使用 Ansible 为每个角色定义 `become=yes'

Question

在我使用 Ansible 进行系统配置时，我不想在每个任务中都指定 become=yes，因此我在项目主目录中创建了以下 ansible.cfg，Ansible 会自动运行所有内容作为根：

[privilege_escalation]
become = True

但随着项目的不断发展，一些新角色不应该以 root 身份运行。我想知道是否有可能在角色内部有一些指令，即该角色内的所有任务都应以 root 身份运行（例如 vars/ 中的某些内容），而不是全局 ansible.cfg上面的解决方案！

Answer 1

我找到了解决方案，但我认为 Ansible 团队应该实施更好的解决方案。将 ma​​in.yml 重命名为 tasks.yml，然后将以下内容写入 ma​​in.yml：

---
- { include: tasks.yml, become: yes }

另一种解决方案是直接在site.yml中传递参数，但问题的主要思想是在其他项目中重用角色而不忘记它需要root：

---
- hosts: localhost
  roles:
    - { role: name, become: yes }

Answer 2

您还可以将任务包装在一个块中，并将become: yes 放在该块上。所以，在你的 roles/role_name/tasks/main.yml 中，你会这样做：

- block:

  - name: Tasks go here as normal
    ...

  become: yes

这将以 root 身份运行块内的所有任务。 Ansible 块的更多详细信息here (latest docs)。

Answer 3

并不是一个根本不同的答案，而是对已经说过的内容进行了外观重新格式化。在我看来，它是最短、最干净、最符合 YAML 的：

- name: My play
  hosts: myhosts
  roles:
    - role: role1
      become: yes

    - role: role2

角色 1 将以 root 身份运行，而角色 2 不会。

Answer 4

在Ansible documentation for 2.4中可以找到定义连接变量的方法，比如ansible_become和ansible_user。它们被定义为通常的变量。下面是一个sn-p。

第一个角色 prepare_user 使用没有提升权限的用户 root 连接到 hosts。第二个角色register 使用通过ansible.cfg 设置的remote_user 连接到hosts（在defined order 中查找；搜索“按以下顺序”）。

---
- hosts: all
  name: Prepare VMs for cluster
  roles:
    - role: prepare_user
      vars:
        - ansible_become: false
        - ansible_user: root

    - role: register
...

Answer 5

有一种方法可以满足您的要求，但您需要谨慎使用它，因为 Ansible 在运行任何任务之前会评估大多数变量。如果你使用这个技巧，你必须确保始终如一地使用它，否则你可能会在你不想使用的地方无意中使用become。

在后台，Ansible 使用变量 ansible_become 来确定是否使用 become 来执行该任务。在您的角色中，您可以创建defaults/main.yml 并设置ansible_become: [true/false] 这将导致整个角色接受该值，除非被更高优先级的定义覆盖（理解variable precedence 很重要）

这里的关键“陷阱”是，如果您使用定义了 this 的角色，它将影响剧中在它下面调用的所有其他角色，除非他们也定义了它。

例子：

role_default_become_true 将 ansible_become: true 默认定义为 true role_default_become_false 将 ansible_become: false 默认定义为 true role_no_default 没有默认的 ansible_become 值

---
- name: test1
  hosts: localhost
  connection: local
  roles:
  - role_default_become_true
  - role_default_become_false
  - role_no_default

- name: test2
  hosts: localhost
  connection: local
  roles:
  - role_default_become_false
  - role_default_become_true
  - role_no_default

- name: test3
  hosts: localhost
  connection: local
  roles:
  - role_default_become_false
  - role_default_become_true
  - { role: role_no_default, become: false }

在 test1 中，role_no_default 会在没有成为的情况下运行，因为之前的角色将其定义为 false，并且它没有自己的定义。

在 test2 中，role_no_default 将与 become 一起运行，因为之前的角色将其定义为 true，并且它没有自己的定义。

在 test3 中，role_no_default 不会成为，因为它有自己的定义。