如何在Ansible中配置应用用户切换至无密码用户？

你遇到的问题核心是Ansible默认的sudo提权逻辑和你sudoers里配置的权限不匹配。你的sudoers只允许应用用户执行sudo su - <无密码用户>，但Ansible默认的sudo become方法是直接用sudo -u <目标用户> <命令>，这种方式不在你的sudo权限范围内，所以会报错要密码；而用su方法的话，Ansible会尝试直接执行su - <目标用户>，但这需要目标用户的密码（而你没有设置），所以超时。

解决办法就是用become_flags指定sudo执行的具体命令，匹配你sudoers里的配置：

1. Playbook配置示例 #

你可以在play级别或者任务级别添加以下配置：

- name: 以无密码用户执行任务的Playbook
  hosts: your_target_host
  remote_user: 应用用户
  become: yes
  become_method: sudo
  become_user: <无密码用户>
  become_flags: "-i su - {{ become_user }}"
  tasks:
    - name: 验证当前运行用户
      command: whoami
      register: current_user
    - name: 输出当前用户信息
      debug:
        msg: "当前执行任务的用户: {{ current_user.stdout }}"

2. 为什么这个配置有效？ #

• become_flags会覆盖Ansible默认的sudo参数，让它执行sudo -i su - <无密码用户>，这完全匹配你sudoers里允许的命令格式。
• -i参数会模拟目标用户的登录环境（和su -的效果一致），确保目标用户的环境变量、家目录配置等都正确加载。

3. 验证sudoers配置（关键步骤） #

确保你的sudoers配置确实包含类似这样的条目（建议用visudo命令编辑，避免语法错误）：

应用用户 ALL=(ALL) NOPASSWD: /bin/su - <无密码用户>

注意必须使用命令的绝对路径，sudoers不允许相对路径，否则权限规则不会生效。

4. 命令行快速测试 #

你可以先用ansible命令行快速验证配置是否生效，不用写完整playbook：

ansible your_target_host -u 应用用户 -b -B sudo -U <无密码用户> -a "whoami" --become-extra-flags="-i su - <无密码用户>"

如果返回结果是无密码用户的用户名，说明配置已经生效。

内容的提问来源于stack exchange，提问作者Eyal Goren