. 重启Polkit服务生效：

sudo systemctl restart polkit

内容的提问来源于stack exchange，提问作者Broshet