Bitbucket Pipeline中Ansible设置become:true无法切换至root问题

问题现象 #

通过Bitbucket Pipeline运行Packer+Ansible Provisioner创建Amazon Linux AMI时，尽管Playbook中已设置become: true（甚至添加become_user: root），Ansible仍无法切换至root用户，执行id命令显示当前用户为ec2-user；但本地运行相同配置时，id命令显示用户为root。

可能原因及解决方案 #

1. Ansible版本兼容性差异 #

Bitbucket Pipeline使用的Ubuntu Docker镜像中预装的Ansible版本，可能与本地使用的版本存在差异，部分旧版本Ansible在处理become逻辑时存在bug。

• 排查步骤：在Pipeline中添加步骤输出Ansible版本：

  ansible --version
  

  对比本地版本，若版本差距较大（如本地为2.10+，镜像中为2.9及以下），需升级镜像中的Ansible版本。
• 解决方法：在Pipeline的script阶段手动升级Ansible：

  pip install --upgrade ansible
  

2. Packer Provisioner未传递Become参数 #

Playbook中的become配置可能未被Packer Provisioner正确传递，需显式在Packer配置中添加become相关参数。

• 修改Packer配置：更新extra_arguments，强制传递become参数：

  provisioner "ansible" {
    playbook_file = "../ansible/aws-ec2-base.yml"
    extra_arguments = [
      "--extra-vars", "api_key=${var.api_key}",
      "--become",
      "--become-user=root"
    ]
    galaxy_file     = "../ansible/requirements.yml"
    ansible_ssh_extra_args = ["-oHostKeyAlgorithms=+ssh-rsa -oPubkeyAcceptedKeyTypes=+ssh-rsa"]
  }
  

3. 显式指定Become方法与参数 #

默认的become_method（sudo）可能未正确切换环境，需显式指定become_method和become_flags确保切换至root环境。

• 修改Playbook配置：

  - name: AWS EC2 AMLinux Configuration playbook
    hosts: default
    remote_user: ec2-user
    connection: ssh
    become: true
    become_method: sudo
    become_flags: "-i"  # 模拟root的登录环境
  
    vars:
      _date: "{{ansible_date_time.iso8601}}"
      reop_path: /usr/tmp/
  
    roles:
     - role: role-1
     - role: role-2
  

4. 检查临时EC2实例的sudoers配置 #

虽然Amazon Linux默认允许ec2-user免密sudo，但部分场景下临时实例的sudoers配置可能存在差异（如自定义AMI的修改）。

• 添加检查任务：在Playbook中添加任务验证sudoers配置：

  - name: 检查ec2-user的sudo权限配置
    command: grep -A 3 -B 3 ec2-user /etc/sudoers
    register: sudoers_config
    become: false
  
  - name: 输出sudoers配置
    debug:
      var: sudoers_config.stdout_lines
  

  对比本地与Pipeline中的输出，若发现ec2-user需要密码sudo，需调整sudoers配置或在Ansible中传递sudo密码（不推荐生产环境）。

内容的提问来源于stack exchange，提问作者Hirantha Peiris