Ansible Playbook中不使用become及shell模块调用sudo命令的方法

你的问题出在Ansible默认用sudo提权时，会尝试启动root shell（类似sudo -i或sudo su -），但你的sudoers配置只允许testuser直接执行单条命令，不让切换shell。不用非得在shell模块里手动敲sudo，调整Ansible的become参数就能解决。

1. 全局/Play级调整 #

在Playbook里指定become_flags，让Ansible直接用sudo执行命令，不切换shell：

- name: 示例Play
  hosts: 目标主机组
  remote_user: testuser
  become: yes
  become_method: sudo
  become_flags: ""  # 清空默认参数，让Ansible只跑`sudo <命令>`
  tasks:
    - name: 安装smem
      yum:
        name: smem
        state: present

    - name: 设置nproc软限制
      pam_limits:
        domain: '*'
        limit_type: soft
        limit_item: nproc
        value: 65535

如果清空become_flags不行，试试become_flags: "-S"，这个参数是让sudo从标准输入读密码（如果你的sudo需要密码的话）。

2. 单个Task单独配置 #

要是只有个别Task需要这么提权，就在Task里单独加参数：

- name: 设置nproc硬限制
  pam_limits:
    domain: '*'
    limit_type: hard
    limit_item: nproc
    value: 65535
  become: yes
  become_method: sudo
  become_flags: ""

3. 确认sudoers配置（可选） #

要是还是不行，检查下sudoers里有没有给testuser开放对应命令的权限，比如yum、sed（pam_limits模块底层会用sed改配置文件）：

testuser ALL=(ALL) NOPASSWD: /usr/bin/yum, /usr/bin/sed

为啥这比手动用shell好？ #

• 幂等性有保障：yum模块会自动判断包是否已装，pam_limits会检查配置是否存在，不会重复执行无效操作。
• 维护更简单：不用手动拼sudo命令，模块参数一目了然。
• 更规范：符合Ansible的最佳实践，避免在Playbook里硬编码sudo命令。

内容的提问来源于stack exchange，提问作者kyu