« Rev
@openstack_ru   1538
Fwd »


Grundik
Кто-либо разбирался зачем добавили роль manager? В полиси не нашел особых упоминаний. Это заготовка на будущее что-ли?
Operators can give the manager role to users to within a domain to enable self-service management of users, groups, projects and role assignments within their domain
Stanley
Всегда думал что вся ролевка работает через Oslo.policy
Vyacheslav
Как role binding в okd
Stanley
Как role binding в okd
Переведи?
Vyacheslav
Переведи?
У тебя есть допустим секьюрити. Им надо давать права, но самим ими не обладать - для этого роль менеджер
Stanley
У тебя есть допустим секьюрити. Им надо давать права, но самим ими не обладать - для этого роль менеджер
Так в коде то это где? Как оно работает если в полиси ямл я этого не вижу
Grundik
https://docs.openstack.org/keystone/latest/configuration/samples/policy-yaml.html
Grundik
Там есть уже для manager
Stanley
Ага. Тут есть. Но роль появилась давно и в 2023.1-2, 2024.1 я в полиси этого не видел.
Stanley
То есть, работает только в 2025.1 ?
Stanley
Или кто там сейчас latest....
Grundik
Нужно смотреть комиты когда появилась
Stanley
Проверил. Роль менеджер заработала только в 2024.2
Nikolay
фигасе rbac начали пилить
Mr
фигасе rbac начали пилить
Ещё пара тысяч вёдер ..
icewolf
Ещё пара тысяч вёдер ..
скорее всего там не пару тысяч.. а хреналион миль
icewolf
https://youtu.be/Kz_Vpi1A2d0?si=cfousOKyIjF2wuFe
я если что в курсе, но там до канадской границы еще далеко. RBAC это вообще специфичная штука
icewolf
и для тех кто еще "сначала не понял, а потом как понял" допустим что у нас rbac есть от разных запчастей не от монолита а именно от разных частей сетевой и нова и еще до кучи кейстоун. А теперь представим себе картинку как они друг друга будут афектить если будет ашибка
icewolf
там знаете такая евгеника начнется.
Mr
я если что в курсе, но там до канадской границы еще далеко. RBAC это вообще специфичная штука
Чего там специфичного ? В нашей корпоративной галактике лет 20? 30? Есть
Mr
там знаете такая евгеника начнется.
Почему евгеника ? Генг бенг
icewolf
Хейл Вива Дарвин!
да да мы тянули души к Богу, жалко выжили не все. Вот весь этот тонкий тюнинг особенно с rbac новы выдает такие реверансы местами.. что страшно смотреть.. как у тебя от одного действия все ложится.. и ты такой "дабля!" идешь заново все редеплоить.
icewolf
Чего там специфичного ? В нашей корпоративной галактике лет 20? 30? Есть
по идеи, повторюсь по идеи нет там ничего сложного в этой галактике. Но насколько я понимаю у крупных кусков которые являются корекомпонентами свой rbac.
icewolf
настроил рбак на нове, и этот рбак циркуляркой отпилил жопу синдеру
icewolf
а если под синдером сеф это еще куда не шло, жопу можно пришить. Или еще лучше берем рбак навешиваем на нейтрон, а он нна паленом нове по башке..
icewolf
Не вижу проблемы. От рута / суперадмина все у всех под линуксами всегда работало
а за такое надо к стулу 220 вольт подводить. Ну то есть в твоих словах есть мысль только когда ты ставишь какие то не самые тривиальные действия которые не от рута не выполнить бывают как говорится в жизни огорчения с некоторыми бинарями и тулзами. Но для остального придумали sudo и wheel
icewolf
потом мы говорим уже не об операционной системе, а совсем о другой сущности о слое гавнокода аркистрации для виртуализации, так что тут начинается как раз вопрос, какие мы следовательно используем ограничители что бы наш user/member не прострелил бы себе висок и не прибежал бы к нам с словами верните все обратно
icewolf
вы думаете клауд линк или manageiq(он же CloudForms, я больше чем уверен что у vk on prem тоже своя настройка что бы не пускать к самому опенстеку пользователя) просто так придумали?? Потому что не всегда вот эти вот тонкие настройки rbac работают и наш сервис compute и network внезапно этими рбаками пристреливает друг друга.
Nikolay
вопрос имхо в том, что нужно от рбак, и вопрос нужно ли его тащить в сервисы
Nikolay
подозреваю гораздо проще повесить прокси апи и накручивать на нем все что взбредет в голову
icewolf
в противном случае случатся срачели.
Nikolay
Я же гениален в своей тупости
icewolf
Ты изобрел шитстоун мидлваре 🙂
не ну я в декабре про него читал, травмоопасная конечно конструкция в плане того что инвалидность при использовании можно получить.
icewolf
но в целом преодолевая трудности им можно пользоваться(ну или когда тебе коллеги все ноги и руки с головой за это переломают)
Artemy
С опенстеком выйти на пенсию без инвалидности вообще большая редкость
icewolf
потому что я видел как это херакается на свежераскатаном стенде..
icewolf
береш такой xena крутишь и тут херак.. мониторинга нам сказала что у нас нейтрона упала.. и ты с слезами видишь как упала не ток нейтрона.
icewolf
от релиза к релизу приключения, на гране фола
Artemy
Медали "За деплой на Астру", "За деплой на Альт" и "За деплой на РедОС", памятные медали "К юбилею Окаты" и "За люминус в 2024" и ордена "За починку цефа" и "За прохождение фулсинка".
Alexander
я сперва подумал, что здесь свечки ставят, как за упокой
Artemy
Главное чтобы не татуировки на поясницу
Alexander
это у писателей данных дистрибутивов
icewolf
это у писателей данных дистрибутивов
на удивление, а может и нет дистры сейчас более менее стали стабильными(в плане падений не первое место и слава богу)
icewolf
это у них там yoga на astra linux 1.7.3
icewolf
icla если я не ошибаюсь
icewolf
победил в итоге?
Но какой ценой
Илья | 😶☮️🐸
победил в итоге?
Хорошо что напомнил! Да, я не один такой, чуваки тоже ковыряли https://review.opendev.org/c/openstack/nova/+/938215
Илья | 😶☮️🐸
Помогает сильно, жду мержа
Grundik
Помогает сильно, жду мержа
у меня контроллеры начали переодически отстреливаются от rabbit... правда yoga и rabbit 3.9...
Илья | 😶☮️🐸
Надо нову компут обновлять. У нас так же мигает, помогает перезагрузка
а обновление ничего не даст, патч ещё не вмержили https://review.opendev.org/c/openstack/nova/+/938215
Илья | 😶☮️🐸
и он не совсем помогает, скинул там в топике, через ~30 часов начинает шакалить обратно
Stanley
и он не совсем помогает, скинул там в топике, через ~30 часов начинает шакалить обратно
Хреново. Не вчитывался - в чем корневая причина? Кролик мандит или Нова компут ?
Илья | 😶☮️🐸
Хреново. Не вчитывался - в чем корневая причина? Кролик мандит или Нова компут ?
нова, при обходе всех инстансов встает колом основной поток и не отвечает на хартбит
Stanley
В целом оно восстанавливается и пока визуально на работу не влияет. Но бесит.
Илья | 😶☮️🐸
я на 2x инсталляциях обкатываю патч, по началу всё ок, потом проявляется НО на одной из инсталляций всё стабильно https://imgur.com/a/site-2-WXFCoff
Илья | 😶☮️🐸
В целом оно восстанавливается и пока визуально на работу не влияет. Но бесит.
К сожалению, нет, если инсталляция активная по действиям, то инстансы могут встать колом во время запросов
Stanley
К сожалению, нет, если инсталляция активная по действиям, то инстансы могут встать колом во время запросов
Пока такого не видел. Но вмки перекатывают редко. Встать колом - падает в еггог?
Stanley
Печалька. Ну будем ждать. Баг неприятный. У нас пока проявился только тем что хост уходит в даун каждые 5 мин примерно.
Илья | 😶☮️🐸
неприятно, но патч помогает немного порелаксить https://review.opendev.org/c/openstack/nova/+/936246 есть ещё это, не тестил
Илья | 😶☮️🐸
🪖
x0
Привет, тут возникла ошибка, при создании виртуалок (не создаются), а ууже имеющиеся ВМ запускаются, но не достуупны по сети: 2025-01-11 16:07:01.216 140208 ERROR neutron.plugins.ml2.managers [req-... req-... ... ... - - default default] Failed to bind port ... on host hw3 for vnic_type normal using segments [{'id': '...', 'network_type': 'flat', 'physical_network': 'provider', 'segmentation_id': None, 'network_id': '...'}] 2025-01-11 16:07:01.225 140208 ERROR neutron.plugins.ml2.managers [req-... req-... ... ... - - default default] Port ... does not have an IP address assigned and there are no driver with 'connectivity' = 'l2'. The port cannot be bound. Подскажите кууда копать.
« Rev
@openstack_ru   1538
Fwd »