ansible 模块：become

1. 简介

Ansible 允许你成为另一个用户，与登录到本机的用户或远程用户不同。这是使用现有的特权升级工具（privilege escalation tools）完成的，您可能已经使用或已经配置了这些工具，如sudo，su，pfexec，doas，pbrun，dzdo，ksu等。说明：

• （1）在1.9 Ansible之前，大多数情况下都允许使用sudo和有限的su来允许登录/远程用户成为不同的用户并执行任务，用第二个用户的权限创建资源。从1.9开始become代替旧的 sudo /su，同时仍然向后兼容。这个新系统也使得添加诸如 pbrun（Powerbroker），pfexec，dzdo（Centrify）等其他特权升级工具变得更加容易。

• （2）变量和指令是独立的，即设置become_user并不是设置 become。

2. become 的使用

2.1 become

set to ‘true’/’yes’ to activate privilege escalation.

使用“true”或“yes”来表示启用这个特权，如：become=true表示打开了 become 开关。

2.2 become_user

set to user with desired privileges — the user you ‘become’, NOT the user you login as. Does NOT imply become: yes, to allow it to be set at host level.

become_user=root 设置为 root 账户，相当于我们以普通账户登入到远程主机时，再使用su - root切换为 root 账户。

2.3 become_method

(at play or task level) overrides the default method set in ansible.cfg, set to sudo/su/pbrun/pfexec/doas/dzdo/ksu

become_method=su 表示用什么方式将普通账户切换到 root 或所需的其他账户，这里可以用 su 或 sudo。

2.4 become_flags

(at play or task level) permit to use specific flags for the tasks or role. One common use is to change user to nobody when the shell is set to no login. Added in Ansible 2.2.

表示允许为任务或角色使用特定的标志。一个常见的用法是在 shell 设置为不登录时将用户更改为nobody。ansible2.2版本中增加。Ansible 中 become 的使用举例说明：例如，要以非 root 用户身份连接到服务器时，需要 root 用户权限：（1）To run a command as the apache user:（ 以 apache 账户运行命令），play.yml 脚本如下：

name: Run a command as the apache usercommand: somecommandbecome: truebecome_user: apache

（2）To do something as the nobody user when the shell is nologin:（在 shell 设置为不登录时将用户更改为 nobody），play.yml 脚本如下：

name: Run a command as nobodycommand: somecommandbecome: truebecome_method: subecome_user: nobodybecome_flags: '-s /bin/sh'

3. become 变量在 hosts 使用

说明：允许您设置每个组和/或主机的选项，这些选项通常在 hosts 中定义，但可以用作正常变量来使用。

3.1 ansible_become

equivalent of the become directive, decides if privilege escalation is used or not.（相当于成为指令，决定是否使用特权升级。）

3.2 ansible_become_method

allows to set privilege escalation method（允许设置权限升级方法）

3.3 ansible_become_user

allows to set the user you become through privilege escalation, does not imply ansible_become: True（允许通过权限升级来设置你成为用户，记得同时使用 ansible_become：true）

3.4 ansible_become_pass

allows you to set the privilege escalation password（即如你要使用 root 账户，则这里要写的就是 root 账户的密码！）举例如下：

[root@iZ2ze5n6gzuzcclehq1v9gZ ansible]# vim hosts[yunwei]        ##运维 wtf192.168.2.1 ansible_ssh_user=product  ansible_become_user=root ansible_become=true  ansible_become_pass='123456'

• 官方 ansible become
  

• Ansible sudo – ansible become example
  

• Understanding Privilege Escalation