« Rev
@openstack_ru   1644
Fwd »


Mr
Хм. А ты прав. Впрочем, это не меняет картины в целом, под раздачу попали по большей части те, кто планировал на валютных курсах подзаработать / сэкономить. Ну и их не то чтобы конфисковали - им ограничили хождение/применение
Тут вопрос отношения. Вот в 1991 же вклады в Сбербанке не конфисковали же? До сих пор выплачивают же, так ? Вот и тут не конфисковали же, можете получить. Только потом, и не в долларах
icewolf
и все ходили +/- под богом.
Artemy
Тут вопрос отношения. Вот в 1991 же вклады в Сбербанке не конфисковали же? До сих пор выплачивают же, так ? Вот и тут не конфисковали же, можете получить. Только потом, и не в долларах
Не вижу проблем, возврат в рублях производится по курсу банка (как в общем и всегда было) - причем этот курс не меньше официального, то есть если обычно курс например 80, банк продает валюту по 90 а покупает по 70, то тебе выдадут по 80 а не по 70 (не меньше официального курса) - так что ЦБ подрезал немного крылышки жадным банкам которые например любят писать "курс 80, курс продажи 120, курс покупки 40")
icewolf
Проблема ровно одна. Брал у меня банк корову рыжую одну. Мог ли я на выданные рубли купить сданное количество долларов ? Нет , не мог. То есть сдал 100, получил обратно 70.
Дмитрий, а вы знаете почему люди не несли очень долгое время деньги на депозиты? А несли именно коммерсанты? И почему ГКО рухнили?
icewolf
ведь вся делема была как раз не в том что это прибыльно а в том что был купонный доход.
icewolf
а еще меня очень удивляют люди, которые 98 год толи под столом проходили.. с криками уа, то ли мяч во дворе гоняли.. и не слышали что в 99 например была такая норма как валютный контроль.
Artemy
Проблема ровно одна. Брал у меня банк корову рыжую одну. Мог ли я на выданные рубли купить сданное количество долларов ? Нет , не мог. То есть сдал 100, получил обратно 70.
Ты никогда не мог на полученные рубли купить сданное количество долларов. Спред банка был всегда. И использование иностранной валюты ограничивалось всегда - ее никогда не разрешалось использовать как средство платежа после окончания "диких времен" и все валютные платежи между внутренними контрагентами в иностранной валюте были в "серой зоне".
icewolf
в УЕ они были, по курсу СКВ
icewolf
Безусловно. Но сдавал то я в банк доллары.
а я 2022 в банке, такой вот росбанк, получал наличные доллары в банкомате.
icewolf
2700 баксов в месяц из банка Лехмон) есть такой банк в новом йорке(который сити, а не таун)
icewolf
и лавочку прикрыли, внезапно платежи то были не через швифт
Artemy
Безусловно. Но сдавал то я в банк доллары.
Ты решил нивелировать риски хранения наличной валюты в счет рисков валютного регулирования, риски реализовались. Добро пожаловать в реальный мир, если ты не внебрачный сын Баффета и Сороса то страдать на валютных операциях ты будешь
Dmitry
Админов на вас нету, инвесторы мамкины...
Artemy
Кстати да - всем инвесторам нахрен в ru_investing. А тут тему закроем
Вадим
всем привет, кто ни будь разворачивал devstack, что бы он работал по dns имени (а не как по дефолту через ip) и при этом работало ssl
Вадим
не могу в интернете найти пример конфига для local.conf
Вадим
если я в HOST_IP указываю днс имя то без SSL это работает, а если хочу ssl то тогда установщик не может сгенерировать сертификат
Сергей
Подскажите, по вашему опыту, стоит ли для OpenStack 2023.2 (Bobcat) использовать четыре контроллера вместо трёх?
Grundik
а смысл? Почитайте про кворумы
J
а смысл? Почитайте про кворумы
А чо кворумы то? Кроме rabbitmq и mariadb\galera ни в каких больше сервисах кворумы не используются.
Grundik
А чо кворумы то? Кроме rabbitmq и mariadb\galera ни в каких больше сервисах кворумы не используются.
ну про то что на конролах в вопросе не указанго и считаем они там по умолчанию
J
Подскажите, по вашему опыту, стоит ли для OpenStack 2023.2 (Bobcat) использовать четыре контроллера вместо трёх?
Четное количество экземпляров для сервисов использующих кворум не делай. Если что-то не так пойдет, могут разделиться на две группы и ни одна не бдует понимать она ли должна быть активной или другая, потому что одинаковые по размеру. А для всех api сервисов, conductor, scheduler или cinder-volume можешь хоть 4 хоть 2 хоть 44, если надо.
Сергей
Спасибо
ಕ
всем привет, я сейчас пишу кастом политику для своей новой роли. для keystone добавил для вызовов identity:list_domains "(role:reader and system_scope:all) or (role:myrole)" и identity:list_projects ((role:reader and system_scope:all) or (role:reader and domain_id:%(target.domain_id)s)) or (role:myrole). пользователь, который не админ, под новой ролью получил возможность вызывать list_domains, list_projects но сам админ больше таких вызовов делать не может, идет ошибка You are not authorized to perform the requested action: identity:list_domains. (HTTP 403) у кого-то есть идеи почему так может быть?
ಕ
а я оставил. я к существующим просто добавил в конце or (role:myrole)
Grundik
а я оставил. я к существующим просто добавил в конце or (role:myrole)
почитай по примеру https://docs.scs.community/standards/scs-0302-v1-domain-manager-role/ https://github.com/SovereignCloudStack/standards/blob/main/Standards/scs-0302-w1-domain-manager-implementation-notes.md
Grundik
добавь or rule:admin
Eli Si
Всем привет! Для тестирования нужно развернуть OpenStack (релиз Caracal) на 3 ноды (controller, compute, network (Neutron) с OpenVirtualSwitch и поддержкой VLAN, VXLAN. Попробовал это сделать на Rocky Linux 9.5 и помощью Packstack. Подготовил файл ответов, но PackStack почему то игнорирует явное указание использовать OVS и вместо него ставит OVN, который не поддерживает в полной мере VLAN, VXLAN. Как победить? Прилагаю секцию из файла ответов, касающуюся Neutron: [neutron] CONFIG_NEUTRON_INSTALL=y CONFIG_NEUTRON_OVN_MODE=n CONFIG_NEUTRON_L3_EXT_BRIDGE=br-ex CONFIG_NEUTRON_METADATA_PW=p@ssw0rd CONFIG_NEUTRON_ML2_TYPE_DRIVERS=vxlan,vlan,flat,local CONFIG_NEUTRON_ML2_TENANT_NETWORK_TYPES=vxlan,vlan,local CONFIG_NEUTRON_ML2_MECHANISM_DRIVERS=openvswitch CONFIG_NEUTRON_L2_AGENT=openvswitch CONFIG_NEUTRON_DVR=n CONFIG_NEUTRON_ENABLE_TUNNELING=y CONFIG_NEUTRON_OVS_TUNNEL_IF=ens192 CONFIG_NEUTRON_OVS_BRIDGE_MAPPINGS=physnet1:br-ex CONFIG_NEUTRON_OVS_BRIDGE_IFACES=br-ex:ens224 CONFIG_NEUTRON_OVS_TUNNEL_TYPE=vxlan CONFIG_NEUTRON_PLUGIN_TYPE=ml2
ಕ
спасибо. еще есть такая же проблема но для nova: чтобы моя роль могла выводить инфу по всем ВМ во всех проектах, как и админская роль, сделал такую запись в policy.json для nova: "os_compute_api:servers:detail:get_all_tenants":"(rule:context_is_admin) or (role:myrole)" то есть просто в конце добавил or (role:myrole) и теперь при запросе от пользователя с myrole openstack server list --project <ID> выводит ВМ для всех проектов вообще, то есть игнорирует фильтр на проект. тот же запрос от аккаунта админа выводит ВМ только в заданном проекте. У кого-то есть идеи почему так работает?
ಕ
добавил но что-то не помогло, все так же выводит для каждого проекта, даже пустого все доступные ВМ. правило такое: "os_compute_api:servers:detail:get_all_tenants":"(rule:context_is_admin) or (role:myrole and project_id:%(project_id)s)" запрос к API: https://openstack,local:8774/v2.1/servers/detail?all_tenants=1&project_id=<ID>"
ಕ
в каком смысле ультимативная?
Raul
всем доброго времени суток, кто сможет подсказать куда "копать" ? при выполннении команды openstack role add --project proj_test --user admin admin --debug пользователь добавляется в проект, при выполнении команды openstack role add --project proj_test --user opnadm admin --debug выводит ошибку GET call to identity for http://192.168.6.74:5000/v3/roles?name=admin used request id req-f10b5fde-b0db-4b79-a99d-b4b70ff6ac08 REQ: curl -g -i -X GET "http://192.168.6.74:5000/v3/users/opnadm?domain_id=None" -H "User-Agent: openstacksdk/4.5.0 keystoneauth1/5.10.0 python-requests/2.32.3 CPython/3.9.21" -H "X-Auth-Token: {SHA256}733b83c9236690a55d07803439df8e792aa4a60c076ce82334f3f8871e72a831" http://192.168.6.74:5000 "GET /v3/users/opnadm HTTP/1.1" 404 84 RESP: [404] Connection: Keep-Alive Content-Length: 84 Content-Type: application/json Date: Mon, 19 May 2025 16:44:54 GMT Keep-Alive: timeout=60, max=96 Server: Apache Vary: X-Auth-Token x-openstack-request-id: req-a6719dae-1ea2-4988-9501-2091c5887171 RESP BODY: {"error":{"code":404,"message":"Could not find user: opnadm.","title":"Not Found"}} при этом команда выводит список пользоватлей ldap openstack user list --domain best --debug --long GET call to identity for http://192.168.6.74:5000/v3/users?domain_id=b049e0811165462192f38789e04b6af2 used request id req-e9e621d5-f499-4fb3-bcbd-1a4400da5cff +------------------------+-------------------+---------+------------------------+-------------+------------------------+---------+ | ID | Name | Project | Domain | Description | Email | Enabled | +------------------------+-------------------+---------+------------------------+-------------+------------------------+---------+ | 8a434193b11fa6d717155d | Administrator | None | b049e0811165462192f387 | None | None | None | | 24700ac439a697ef8bb744 | | | 89e04b6af2 | | | | | 130db2e93f6a8c0fa2c2 | | | | | | | | d9207ff6b0e3a175e77096 | bestadm bestadm | None | b049e0811165462192f387 | None | bestadm@best.testclo | None | | 417579e4c94410970767b2 | | | 89e04b6af2 | | ud | | | e2fa3afeaa1cfb5f2812 | | | | | | | | 9c2887663eb3ecbfb2bdec | opnadm opnadm | None | b049e0811165462192f387 | None | opnadm@best.testcloud | None | | 288eceaaa0f55c6f01a8e6 | | | 89e04b6af2 | | | | | 781ecb0ef84815068a95 | | | | | | | +------------------------+-------------------+---------+------------------------+-------------+------------------------+---------+
Андрей
всем доброго времени суток, кто сможет подсказать куда "копать" ? при выполннении команды openstack role add --project proj_test --user admin admin --debug пользователь добавляется в проект, при выполнении команды openstack role add --project proj_test --user opnadm admin --debug выводит ошибку GET call to identity for http://192.168.6.74:5000/v3/roles?name=admin used request id req-f10b5fde-b0db-4b79-a99d-b4b70ff6ac08 REQ: curl -g -i -X GET "http://192.168.6.74:5000/v3/users/opnadm?domain_id=None" -H "User-Agent: openstacksdk/4.5.0 keystoneauth1/5.10.0 python-requests/2.32.3 CPython/3.9.21" -H "X-Auth-Token: {SHA256}733b83c9236690a55d07803439df8e792aa4a60c076ce82334f3f8871e72a831" http://192.168.6.74:5000 "GET /v3/users/opnadm HTTP/1.1" 404 84 RESP: [404] Connection: Keep-Alive Content-Length: 84 Content-Type: application/json Date: Mon, 19 May 2025 16:44:54 GMT Keep-Alive: timeout=60, max=96 Server: Apache Vary: X-Auth-Token x-openstack-request-id: req-a6719dae-1ea2-4988-9501-2091c5887171 RESP BODY: {"error":{"code":404,"message":"Could not find user: opnadm.","title":"Not Found"}} при этом команда выводит список пользоватлей ldap openstack user list --domain best --debug --long GET call to identity for http://192.168.6.74:5000/v3/users?domain_id=b049e0811165462192f38789e04b6af2 used request id req-e9e621d5-f499-4fb3-bcbd-1a4400da5cff +------------------------+-------------------+---------+------------------------+-------------+------------------------+---------+ | ID | Name | Project | Domain | Description | Email | Enabled | +------------------------+-------------------+---------+------------------------+-------------+------------------------+---------+ | 8a434193b11fa6d717155d | Administrator | None | b049e0811165462192f387 | None | None | None | | 24700ac439a697ef8bb744 | | | 89e04b6af2 | | | | | 130db2e93f6a8c0fa2c2 | | | | | | | | d9207ff6b0e3a175e77096 | bestadm bestadm | None | b049e0811165462192f387 | None | bestadm@best.testclo | None | | 417579e4c94410970767b2 | | | 89e04b6af2 | | ud | | | e2fa3afeaa1cfb5f2812 | | | | | | | | 9c2887663eb3ecbfb2bdec | opnadm opnadm | None | b049e0811165462192f387 | None | opnadm@best.testcloud | None | | 288eceaaa0f55c6f01a8e6 | | | 89e04b6af2 | | | | | 781ecb0ef84815068a95 | | | | | | | +------------------------+-------------------+---------+------------------------+-------------+------------------------+---------+
--user-domain
ಕ
всем привет, есть запрос https://openstack,local:8774/v2.1/servers/<UUID> при админском токене всегда выводит инфу. но если используется токен пользователя и сервер в другом проекте чем родной для пользователя то выводится 404. Что нужно добавить в кастомную роль пользователя чтобы инфа тоже выводилась? пробовал servers:index, servers:detail, :servers:show что-то непомогло
ಕ
Так посмотри в версии твоего стека
не могли бы вы уточнить что смотреть-то?
Vyacheslav
Поиском в файле нужный url
Vyacheslav
Nova rbac называется - сейчас найду верную ссылку
ಕ
Я смотрю так oslopolicy-policy-generator --namespace nova но я не понял какая из этого вывода верная
Vyacheslav
https://docs.openstack.org/nova/latest/configuration/sample-policy.html # Show a server # GET /servers/{server_id} # Intended scope(s): project #"os_compute_api:servers:show": "rule:project_reader_or_admin" # Starting with microversion 2.47, the flavor and its extra specs used # for a server is also returned in the response when showing server # details, updating a server or rebuilding a server. # GET /servers/detail # GET /servers/{server_id} # PUT /servers/{server_id} # POST /servers/{server_id}/action (rebuild) # Intended scope(s): project #"os_compute_api:servers:show:flavor-extra-specs": "rule:project_reader_or_admin"
ಕ
спасибо!
Vyacheslav
От версии к версии оно меняется и если хотите посмотреть еще и порт, то вам в полиси neutron
ಕ
От версии к версии оно меняется и если хотите посмотреть еще и порт, то вам в полиси neutron
Я вижу для show только одно правило "os_compute_api:servers:show": "rule:project_reader_or_admin" Я для этой цели сделал пустое правило, но все равно работает по старому-обычный пользователь не видит сервера из других проектов, зато админ видит. может тут какая-то хитрость есть?
Vyacheslav
И для каждой версии стека эти полиси могут сильно отличаться
Vyacheslav
вам надо не правило, а добавить вашу роль. Вот допустим: # allow user reader to see all tenants VMs for prometheus_sd {% if kolla_openstack_release == 'yoga' %} # https://docs.openstack.org/nova/yoga/configuration/sample-policy.html "os_compute_api:servers:detail:get_all_tenants": "rule:project_admin_api or role:prometheus_sd" "os_compute_api:os-floating-ips:list": "rule:project_reader_api or role:prometheus_sd" {% elif kolla_openstack_release == 'train' %} # https://docs.openstack.org/nova/train/configuration/sample-policy.html "os_compute_api:servers:detail:get_all_tenants": "rule:admin_api or role:prometheus_sd" "os_compute_api:os-floating-ips": "rule:admin_or_owner or role:prometheus_sd" {% elif kolla_openstack_release == '2024.1' %} # https://docs.openstack.org/nova/2024.1/configuration/sample-policy.html "os_compute_api:servers:detail": "rule:project_reader_or_admin or role:prometheus_sd" "os_compute_api:servers:detail:get_all_tenants": "rule:context_is_admin or role:prometheus_sd" "os_compute_api:os-floating-ips:list": "rule:project_reader_or_admin or role:prometheus_sd" {% else %} # https://docs.openstack.org/nova/victoria/configuration/sample-policy.html "os_compute_api:servers:detail:get_all_tenants": "rule:system_reader_api or role:prometheus_sd" "os_compute_api:os-floating-ips:list": "rule:system_or_project_reader or role:prometheus_sd" {% endif %}
ಕ
вам надо не правило, а добавить вашу роль. Вот допустим: # allow user reader to see all tenants VMs for prometheus_sd {% if kolla_openstack_release == 'yoga' %} # https://docs.openstack.org/nova/yoga/configuration/sample-policy.html "os_compute_api:servers:detail:get_all_tenants": "rule:project_admin_api or role:prometheus_sd" "os_compute_api:os-floating-ips:list": "rule:project_reader_api or role:prometheus_sd" {% elif kolla_openstack_release == 'train' %} # https://docs.openstack.org/nova/train/configuration/sample-policy.html "os_compute_api:servers:detail:get_all_tenants": "rule:admin_api or role:prometheus_sd" "os_compute_api:os-floating-ips": "rule:admin_or_owner or role:prometheus_sd" {% elif kolla_openstack_release == '2024.1' %} # https://docs.openstack.org/nova/2024.1/configuration/sample-policy.html "os_compute_api:servers:detail": "rule:project_reader_or_admin or role:prometheus_sd" "os_compute_api:servers:detail:get_all_tenants": "rule:context_is_admin or role:prometheus_sd" "os_compute_api:os-floating-ips:list": "rule:project_reader_or_admin or role:prometheus_sd" {% else %} # https://docs.openstack.org/nova/victoria/configuration/sample-policy.html "os_compute_api:servers:detail:get_all_tenants": "rule:system_reader_api or role:prometheus_sd" "os_compute_api:os-floating-ips:list": "rule:system_or_project_reader or role:prometheus_sd" {% endif %}
мне не лист хостов нуэно а инфу по хосту. то есть URL /v2.1/servers/UUID" свою роль я добавил в правила "os_compute_api:servers:show" "os_compute_api:servers:detail" но не помогло(
Vyacheslav
Что именно вы добавили? Ваш конфиг поменялся без ошибок?
ಕ
Что именно вы добавили? Ваш конфиг поменялся без ошибок?
Добавил "os_compute_api:servers:index": "rule:project_reader_or_admin or role:myrole", "os_compute_api:servers:detail": "rule:project_reader_or_admin or role:myrole", "os_compute_api:servers:show": "rule:project_reader_or_admin or role:myrole", "os_compute_api:os-floating-ips:list": "rule:project_reader_or_admin or role:myrole" насчет без ошибок- я вижу что json в policy.json корректный
Vyacheslav
там когда нова стартует - пишет ошибки если ей не нравится
Vyacheslav
учетка которой вы смотрите имеет myrole?
Vyacheslav
что показывает под учеткой вывод -vvv когда запрашиваете хост из другого проекта
Vyacheslav
вам возможно вообще нужен доступ явно в проект, что бы вызывать инфо по VM в проекте.
ಕ
вам возможно вообще нужен доступ явно в проект, что бы вызывать инфо по VM в проекте.
ошибок нет при старте, я напрямую URL вызываю без утилиты openstack. в проекте где сервер есть мой пользователь с ролью. Этот вызов не работает даже если я ставлю пустое правило "" на эту цель
ಕ
а какой сейчас ответ на запрос?
вот такой { "itemNotFound": { "code": 404, "message": "Instance 111e6e16-fcbe-4373-a2e1-6ed675611111 could not be found." } }
Mikhail
в rule есть project_id:%(project_id)s ?
ಕ
в rule есть project_id:%(project_id)s ?
да, там есть в исходной части project_reader_or_admin а у него внутри "role:reader and project_id:%(project_id)s"
ಕ
в rule есть project_id:%(project_id)s ?
Вот результат вызовов в зависимости от политики и типа пользователя ---------------------------------------------------| USER TYPE / policy | adm | user | ---------------------------------------------------| "os_compute_api:servers:show": "" | 200 | 404 | ---------------------------------------------------| "os_compute_api:servers:show": "!" | 403 | 404 | ---------------------------------------------------|
Raul
--user-domain
спасибо, у меня получается так: нельзя добавить пользователя домена ipa в проект домена default? можно добавить только в проект который связан с доменом ipa? правильно понял логику?
icewolf
ну то есть обычно делается домен, отдельно, и вот туда уже добавляем пользователя, например админа(но это не тот же пользователь что admin в default).
icewolf
спасибо, да, я понял, я думал что пользователей в проекты можно добавлять из разных доменов
это уже задача посложнее и тут надо чет типа такого делать. https://ivarclemens.nl/using-keycloak-with-openstack/
icewolf
вот пример с колой, но немного древний https://blog.gr4ytech.net/posts/Using-Keycloak-With-Openstack/
Андрей
спасибо, у меня получается так: нельзя добавить пользователя домена ipa в проект домена default? можно добавить только в проект который связан с доменом ipa? правильно понял логику?
на сколько понимаю логику, не так если не указан домен пользователя, то пользователь ищется в домене default просто надо указать в каком домене искать пользователя, для этого и есть опция --user-domain
« Rev
@openstack_ru   1644
Fwd »