ansible中实现远程用户免密sudo的核心是精准授权与安全落地：先创建用户并加入wheel组，再通过/etc/sudoers.d/独立配置nopasswd规则，用visudo校验语法，最后验证sudo能力是否生效。

在 Ansible 自动化运维中，让远程用户免密执行 sudo 命令，核心不是“跳过密码”，而是精准授权 + 安全落地。关键在于：目标主机上的普通用户必须能以 NOPASSWD 方式、仅限必要命令（或限定组）调用 sudo，且整个过程可审计、可批量部署。

以下四步直接对应生产环境最佳实践：

确保远程用户存在并加入特权组

• 用户需提前创建（如 deploy），不能只靠 become_user: root 临时提权
• 必须加入系统默认的 sudo 组（如 wheel 或 sudo）：

  - name: Create deploy user and add to wheel group
    ansible.builtin.user:
      name: deploy
      groups: wheel
      append: true
      state: present

通过 /etc/sudoers.d/ 独立配置免密规则

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 绝不直接改 /etc/sudoers，避免语法错误导致全局 sudo 失效
• 推荐文件名带序号（如 90-ansible-nopasswd），确保加载顺序清晰
• 示例内容（写入 /etc/sudoers.d/90-ansible-nopasswd）：

  %wheel ALL=(ALL) NOPASSWD: /usr/bin/systemctl, /usr/bin/apt, /usr/bin/apt-get, /bin/mkdir, /bin/cp

  若为专用管理环境且可信度高，可用：

  %wheel ALL=(ALL) NOPASSWD: ALL

用 lineinfile + visudo 校验语法，防止配置崩坏

• Ansible 中必须启用语法校验，否则一条错行会让所有 sudo 失效：

  - name: Write NOPASSWD rule with syntax validation
    ansible.builtin.lineinfile:
      path: /etc/sudoers.d/90-ansible-nopasswd
      line: '%wheel ALL=(ALL) NOPASSWD: ALL'
      validate: 'visudo -cf %s'
      create: true

验证 sudo 免密能力是否真正生效

• 在 Playbook 后加一个健康检查任务，避免“以为配好了”但实际失败：

  - name: Verify NOPASSWD sudo works for deploy
    ansible.builtin.command: sudo -n whoami
    args:
      executable: /bin/bash
    become: false
    register: sudo_test
  - name: Fail if sudo check fails
    ansible.builtin.fail:
      msg: "sudo NOPASSWD is not working for deploy user"
    when: sudo_test.rc != 0 or sudo_test.stdout != 'root'

完成以上配置后，Ansible Playbook 中只需声明 become: true（或命令行加 -b），即可静默提权执行任务，无需交互输密，也不依赖 root SSH 登录。整个链路干净、可追溯、可回滚。