@pro_ansible - страница 1484

Bogdan (SirEdvin)

через факты?

У меня в фактах нет всех пользователей. Я так понимаю, стандартный сбор фактов не собирает их

Alex

Ну, парсить то его все равно нужно будет, распаковав в список и попутно как-то отфильтровав пользователей, которые не сервисные

ну естественно надо будет парсить

Alex

а в чем проблема распарсить?

George

Здесь пиариться можно ?

Bogdan (SirEdvin)

Ну, как минимум плохое знание логики работы linux с пользователями. По идее, нужно выкинуть тех, чей pid меньше 1000 и тех, у кого нет хомяка. А кого еще?

Bogdan (SirEdvin)

Хотя если у него pid меньше 1000, но есть хомяк - то это повод задуматся

George

Хотя если у него pid меньше 1000, но есть хомяк - то это повод задуматся

Нет

Alex

Здесь пиариться можно ?

только модулями/ролями для ансибла )))

George

Может быть служебный юзер, но вот хомяк завели для какой-то цели

Bogdan (SirEdvin)

Нет

Разве технически себе нельзя сделать pid меньше 1000, что бы чисто быть злобным буратиной, которого не почистят?)

George

только модулями/ролями для ансибла )))

А IaC?

Bogdan (SirEdvin)

Ну, потому и "задуматся", а не хрохать наверняка

George

Разве технически себе нельзя сделать pid меньше 1000, что бы чисто быть злобным буратиной, которого не почистят?)

Можно себе любой пид сделать

Alex

Ну, потому и "задуматся", а не хрохать наверняка

-r, --system Create a system account. System users will be created with no aging information in /etc/shadow, and their numeric identifiers are chosen in the SYS_UID_MIN-SYS_UID_MAX range, defined in /etc/login.defs, instead of UID_MIN-UID_MAX (and their GID counterparts for the creation of groups).

Alex

я бы на это опирался

Bogdan (SirEdvin)

Видите, сколько нюансов :) Потому хотелось бы некий модуль, который бы мне в факты засетил пользователей, которые не системные и не сервисные

George

Это не гарантия ничего

George

Я регулярно сталкиваюсь с ситуацией, что нет стандарта на юзеров так, что одинаковые юзернеймы на разных машинах - попадают в разные uid. Хотя пользовательские как правило начинаются с 999 или 1000

George

Видите, сколько нюансов :) Потому хотелось бы некий модуль, который бы мне в факты засетил пользователей, которые не системные и не сервисные

Системный - у кого вход запрещен типа nologin ?

George

:-)

Alex

Видите, сколько нюансов :) Потому хотелось бы некий модуль, который бы мне в факты засетил пользователей, которые не системные и не сервисные

врядли такой можно сделать, ибо кривыми руками можно создать любого пользователя с любыми uid/gid и ты не отличишь его от системного, имхо

George

Но тоже не гарантия, т.к. тебе может быть нужен рсинк, чтобы ходить между узлами и файлы копировать - по всем смыслам это системный юзер, а по атрибутам - пользовательский

Roman

а разве тимплейты не работают с when?

Roman

всем привет

George

а разве тимплейты не работают с when?

Все модули умеют работать с when, можно более конкретный вопрос ?

Sergey

Немного такой странный вопрос, можно ли получить список пользователей на удаленной машине? Да, я знаю про то, что делать из ansible ldap это очень плохое решение, но пока внедрение только проходить, а почистить кучу хостов надо уже сейчас

Если почистить, то это же "удалить всех, кроме <X>"?

Bogdan (SirEdvin)

Если почистить, то это же "удалить всех, кроме <X>"?

Да

George

Непонятно как определить множество Х

Roman

- name: add config lsyncd in ofvpn node template: src: ~/ansible/templates/lsyncd_ofvpn.j2 dest: /etc/lsyncd.conf when: ansible_facts['ansible_nodename'] == 'ofvpn' fatal: [chvpn]: FAILED! => {"changed": false, "checksum": "d62e268eac40f9a9a77857fb0093cfef95ac07cc", "msg": "Unsupported parameters for (copy) module: when Supported parameters include: _original_basename, attributes, backup, checksum, content, delimiter, dest, directory_mode, follow, force, group, local_follow, mode, owner, regexp, remote_src, selevel, serole, setype, seuser, src, unsafe_writes, validate"}

Alex

- name: add config lsyncd in ofvpn node template: src: ~/ansible/templates/lsyncd_ofvpn.j2 dest: /etc/lsyncd.conf when: ansible_facts['ansible_nodename'] == 'ofvpn' fatal: [chvpn]: FAILED! => {"changed": false, "checksum": "d62e268eac40f9a9a77857fb0093cfef95ac07cc", "msg": "Unsupported parameters for (copy) module: when Supported parameters include: _original_basename, attributes, backup, checksum, content, delimiter, dest, directory_mode, follow, force, group, local_follow, mode, owner, regexp, remote_src, selevel, serole, setype, seuser, src, unsafe_writes, validate"}

when это не параметр template

Aleksandr

в советах opennet поищи про ansible там было что-то на тему юзверов.

George

- name: add config lsyncd in ofvpn node template: src: ~/ansible/templates/lsyncd_ofvpn.j2 dest: /etc/lsyncd.conf when: ansible_facts['ansible_nodename'] == 'ofvpn' fatal: [chvpn]: FAILED! => {"changed": false, "checksum": "d62e268eac40f9a9a77857fb0093cfef95ac07cc", "msg": "Unsupported parameters for (copy) module: when Supported parameters include: _original_basename, attributes, backup, checksum, content, delimiter, dest, directory_mode, follow, force, group, local_follow, mode, owner, regexp, remote_src, selevel, serole, setype, seuser, src, unsafe_writes, validate"}

А теперь расскажи, что ты хочешь сделать

George

when это не параметр template

+

Sergey

Да

...как следствие, X заранее известен?

George

Индент -2 сделай

Roman

если нода называется ofvpn в нее копируется конфиг, если иначе другой конфиг

George

если нода называется ofvpn в нее копируется конфиг, если иначе другой конфиг

У тебя есть hosts в плей

George

Не вижу ценности использовать when:

Alex

если нода называется ofvpn в нее копируется конфиг, если иначе другой конфиг

- name: add config lsyncd in ofvpn node template: src: ~/ansible/templates/lsyncd_ofvpn.j2 dest: /etc/lsyncd.conf when: ansible_facts['ansible_nodename'] == 'ofvpn'

Bogdan (SirEdvin)

...как следствие, X заранее известен?

Учитывая, что есть всякие системы пользователи, тут есть неприятные нюансы :( То есть похоже в итоге просто предется просмотреть всех пользователей и поудалять лишнее :(

Bogdan (SirEdvin)

А так есть только набор пользователей, которые обязаны быть, но без учета системных

Sergey

Учитывая, что есть всякие системы пользователи, тут есть неприятные нюансы :( То есть похоже в итоге просто предется просмотреть всех пользователей и поудалять лишнее :(

Хитрее можно же. Ты же хочешь отрубить возможность логиниться через sshd?

Roman

Не вижу ценности использовать when:

я прост оне знаю как можно используя один плейбук разносить конфиги в зависимости от хоста

Alex

Учитывая, что есть всякие системы пользователи, тут есть неприятные нюансы :( То есть похоже в итоге просто предется просмотреть всех пользователей и поудалять лишнее :(

и как минимум принять правило, что всех пользователей/группы создаем в диапазоне xxx-yyy, а системных www-zzz

Sergey

Хитрее можно же. Ты же хочешь отрубить возможность логиниться через sshd?

В общем, вот такую штуку пили с помощью Ансибла: создать новую группу, добавить в неё _точно разрешённых_ пользователей, остальных прямо в PAM обломать. https://serverfault.com/questions/222637/sshd-how-to-enable-pam-authentication-for-specific-users-under

Bogdan (SirEdvin)

Хитрее можно же. Ты же хочешь отрубить возможность логиниться через sshd?

Это довольно сложный вопрос, потому что у нас есть (как и многих других) облачные терминалы и там вроде не ssh, а просто direct логин

Sergey

Это довольно сложный вопрос, потому что у нас есть (как и многих других) облачные терминалы и там вроде не ssh, а просто direct логин

Я вот точно знаю, что этот концепт ты уже дотащишь 😊 Ну или модуль напиши под свои условия.

George

я прост оне знаю как можно используя один плейбук разносить конфиги в зависимости от хоста

сделай разные плеи в зависимости от хостнейма

George

делов-то

George

Это довольно сложный вопрос, потому что у нас есть (как и многих других) облачные терминалы и там вроде не ssh, а просто direct логин

и что ?

Roman

сделай разные плеи в зависимости от хостнейма

так то да, я бы хотел один плейбук

Bogdan (SirEdvin)

Ну, через pam то можно все сделать, да

George

ты при наличии дайрект терминала можешь все сломать

George

так то да, я бы хотел один плейбук

это БУДЕТ один плейбук из нескольких плеев - проблема ?

Bogdan (SirEdvin)

В целом спасибо, попробую :)

Timur

если нода называется ofvpn в нее копируется конфиг, если иначе другой конфиг

В темплейте просто сделай ссылку на переменную, которая принимает разные значения для разных хостов

Timur

А саму переменную задавай через hostvars или groupvars

Timur

И никаких when не нужно

Roman

А саму переменную задавай через hostvars или groupvars

приемлемо спасибо!

Alex

В темплейте просто сделай ссылку на переменную, которая принимает разные значения для разных хостов

не совсем понял, а можно какой то пример. У меня например на master/slave ноды идут абсолютно разные темплейты

Timur

не совсем понял, а можно какой то пример. У меня например на master/slave ноды идут абсолютно разные темплейты

Темплейты в отдельных файлах или как?

Timur

Если просто набор текста, то ничто не мешает загнать его в одну переменную

Отделение Bereke Bank

не совсем понял, а можно какой то пример. У меня например на master/slave ноды идут абсолютно разные темплейты

делаешь 2 темплейта в роли для мастера и слейва , название которых коррелируют с какой-нибудь переменной, определяющей является хост мастером или слейвом - name: blah blah template: src: mytemplate-{{ variable }}.j2 dest: /asd/qwe/

Timur

Или можно лукапом разные файлы брать просто в зависимости от переменной

Timur

делаешь 2 темплейта в роли для мастера и слейва , название которых коррелируют с какой-нибудь переменной, определяющей является хост мастером или слейвом - name: blah blah template: src: mytemplate-{{ variable }}.j2 dest: /asd/qwe/

Да, вот так например

Alex

Темплейты в отдельных файлах или как?

да, в отдельных

Alex

делаешь 2 темплейта в роли для мастера и слейва , название которых коррелируют с какой-нибудь переменной, определяющей является хост мастером или слейвом - name: blah blah template: src: mytemplate-{{ variable }}.j2 dest: /asd/qwe/

понял, спасибо