Ansible Playbook执行异常：数据库启动环节报权限拒绝/无效用户密码错误

这问题确实挺让人困惑的——明明停止数据库的时候su到oracle用户一切正常，启动环节却突然抛出权限拒绝或无效密码的错误。结合你的Playbook和执行命令，我整理了几个最可能的原因和对应的排查方向：

1. 启动脚本本身的权限/环境依赖问题 #

首先要排除脚本本身的问题，因为停止和启动数据库的操作对权限、环境变量的要求可能完全不同：

• 停止数据库可能只是简单的杀进程操作，不需要特殊环境变量；但启动时可能需要加载Oracle的核心环境变量（比如ORACLE_HOME、ORACLE_SID），或者需要对特定目录（如日志目录、数据文件目录）有写入权限。
• 手动登录到dbserver，执行su - oracle（注意这里的-会加载oracle用户的登录环境），然后直接运行启动脚本/some_script/start database_instance_name，看是否能正常执行。如果手动执行也报错，那问题就出在脚本或oracle用户的配置上，和Ansible无关。

2. Ansible的su切换未加载用户环境变量 #

你的Playbook里用的是become_method: su但没有指定登录shell的参数，这会导致切换到oracle用户时不加载其登录profile（比如.bash_profile或.profile）：

• 停止脚本可能不依赖环境变量，但启动脚本必须依赖Oracle的环境变量才能正常运行，这时候就会因为缺少环境变量导致操作失败，而错误信息可能被系统误报为权限/密码问题。
• 修改启动数据库的Playbook片段，加上become_flags: "-"，让su切换时加载oracle的登录环境：

  - hosts: dbserver
    become: true
    become_method: su
    become_user: oracle
    become_flags: "-"  # 关键：加载oracle用户的登录环境
    tasks:
      shell: /some_script/start database_instance_name
    tags:
      - start_db
  

3. Ansible的密码缓存或提权参数问题 #

有时候Ansible在执行过程中，提权密码的缓存可能出现异常，或者你没有明确指定提权密码：

• 你当前的执行命令只加了--ask-pass（询问登录目标主机的密码），但没有加--ask-become-pass（询问提权到root/oracle用户的密码）。虽然第一次停库成功了，但可能是因为密码复用，第二次启动时缓存失效。
• 尝试用完整的命令执行：

  ansible-playbook myplaybook.yml -i hosts -u my_user --ask-pass --ask-become-pass
  

  执行时分别输入登录密码和提权密码，避免混淆。

4. 脚本路径或参数的拼写错误 #

别忽略最基础的问题：检查启动脚本的路径、数据库实例名有没有拼写错误。有时候系统找不到脚本或参数错误，返回的错误信息可能会被误判为权限问题。

5. 系统安全规则限制 #

比如SELinux、AppArmor这类安全模块，可能允许停止数据库的操作，但阻止启动动作：

• 可以临时关闭SELinux测试：在dbserver上执行setenforce 0，然后重新运行Playbook。如果能成功启动，再去调整SELinux的规则（比如添加相应的allow策略）。

验证步骤总结 #

1. 先手动在dbserver上用su - oracle执行启动脚本，确认脚本本身没问题；
2. 修改Playbook添加become_flags: "-"，重新测试；
3. 加上--ask-become-pass参数执行Playbook，确认提权密码正确；
4. 排查系统安全规则的限制。

内容的提问来源于stack exchange，提问作者dt94