如何在Ansible Playbook中为become: true配置sudo密码？

以下是针对需求的可行解决方案，全程无需使用-k或-K参数，完全适配自动化流水线场景：

1. 正确用Vault加密sudo密码变量 #

首先确保sudo密码被正确加密并作为Ansible变量加载：

• 在group_vars或host_vars目录下创建加密的Vault文件，比如group_vars/all/vault.yml，内容如下：

  ansible_become_password: "你的sudo密码明文"
  

• 用Ansible Vault加密这个文件：

  ansible-vault encrypt group_vars/all/vault.yml
  

• 在同目录的main.yml中引入这个加密文件，确保变量被加载：

  ---
  - include_vars: vault.yml
  

2. Playbook中配置become参数 #

Playbook里只需开启become: true，无需手动指定become_password——因为ansible_become_password变量会自动被Ansible识别并用作sudo密码：

- name: 执行需要sudo权限的任务
  hosts: 目标主机组
  become: true
  tasks:
    - name: 示例任务：创建系统级目录
      file:
        path: /opt/your_app
        state: directory
        mode: '0755'

3. 流水线中自动加载Vault密码 #

在自动化流水线（如Jenkins、GitLab CI）中，把Vault的解密密码存储为安全环境变量（避免明文暴露），然后通过以下方式传递给Ansible：

方式1：使用环境变量 #

# 将流水线的Vault密码变量写入临时文件（避免命令行明文）
echo "$PIPELINE_VAULT_PASSWORD" > /tmp/vault_pass
export ANSIBLE_VAULT_PASSWORD_FILE=/tmp/vault_pass

# 执行Playbook
ansible-playbook your_playbook.yml

# 清理临时文件
rm /tmp/vault_pass

方式2：直接指定密码文件参数 #

echo "$PIPELINE_VAULT_PASSWORD" > vault_pass.tmp
ansible-playbook your_playbook.yml --vault-password-file vault_pass.tmp
rm vault_pass.tmp

4. 排查之前失败的常见问题 #

• 验证变量是否加载成功：执行以下命令确认ansible_become_password能被正确解密读取：

  ansible 目标主机组 -m debug -a "var=ansible_become_password" --vault-password-file /path/to/vault_pass
  

• 确认sudo密码正确性：手动登录目标主机，用执行Playbook的用户执行sudo ls /root，输入密码验证是否有效。
• 检查变量名是否正确：必须是ansible_become_password（全局变量），而非仅在Playbook中临时定义的become_password（后者优先级低，可能被全局配置覆盖）。
• 流水线权限检查：确保流水线运行用户能读取Vault加密文件，且Vault密码环境变量被正确传递。

内容的提问来源于stack exchange，提问作者noah.scherrer