Ansible：如何无需become: true运行含sudo的脚本？

方案1：配置sudo免密，以普通用户身份执行脚本 #

这是最贴近你原有脚本使用习惯的方式，核心是让目标主机上的登录用户拥有免密sudo权限，避免脚本内的sudo命令需要终端交互：

• 在目标主机上用visudo编辑sudoers文件（避免语法错误），添加一行：

  你的登录用户名 ALL=(ALL) NOPASSWD: ALL
  

  （更安全的做法是限制到脚本中需要sudo执行的具体命令，比如你的登录用户名 ALL=(ALL) NOPASSWD: /usr/bin/cp, /usr/bin/systemctl）
• 在Ansible任务中以普通用户身份执行脚本，无需设置become: true：

  - name: 运行安装脚本
    shell: ./install.sh
    args:
      chdir: /path/to/script/dir
    become: false
  

方案2：拆分脚本为普通/root任务（推荐，符合Ansible最佳实践） #

Ansible的设计逻辑是模块化执行，把脚本中不同权限的操作拆成独立任务，分别控制权限：

• 原脚本中普通用户执行的部分（如下载、解压、编译），用become: false的任务执行：

  - name: 下载并解压安装包
    shell: |
      wget https://example.com/package.tar.gz
      tar -xzf package.tar.gz
    args:
      chdir: /home/你的登录用户名
    become: false
  

• 需要root权限的操作（如复制文件到系统目录、配置服务），用become: true的任务执行：

  - name: 复制程序到系统目录
    copy:
      src: /home/你的登录用户名/package/bin/程序名
      dest: /usr/local/bin/
      mode: '0755'
    become: true
  

这种方式不仅解决了权限问题，还让Playbook更易维护、可读性更强。

方案3：在脚本中传递sudo密码（适合临时场景） #

如果无法配置sudo免密，可以通过管道给脚本内的sudo命令传递密码，注意密码安全：

• 修改脚本中所有sudo命令为sudo -S 命令（-S表示从标准输入读取密码）
• 在Ansible任务中用普通用户执行，通过管道传递sudo密码：

  - name: 运行安装脚本
    shell: echo "{{ ansible_become_pass }}" | ./install.sh
    args:
      chdir: /path/to/script/dir
    become: false
    no_log: true  # 避免密码被记录到日志
  

  注意：ansible_become_pass需要提前定义（比如通过--ask-become-pass参数输入，或存放在加密的变量文件中）

内容的提问来源于stack exchange，提问作者idolize