1. 概述
在使用 Ansible 编写 Playbook 时，某些任务可能需要特定用户权限才能执行。例如安装系统软件、修改系统配置等操作通常需要 root 权限。但随着 Playbook 规模的扩大，不同任务所需的权限可能各不相同，这就要求我们能够按任务切换用户。
本文将介绍 Ansible 中几种常见的按任务切换用户的方式，包括直接指定、使用 Block 分组、Play 级别设置、Role 级别设置，以及结合条件判断动态切换等方法。
2. 使用 become 指令切换用户
Ansible 提供了 become 和 become_user 指令来实现权限切换。其中：
become: true表示启用权限切换become_user: <username>表示切换到指定用户
示例 Playbook 如下：
- name: 显示时间并安装 curl
hosts: localhost
tasks:
- name: 显示当前时间
command: date
become: true
become_user: baeldung
- name: 安装 curl
apt:
name: curl
state: present
become: true
become_user: baeldung_2
✅ 注意：如果任务需要以 root 身份执行，可以只写 become: true，不指定 become_user。
3. 在 Block 中统一切换用户
当多个任务需要使用相同用户执行时，可以使用 block 将它们分组，并在 block 级别统一配置 become 和 become_user，避免重复书写。
示例如下：
- name: 显示时间并返回用户名
block:
- name: 显示当前时间
command: date
- name: 返回当前用户名
command: whoami
become: true
become_user: baeldung
- name: 安装 curl 和 wget
block:
- name: 安装 curl
apt:
name: curl
state: present
- name: 安装 wget
apt:
name: wget
state: present
become: true
✅ 这样可以减少重复配置，提高可读性和维护性。
4. 在 Play 级别切换用户
如果一组任务都作用于特定主机，并且需要使用相同用户执行，可以直接在 Play 级别设置 become 和 become_user，避免每个任务单独配置。
示例：
- name: Play A
hosts: localhost
become: true
become_user: baeldung
tasks:
- name: 显示当前时间
command: date
- name: 返回用户名
command: whoami
- name: Play B
hosts: 192.168.22.2
become: true
become_user: baeldung_2
tasks:
- name: 安装 curl
apt:
name: curl
state: present
- name: 安装 wget
apt:
name: wget
state: present
✅ 此方法适用于任务权限与目标主机绑定的场景，而非任务本身。
5. 在 Role 中切换用户
Ansible 的 Role 机制允许我们将任务模块化。我们也可以在调用 Role 时指定其运行用户，从而避免在每个任务中重复设置。
假设我们有两个 Role：
roleA/tasks/main.yml
- name: 显示当前时间
command: date
- name: 返回用户名
command: whoami
roleB/tasks/main.yml
- name: 安装 curl
apt:
name: curl
state: present
- name: 安装 wget
apt:
name: wget
state: present
在 Playbook 中调用这些 Role 并指定运行用户：
- name: 使用 roleA 和 roleB 的 Play
hosts: localhost
roles:
- name: roleA
become: true
become_user: baeldung
- name: roleB
become: true
✅ roleA 中的任务将以 baeldung 用户执行，roleB 中的任务将以 root 用户执行。
6. 条件化切换用户
有时候我们希望根据条件动态决定使用哪个用户执行任务。Ansible 支持在 become_user 中使用 Jinja2 表达式实现动态赋值。
示例：
- name: 返回当前用户名
command: whoami
become: true
become_user: "{{ 'baeldung' if ansible_os_family == 'Debian' else 'root' }}"
✅ 该方式可灵活应用于 Task、Block、Role 和 Play 等不同层级。
7. 总结
本文介绍了 Ansible 中多种按任务切换用户的方法：
| 方法 | 适用场景 | 特点 |
|---|---|---|
become + become_user |
单个任务切换用户 | 灵活但重复 |
block + become |
多个任务统一切换 | 提高可读性 |
| Play 级别设置 | 整个 Play 使用相同用户 | 减少重复配置 |
| Role 级别设置 | 模块化任务统一权限 | 更好组织 Playbook |
| 条件表达式 | 动态切换用户 | 高度灵活 |
根据实际需求选择合适的方法，可以有效提升 Ansible Playbook 的可维护性和安全性。