Ansibleのbecomeでsudo権限を設計する方法｜become_user・become_methodと最小権限設計の実践

この記事のポイント

・become: true でSSH接続ユーザーを root に昇格させて操作できる
・設定スコープは「ansible.cfg＞inventory変数＞タスクレベル」の3段構造
・タスクごとに become を個別指定することで最小権限原則を守れる
・become_pass は Ansible Vault で暗号化して Git に安全にコミットする

# シンプルな become の例（RHEL 9.4 / Ubuntu 24.04 LTS で動作確認済み）
- name: Apache パッケージをインストールする
  ansible.builtin.package:
    name: httpd
    state: present
  become: true

# ansible-playbook 実行後の出力例（管理ノード: web01.example.com）
TASK [Apache パッケージをインストールする] *******************
changed: [web01.example.com]

# アプリケーション専用ユーザーとして操作する例
- name: デプロイスクリプトを実行する
  ansible.builtin.shell: /opt/myapp/scripts/deploy.sh
  become: true
  become_user: appuser

# su コマンドで昇格する例
- name: su で root に昇格して実行する
  ansible.builtin.command: id
  become: true
  become_user: root
  become_method: su

# 利用可能な become_method の一覧を確認する
ansible-doc -t become -l

# ansible.cfg の例
[privilege_escalation]
become = True
become_method = sudo
become_user = root
become_ask_pass = False

# inventory.ini の例（ホストごとに個別設定）
[webservers]
web01.example.com ansible_become=true ansible_become_user=root
web02.example.com ansible_become=true ansible_become_user=root

[dbservers]
db01.example.com ansible_become=false

# group_vars/webservers.yml
ansible_become: true
ansible_become_method: sudo
ansible_become_user: root

# タスクごとに become を個別指定する例
- name: Nginx 設定変更 Playbook
  hosts: webservers
  become: false    # Playbook全体では昇格しない

  tasks:
    - name: 設定ファイルを配置する（root権限が必要）
      ansible.builtin.template:
        src: nginx.conf.j2
        dest: /etc/nginx/nginx.conf
        owner: root
        group: root
        mode: '0644'
      become: true   # このタスクだけ昇格

    - name: 設定ファイルの構文チェック（一般ユーザーで可能）
      ansible.builtin.command: nginx -t
      # become は指定しない

# /etc/sudoers.d/ansibleuser の内容（visudo で編集）
# 特定コマンドのみ NOPASSWD を許可する
ansibleuser ALL=(ALL) NOPASSWD: /usr/bin/dnf, /usr/bin/apt-get, /bin/systemctl, /usr/bin/cp

# NG: 全コマンドを NOPASSWD にするのはリスクが高い
# ansibleuser ALL=(ALL) NOPASSWD: ALL

# Vault でパスワード文字列を暗号化する
ansible-vault encrypt_string 'sudo_password_here' --name 'ansible_become_pass'

# 出力例（この文字列を group_vars に貼り付ける）
ansible_become_pass: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          38623337353539386238363732353337...

# group_vars/all.yml に追記
ansible_become_pass: !vault |
  $ANSIBLE_VAULT;1.1;AES256
  38623337353539386238363732353337...（暗号化された文字列）

# Vault パスワードをファイルで指定する方法
ansible-playbook site.yml --vault-password-file ~/.vault_pass

# または実行時に対話入力する方法
ansible-playbook site.yml --ask-vault-pass

# 管理対象サーバー側の設定（管理者が初回のみ手動設定）

# 1. Ansible専用ユーザーを作成する
useradd -m -s /bin/bash ansibleuser

# 2. SSH公開鍵を登録する
mkdir -p /home/ansibleuser/.ssh
cat /tmp/ansible_id_rsa.pub >> /home/ansibleuser/.ssh/authorized_keys
chmod 700 /home/ansibleuser/.ssh
chmod 600 /home/ansibleuser/.ssh/authorized_keys
chown -R ansibleuser:ansibleuser /home/ansibleuser/.ssh

# 3. sudoers に必要なコマンドのみを登録する
cat > /etc/sudoers.d/ansibleuser << 'EOF'
ansibleuser ALL=(ALL) NOPASSWD: /usr/bin/dnf, /usr/bin/apt-get, /bin/systemctl, /usr/bin/cp, /usr/bin/install
EOF
chmod 440 /etc/sudoers.d/ansibleuser

# 4. 動作確認（ansibleユーザーに切り替えて sudo テスト）
su - ansibleuser
sudo dnf --version

# become が正常に機能するか事前テスト（-K でパスワードを対話入力）
ansible webservers -m ansible.builtin.command -a "id" --become -K

# 成功した場合の出力例（root に昇格していることを確認）
web01.example.com | CHANGED | rc=0 >>
uid=0(root) gid=0(root) groups=0(root)

# 昇格先を appuser に指定する場合
ansible webservers -m ansible.builtin.command -a "id"   --become --become-user=appuser

# 出力例
web01.example.com | CHANGED | rc=0 >>
uid=1001(appuser) gid=1001(appuser) groups=1001(appuser)