受限sudo权限下，Ansible如何通过sudo su -实现提权执行？

我完全理解你的困扰——当账号只能通过sudo su -切换root，而无法直接sudo执行任意脚本时，Ansible默认的become机制确实会失效。你用shell模块的here-doc方案虽然能跑，但失去了Ansible最核心的幂等性优势，确实不够优雅。下面给你两个更优的方案，既符合权限要求，又能正常使用Ansible的模块功能：

方案一：正确配置Ansible的Become参数（推荐） #

核心思路是让Ansible通过sudo su -启动root的登录shell，再在这个shell里执行模块命令，而不是直接用sudo运行临时脚本。你可以在playbook里直接配置become相关参数：

- hosts: your_target_hosts
  tasks:
    - name: 安装Git（利用yum模块的幂等性）
      yum:
        name: git
        state: present
      become: yes
      become_method: sudo
      become_exe: sudo
      become_flags: "su -"
      become_user: root

为什么这个配置有效？ #

• 你的sudo -l显示允许(root) su -，也就是可以执行sudo su -切换到root登录shell
• 这个配置让Ansible生成的命令变成：sudo su - root -c '<yum模块对应的命令>'，完全符合你的权限规则
• 此时yum模块可以正常工作，自动检查Git是否已安装，只有缺失时才执行安装，完美保留幂等性

你可以先跑一个简单的测试任务验证权限切换是否成功：

- name: 验证是否切换到root
  command: whoami
  become: yes
  become_method: sudo
  become_exe: sudo
  become_flags: "su -"
  register: whoami_result
- debug:
    var: whoami_result.stdout

如果输出root，说明配置生效了。

方案二：使用su作为become方法（备选） #

如果上面的配置遇到环境变量问题，你也可以直接把become_method设为su，同时用sudo来触发su：

- hosts: your_target_hosts
  vars:
    ansible_become: yes
    ansible_become_method: su
    ansible_become_exe: sudo su -
    ansible_become_user: root
  tasks:
    - name: 安装Git
      yum:
        name: git
        state: present

这个方案本质和方案一类似，只是通过变量全局配置become参数，适合在多个任务中复用。

为什么你的临时方案不够理想？ #

用shell模块的here-doc虽然能执行命令，但：

• 无法利用Ansible模块的幂等性校验，每次都会执行yum install命令，即使Git已经安装
• 输出日志不够清晰，Ansible无法解析命令执行的细节（比如是否真的安装了包）
• 不符合Ansible的最佳实践，模块比shell/command更可靠、更易维护

内容的提问来源于stack exchange，提问作者nwinkler