в целом

Ок, вчера у меня желаемое состояние такое: указанный список пользователей должен быть убит на хостах, а их хомедиры перемещены в /home/.old, с индивидуальными суффиксами, чтобы несколько подряд одинаковых имён не перепутались. я это сделал, но в плейбуке куча баша. И у меня нет идей как это описать декларативно.

Не то, чтобы прям сложно. Кастом модуль всё решит.

никогда не знаешь когда кончится интернет

# group_vars/group1 sudo_config: - command: 'ls' user: bla target: root

Не то, чтобы прям сложно. Кастом модуль всё решит.

Т..е. правильный путь - не расписывать это в тасках, а рисовать модуль, который дёргать из таска?

# group_vars/group1 sudo_config: - command: 'ls' user: bla target: root

реально он так и описано. но я не знаю сколько будет групп. и они будут добавляться и ужадять. а вот юзер всегда один

Ну, и да, и нет

Да - любая сложная логика должна быть в модуль, который гарантирует идемпотентность

Нет - в твоём случае можно наГОвнякать плейбук

Ибо поддерживать модуль сложнее

Хм, кто-то меня сегодня с утра уверял, что ансибль это не декларативно :)

Не надо слушать всех подряд

реально он так и описано. но я не знаю сколько будет групп. и они будут добавляться и ужадять. а вот юзер всегда один

юзеру ты добаляешь команды в зависимости от группы. ты хочешь, чтобы для него список команд был суммой всех групп пользователя. правильно ?

юзеру ты добаляешь команды в зависимости от группы. ты хочешь, чтобы для него список команд был суммой всех групп пользователя. правильно ?

да

можно просто создать для него /etc/sudoers.d/$user и делать lineinfile

(блин, даже не верится, что я рекомендую lineinfile)

т.е. если отсутствует строка, она добавляется модулем lineinfile

мне надо hash_*, я не знаю, сколько их будет

Я так и не понял вашего юзкейса

можно просто создать для него /etc/sudoers.d/$user и делать lineinfile

я и так файл создаю. но мне же нужно в этом lineinfile переменные все собрать

Я так и не понял вашего юзкейса

как я понял: есть группы. он по группам опр. юзеру дает выполнять команды.

я и так файл создаю. но мне же нужно в этом lineinfile переменные все собрать

нет

ты делай append

понял ?

sorry. вынужден убежать

мы еще встретимся...

ты делай append

таска-то одна и выполняется один раз. к чему будет append?

Ок, вчера у меня желаемое состояние такое: указанный список пользователей должен быть убит на хостах, а их хомедиры перемещены в /home/.old, с индивидуальными суффиксами, чтобы несколько подряд одинаковых имён не перепутались. я это сделал, но в плейбуке куча баша. И у меня нет идей как это описать декларативно.

Ты описываешь не конкретное желаемое состояние, а процедуру его получения

Тут вообще решение другое

таска-то одна и выполняется один раз. к чему будет append?

для группы А, потом для группы Б

все через жопу перевернули

Ты описываешь не конкретное желаемое состояние, а процедуру его получения

Да, частично. Оттого, что я не вижу, как это целиком описать декларативно. Допустим, я чисто декларативно пишу user: name: "{{item}}" state: absent Но первая же проблема - если в памяти висят процессы пользователя, его удалить не удаётся. У меня мысль - сначала убить процессы. Модуля для этого не нашёл. В какую сторону мне нужно подумать дальше?

Да, частично. Оттого, что я не вижу, как это целиком описать декларативно. Допустим, я чисто декларативно пишу user: name: "{{item}}" state: absent Но первая же проблема - если в памяти висят процессы пользователя, его удалить не удаётся. У меня мысль - сначала убить процессы. Модуля для этого не нашёл. В какую сторону мне нужно подумать дальше?

Модуль, Карл, понимаешь? Модуль!

Да, частично. Оттого, что я не вижу, как это целиком описать декларативно. Допустим, я чисто декларативно пишу user: name: "{{item}}" state: absent Но первая же проблема - если в памяти висят процессы пользователя, его удалить не удаётся. У меня мысль - сначала убить процессы. Модуля для этого не нашёл. В какую сторону мне нужно подумать дальше?

force

Модуль, Карл, понимаешь? Модуль!

Да не нужен тут модуль

force

Чем форс поможет для убиения процессов?

Модуль, Карл, понимаешь? Модуль!

Это решение осознал, спасибо. Буду разбираться. но наверняка есть еще пути :)

Да не нужен тут модуль

Внезапно - я соглашусь с Тимуром

Если запускать удаление пользователя от рута - процессы не должны помешать

force

force - пойти /etc/{passwd,shadow, groups} отредактировать?

Если запускать удаление пользователя от рута - процессы не должны помешать

Я так понимаю, что коллега хочет убить процессы пользователя при любом раскладе

Если запускать удаление пользователя от рута - процессы не должны помешать

Мешают...

по крайней мере, userdel'у, и ансиблю, чем он там пользуется.

Мешают...

Значит, не от рута запускаете

Значит, не от рута запускаете

https://pastebin.com/wyUkX4Sv я делаю become. Это тот же рут.

https://pastebin.com/wyUkX4Sv я делаю become. Это тот же рут.

Ну так-то бекамится можно не в рута, но по умолчанию в него

Я так понимаю, что коллега хочет убить процессы пользователя при любом раскладе

В модуле Ansible используется userdel. Эта команда не убивает процессы, если что.

Ну так-то бекамится можно не в рута, но по умолчанию в него

Это да. Но в данном случае, это получается рут.

А вот "pkill -u username" убивает.

А вот "pkill -u username" убивает.

Процесс убивает, а не пользователя.

Значит, не от рута запускаете

[root@centos7 ~]# useradd testusr [root@centos7 ~]# su - testusr [testusr@centos7 ~]$ nohup sleep 3h & [1] 24013 [testusr@centos7 ~]$ nohup: ignoring input and appending output to ‘nohup.out’ [testusr@centos7 ~]$ logout [root@centos7 ~]# ps axu |grep testusr testusr 24013 0.0 0.0 107952 356 pts/0 S 15:35 0:00 sleep 3h root 24016 0.0 0.0 112708 976 pts/0 S+ 15:35 0:00 grep --color=auto testusr [root@centos7 ~]# userdel testusr userdel: user testusr is currently used by process 24013

Процесс убивает, а не пользователя.

Я про это и написал так-то.

Ага, но проблема в том, что декларативно ансибль не убивает пользователя в таком состоянии

$ ansible all -i 10.1.4.24, -b -m user -a "name=testusr state=absent" 10.1.4.24 | FAILED! => { "changed": false, "msg": "userdel: user testusr is currently used by process 24013\n", "name": "testusr", "rc": 8 }

Ага, но проблема в том, что декларативно ансибль не убивает пользователя в таком состоянии

Команда.

Не Ансибл.

Не Ансибл.

Согласен.

Придумал костыль. Написать системдишный скрипт, который будет логаутить и не давать законнектится пользователю. Дергать в анзибле системд

для группы А, потом для группы Б

Один юзер, одна таска, один хост, три группы. Почему lineinfile три раза выполнится?

если использовать роль судо в каждой группе в отдельном плее.

Придумал костыль. Написать системдишный скрипт, который будет логаутить и не давать законнектится пользователю. Дергать в анзибле системд

Если костыль про процессы, то не поможет. Логаут пользователя не гарантия, что от него процессов не осталось.

Если костыль про процессы, то не поможет. Логаут пользователя не гарантия, что от него процессов не осталось.

Ну убивать процессы, какая разница

смысл в том что весь шелл там.

Ну убивать процессы, какая разница

ребут поможет железнобетонно :)

ребут поможет железнобетонно :)

семь бед один резет

т.е. делать для этого процедурный скрипт, загружать на удалённые хосты и там исполнять? но shell делает всё тоже самое, как я понимаю.

В модуле Ansible используется userdel. Эта команда не убивает процессы, если что.

Зато директории и все пути грохает, даже если юзер залогинен

если использовать роль судо в каждой группе в отдельном плее.

Мне кажется вы пытаетеь решить проблему неподходящими средствами. Анзибл слабо расчитан на диаграмму виенна где каждый круг это группа со своими настройками и по этим гругам разбросаны хосты. Но это не точно.

Зато директории и все пути грохает, даже если юзер залогинен

Да, факт. Скорее всего, это тема для PR.

если использовать роль судо в каждой группе в отдельном плее.

Ну вот простой плей по разливке только sudo

т.е. делать для этого процедурный скрипт, загружать на удалённые хосты и там исполнять? но shell делает всё тоже самое, как я понимаю.

зато не будет линтер ругаться

Зато директории и все пути грохает, даже если юзер залогинен

Если залогинен, значит висят процессы. Значит, не может грохнуть пользователя. Значит, пути останутся целы. По крайней мере, в RHEL так.

Мне кажется вы пытаетеь решить проблему неподходящими средствами. Анзибл слабо расчитан на диаграмму виенна где каждый круг это группа со своими настройками и по этим гругам разбросаны хосты. Но это не точно.

да, прав. но это струмент, которым он пользуется. P.S. перестань дойчефицирен анзибль :) это английское слово.

Ну вот простой плей по разливке только sudo

кто его вызывает ?

я бы ожидал, что роль будет вызывать пользовательская роль.

Я. Другой админ

или плейбук после накладывания другой роли.

я бы ожидал, что роль будет вызывать пользовательская роль.

Пользователь один. Его создали и все

(или до)

Пользователь один. Его создали и все

процесс таков: - роль/группа знает что ей надо дать - ее надо применить. лучше, чтобы был плейбук, в котором применялась sudo роль, до целевой роли. т.е. "пользователь" процесса - роль/роли, которые вешаются на группу

иначе придется "собирать", логика сбора будет неуклюжей, неудобно поддерживать, некрасивой.

процесс таков: - роль/группа знает что ей надо дать - ее надо применить. лучше, чтобы был плейбук, в котором применялась sudo роль, до целевой роли. т.е. "пользователь" процесса - роль/роли, которые вешаются на группу

Нечем мне это дернуть из другой группы. Потому и спрашивал "как собрать"