Всем привет. Если кому интересно, запилил две статьи по Ansible: 1. https://max-ko.ru/54-dobavlenie-polzovatelja-i-publickey-na-udalennye-servera-s-pomoschju-ansible.html 2. https://max-ko.ru/55-redaktirovanie-konfig-fajlov-s-pomoschju-ansible-na-primere-sshd_config.html Приму критику

такая форма записи неудобная - lineinfile: dest=/etc/ssh/sshd_config regexp='^KexAlgorithms' line='KexAlgorithms лучше так - name: bla bla bla lineinfile: dest: /etc/ssh/sshd_config regexp: '^KexAlgorithms' line: 'KexAlgorithms Так же стоит посмотреть в сторону validate

Подскажите пожалуйста как можно реализовать wait_for для проверки появления DNS TXT-записи? Сейчас сделал костыль через sleep: minutes=15 , но хочется чего-то более изящного

Господа, реально-ли сделать такое? Или я желаю странного?

##note: ansible has a dnstxt module, that works with lookup, like lookup('dnstxt', 'domain') # but there is a bug/feature that the record is cached and the cache is never updated # https://github.com/ansible/ansible/issues/44128 - name: Check that TXT record is available when: not ansible_check_mode become: false delegate_to: localhost command: "dig {{ __ssl_regru_dns_subdomain_full }} TXT +short @{{ ssl_regru_dns_server }}" # yamllint disable-line register: __ssl_regru_dns_check_txt_record until: (__ssl_regru_dns_check_txt_record.stdout | replace('\"', '')) == __ssl_regru_dns_challenge_content # yamllint disable-line retries: "{{ ssl_regru_dns_retries }}" delay: "{{ ssl_regru_dns_delay }}" changed_when: false run_once: true

Всем привет. Если кому интересно, запилил две статьи по Ansible: 1. https://max-ko.ru/54-dobavlenie-polzovatelja-i-publickey-na-udalennye-servera-s-pomoschju-ansible.html 2. https://max-ko.ru/55-redaktirovanie-konfig-fajlov-s-pomoschju-ansible-na-primere-sshd_config.html Приму критику

Lineinfile для конфигов - путь к боли и унижению.

👋 Какие варианты лучше?

template

Ссылку можно на пример?

Пример чего?

Можно: https://github.com/roots/trellis/blob/master/roles/sshd/templates/sshd_config.j2

Я не думаю, что тебе принципиально смотреть именно этот вариант - он рандомно в гугле найден. Я вообще имел в виду, что сам принцип отказа от ответственности за полное содержание конфига плох.

за полное содержание конфига

template

Перефразирую. Что подразумевается под ответственностью за полное содержание конфига?

а если нету возможности тащить с нуля темплейт, а надо "вклиниваться" в уже существующее? это попытка "до@#$ся" если что

просто были ситуации когда надо было вносить правки в уже боевой файл.. и приходилось его бэкапить

просто были ситуации когда надо было вносить правки в уже боевой файл.. и приходилось его бэкапить

Модуль темплейта умеет бэкапить

Конфиг полностью создаётся с нуля, и может быть записан в рабочем виде при отсутствии предыдущего файла на целевом хосте.

А в чем смысл создавать конфиг с нуля, если достаточно изменить некоторые строки?

А в чем смысл создавать конфиг с нуля, если достаточно изменить некоторые строки?

Интересно, есть ли из актуальных дистрибутивов Linux отсутствие файла sshd_config?

Понятия не имею. Ты задал вопрос в общем виде ("зачем?...") - я тебе в общем виде ответил ("затем, что..."). Конкретный файл, если уж ты его модифицируешь, тоже стоит закатать в темплейт.

Речь была изначально о моей статье. Какая связь моей статьи с файлом sshd и ответственностью?

Твоя статья демонстрирует bad practices в управлении файлом конфигурации.

файл конфигурации вообще тема отдельного разговора, например у тебя у каждой роли свой vault, как прописывать его?если уже получается 80+ файлов

Если не читать доку - то да, проблема, но вообще-то это не так делается - не нужно шифровать файлы целиком. Шифруешь отдельный секрет, и кладёшь его в обычный YaML.

хорошо ты прописал секрет, далее ты делаешь на него ссылку, и получаешь The vault password file /erzent/.deepsocial_vault

Не понял, а причём тут роль-то?

Это - _файл _с_ паролем_, а не _запароленный_файл_.

Твоя статья демонстрирует bad practices в управлении файлом конфигурации.

Критика это хорошо, но то, что нет примера - best practice - плохо

нормально ли в одну роль включать таск из другой? и как лучше это сделать, если очень надо?

нормально ли в одну роль включать таск из другой? и как лучше это сделать, если очень надо?

Зависит от конкретного случая, конечно, но сам смысл ролей эта штука напрочь ломает.

подскажите, а в ансибле можно как то производить проверку того, что apt "живой", чтобы избежать ошибок вида E: can not open /var/lib/apt/lists/archive.ubuntu.com_ubuntu_dists_bionic_InRelease - fopen (2: No such file or directory) E: The repository 'http://archive.ubuntu.com/ubuntu bionic InRelease' provides only weak security information. N: Updating from such a repository can't be done securely, and is therefore disabled by default. N: See apt-secure(8) manpage for repository creation and user configuration details. под живой я имею ввиду, что все конфиги есть и они валидные

Если не читать доку - то да, проблема, но вообще-то это не так делается - не нужно шифровать файлы целиком. Шифруешь отдельный секрет, и кладёшь его в обычный YaML.

А как в этом случае удобно смотреть-править секреты? Если файл с секретами целиком шифрован - то ansible-vault edit и понеслась. А когда пароли как изюм по булке в обычном ямле - как?

Встречный вопрос: зачем _смотреть_ креды? Забыл - сменил. Ну и если сильно хочется - модуль debug есть

Молитвенник Запускаем Ansible, Орыли, имеет кто?

Молитвенник Запускаем Ansible, Орыли, имеет кто?

https://t.me/pro_ansible/119522