特定sudoers配置下如何以root身份运行Ansible？

一、各become_method的执行逻辑 #

• runas：仅适用于Windows主机，是Windows专属的提权方式，通过本地或域账户提升权限。在Linux服务器上使用该方法完全不兼容，自然会因为当前ansible用户权限不足，出现目标目录不可写的错误。
• sudo：Ansible默认会直接调用sudo [任务命令]来提权执行。但你的sudoers仅授权了无密码执行sudo su - root，未授权直接sudo执行其他命令，所以Ansible尝试sudo执行任务命令时，会触发密码验证，但又没有密码可输入，就会报“Missing sudo password”错误。
• su：Ansible会直接调用su - root -c [任务命令]，这种方式需要输入root密码，但你的环境是通过sudo切换root而非直接su，Ansible等待密码输入超时后，就会出现“Timeout (12s) waiting for privilege escalation prompt”错误。

二、适配当前sudoers配置的提权方案 #

你的sudoers仅允许ansible用户无密码执行sudo su - root，所以需要让Ansible通过这个命令切换到root后再执行任务，以下是两种可行方案：

方案1：配置sudo方式配合自定义flags（推荐） #

通过指定become_flags，让Ansible使用sudo执行su - root来完成提权，完全适配你的sudoers规则。

在playbook中直接配置：

- hosts: your_target_server
  become: true
  become_method: sudo
  become_flags: "/usr/bin/su - root -c"
  tasks:
    - name: 部署文件到目标目录
      copy:
        src: ./local_file
        dest: /your/target/path

或者在ansible.cfg中全局配置，避免每个playbook重复写：

[privilege_escalation]
become_method = sudo
become_flags = /usr/bin/su - root -c

这样Ansible会生成sudo /usr/bin/su - root -c '[任务命令]'的执行语句，刚好符合sudoers的授权规则，无需输入密码即可提权到root执行任务。

方案2：任务内手动执行切换（临时测试用） #

如果只是临时测试个别任务，可以直接在任务中用command模块调用sudo su - root执行命令，但这种方式会丢失Ansible模块的幂等性，不适合正式部署：

- name: 临时部署文件
  command: sudo su - root -c "cp /path/to/local/file /your/target/path"
  args:
    warn: false

内容的提问来源于stack exchange，提问作者Mtr