Думал, им уж и не пользуется никто)

Клиент просит и ногой топает

Коллеги, всем доброе утро! Хочу запилить пограничный сервер в виде Керио, для корректной работы грести в сторону allowed addresses pairs?

Все легко сделал, 2 инта на керио. Отключил port security ( Спасибо @ddpechkin ) и полетели.

Думал, им уж и не пользуется никто)

Клиент просит и ногой топает

Скажи ему, что ты сделал NFV. И это дико модно. Пусть порадуется)

ничего через пип не тащил стороннего?

Нихуя себе, пятница ночь, самое время прод обновить? =)

Норм, обновились.. )))

Налей пивка себе или чо покрепче)

Моя не пьёт ) разве что сок томатный

СПС ) впереди теперь Квинс 😂

До него обновлять будешь?

Боюсь не скоро. Ещё 3 площадки до Ньютона

А есть какие-нибудь проекты реализующие альтернативный role-based access для опенстека? Мы уже думаем что-то такое сами начать делать, но нашими мощностями в 3 человека врядли потянем

)

это была грустная улыбка)

пишут что сделан для TripleO-based

Всем привет! Сделал кастомного юзера для удаления вмок, но не могу им детачить вольюмы. Хотя удаляет нормально. nova volume-detach выдает ERROR (Forbidden): Access was denied to this resource. (HTTP 403) DELETE реквест с виду правильный, все айдишники в нем верны. Разрешил в полисях новы всё volume deatach delete discovery. Ничего не меняется. Может кто-нибудь знает в каком направлении копать?

Нова работает с полиси корректно. Есть проблемы у синдера, но запрос на детач - запрос в нова-апи, хз каким образом там нова с синдером синхронизируется в этом случае. Учитываются ли полиси синдера при этом или нет - я не в курсе.

переписать почти весь код

ну окей. не переписать весь код, а написать новую систему рядом :D

owner может детачить и так, зачем отдельная роль?

у нас есть бот, который ходит и удаляет виртуалки, которые он по статусу выгребает из отдельной базы. Понятно что сам факт существования такой базы - это уже указывает на не очень облачный подход. Но суть в том, что теперь этого юзера нужно еще и вольюмы научить удалять, а он без детача не могет =)

возможно проще будет научить его делать ресет стэйт после того как виртуалка умрет

дык надо ж детачить =)

а зачем у вас так сложно? может типа тенант под задачу - а потом пурдж на тенант от админа? =)

а зачем у вас так сложно? может типа тенант под задачу - а потом пурдж на тенант от админа? =)

поэтому мы и разбираемся, почему nova volume-detach не фурычит

А тут надо версию стека спросить, а то помнится местами он тупо сносит тенант а все ниже оставляет

На Рут диске он не фурычит в принципе

Ну чего уж так категорично... Как нам говорит дока по синтаксу: https://docs.openstack.org/ocata/config-reference/policy-json-file.html там есть така штука: Special checks are: <role>:<role name>, a test whether the API credentials contain this role. <rule>:<rule name>, the definition of an alias. http:<target URL>, which delegates the check to a remote server. The API is authorized when the server returns True. откуда следует мораль - можно написать сторонний сервис который будет проверять RBAC. Была даже мысль такое замутить, впрочем мысль еще пока не умерла =) Так что если есть желающие замутить такую фигню - можем обсудить =)

я бы поучавствовал =)

cinder policy.json: volume_extension:volume_admin_actions:force_delete": "rule:admin_api" - можно попробовать сюда добавить роль purger и просто удалять диск in-use с force

я бы поучавствовал =)

думаю пойдет

супер! давайте замутим. тут митап будет в Москве 30го ноября можем пособирать заинтересованных товарищей и там устроить обсуждение, а можем исключительно в виртуальном пространстве

У нас?