Как работает sudo в ansible?

Question

[Олег Аксенов]

Доброго времени суток, коллеги, подскажите, пожалуйста, как работает sudo в ansible и в чем его разница, если я применяю sudo непосредственно в консоли,
В консоли выполняю
[user@server01 opt]$ sudo mkdir /opt/test
Выполняется успешно, но при использовании команды непосредственно с помощью ansible:

[user@server01 opt]$ ansible servers -m file -a "dest=/opt/test  mode=755" -k -u user -b

Возникает ошибка

"module_stdout": "Sorry, user user is not allowed to execute '/bin/sh -c echo BECOME-SUCCESS-qvlcsrrsgixvikeamiollrbbnyxljoxl

У меня и в самом деле ограниченный sudo на команды /bin/sh и /bin/bash, вопрос заключается в следующем,
в чем разница моего локального выполнения sudo и через ansible?
права sudo

sudo -l
    (ALL) NOPASSWD: ALL, !/bin/sh, !/bin/tcsh, !/bin/csh, !/bin/zsh, !/bin/ksh, !/bin/bash, !/usr/bin/sudo, !/bin/su, !/usr/bin/mc
    (root) NOPASSWD: ALL
    (root) NOPASSWD: ALL, !/bin/sh, !/bin/tcsh, !/bin/csh, !/bin/zsh, !/bin/ksh, !/bin/bash, !/usr/bin/sudo, !/bin/su, !/usr/bin/mc, !/usr/bin/chattr, !/usr/bin/screen, !/usr/bin/tmux

Answer 1

[neol]

Перед тем как выполнить вашу команду, ansible проверяет, что sudo в принципе работает. И эта проверка у вас заканчивается неудачей. До mkdir дело вообще не доходит.

Comments

[Олег Аксенов]

А можно отключить эту проверку, т.к. проверяет ту команду, которая не работает?

[neol]

Олег Аксенов, изменение become_method должно помочь.

Но лично мне кажется несколько странной сама идея ограничивать sudo по чёрному списку.

[Олег Аксенов]

neol,
Получается ограничение у sudo, именно использование shell из под root, но я смог попросить права на "sudo -i", попробую решить проблему через become_flags:

Ограничением прав занимается другой отдел, нам приходится как-то подстраиваться или обходить.

Answer 2

[noute]

Лучше закинуть ssh ключ ansible из под root-а.
Зайдешь в убунту сделай su - или sudo -s стань root-ом и пихай ключ ansible. Меньше головной боли будет.

Answer 3

[MaxKozlov]

Такая ошибка может возникать если у пользователя через sudo есть не все права, а только на запуск определённых команд, ansible создаёт временный файл со своими командами в /tmp и запускает его, а не напрямую /bin/sh