Т.е. что-то типа отдельного ранера с доступом ко всем публичным ключам в hashicorp vault для проверки срока и алертинга? Это как-то громоздко и не очень будет надёжно для такого важного дела

ну если речь про сертификаты полученные из центра сертификаци, то можно просто мониторить из их апи дергая инфу. или получая инфу из whois , например.. если самоподписные, например, то думаю, процедура немного иная, автоматизироавнно, просто их обовлять через некоторый промежуток времени и мониторить уже этот сервис, а волт опять же просто для храненния. Ну или да, как вариант волта данные, ихи анализировать, и мониторить на основании этого. живой ли сертифификат

Нет. Речь про любой сертификат внешнего уц, сложенного в секрет

ну если речь про сертификаты полученные из центра сертификаци, то можно просто мониторить из их апи дергая инфу. или получая инфу из whois , например.. если самоподписные, например, то думаю, процедура немного иная, автоматизироавнно, просто их обовлять через некоторый промежуток времени и мониторить уже этот сервис, а волт опять же просто для храненния. Ну или да, как вариант волта данные, ихи анализировать, и мониторить на основании этого. живой ли сертифификат

Вот например, я получил сертификат клиентский от внешнего уц. Мне надо его: - безопасно и прозрачно хранить - распространять в приложения его использующие - следить за его сроком и получать уведомления

Вот например, я получил сертификат клиентский от внешнего уц. Мне надо его: - безопасно и прозрачно хранить - распространять в приложения его использующие - следить за его сроком и получать уведомления

ну , полагаю, это должны делать три разных сервиса)

может и есть что-то все в одном из коробки, надо гуглить)

Ну по мне всё таки два и из коробки. Такое проверять сложно, а ошибка будет довольно фатальна

Может что-то уже модней и круче hashicorp vault есть?

Может что-то уже модней и круче hashicorp vault есть?

Ansible vault)

Вот например, я получил сертификат клиентский от внешнего уц. Мне надо его: - безопасно и прозрачно хранить - распространять в приложения его использующие - следить за его сроком и получать уведомления

Сертификат + "безопасно хранить" = нонсенс. Твой веб-сервер его в интернет отдаёт, если что.

Безопасно хранить нужно ключ - это да, факт. Но при перевыпуске тебе ключ не требуется, если CSR не потрачен.

Безопасно хранить нужно ключ - это да, факт. Но при перевыпуске тебе ключ не требуется, если CSR не потрачен.

Безопасно - это имеется в виду проверенные механизмы доступа к ним. Клиенские сертификаты для авторизации внутри приватных сетей не особо то и нонсенс так хранить. Ну и отчётность доступа к ним тоже хочется иметь. Да, я понимаю, что дохрена хочу

Просто hashicorp в целом подходит для этого. Но не умеет проверять то, что хранит 😔

Ребят, а как за сертификатами следите? Есть куча разных сертификатов, начиная от x509, заканчивая от сторонних уц типа thawte или уц партнёров. Клиентские, серверные, подписные, в общем разные секреты. Хотелось бы как-то их централизовано хранить, доставлять до приложений, проверять срок истечения и алертить за х дней. Hashicorp vault случайно не подойдёт для подобного? Больше всего хотелось бы следить за истечением

А при чем тут ансибл?

А при чем тут ансибл?

Ну я его рассматриваю как инструмент для распространения. Безусловно, это тема не совсем этого чата. Буду рад информации, где ещё стоит спросить

Просто hashicorp в целом подходит для этого. Но не умеет проверять то, что хранит 😔

Берешь и мониторишь. В чем вопрос вообще?

Просто hashicorp в целом подходит для этого. Но не умеет проверять то, что хранит 😔

хранение одной тулзой (ansible vault или hashicorp vault), мониторинг жизни сертов другой тулзой. Например подойдёт blackbox exporter для прометея, опрашивает ресурсы по https и умеет получать инфу о дате истечения серта.

заноси инфу в гугл. календарь как это делают центры сертификации которые присылают файлик для добавления в календарь. Будут у тебя уведомление

Всем доброго дня! Коллеги, есть задача. В роли есть несколько тасков. В результате одного из тасков я получаю строку. Можно эту строку поместить в переменную и использовать в следующих тасках? Подскажите куда копать, пожалуйста

В сторону register

set_fact

Всем доброго дня! Коллеги, есть задача. В роли есть несколько тасков. В результате одного из тасков я получаю строку. Можно эту строку поместить в переменную и использовать в следующих тасках? Подскажите куда копать, пожалуйста

Главное помнить, что в случае с register/set_fact переменная останется жить в рантайме

Главное помнить, что в случае с register/set_fact переменная останется жить в рантайме

Благодарю! То, что останется в рантайме - не страшно.

Благодарю! То, что останется в рантайме - не страшно.

Ой вэй:)

всем привет, гайз, а есть нормальный способ запроцессить роль для чайлдов хост группы, причем по 1ому хосту из каждой конкретной чаилд группы?

к примеру, есть верхняя группа родителя и надо сделать ряд действий в роли с 1им хостом каждой чайлд группы этого родителя

Люди добрые не подскажите можно ли loop until retry на fail вывести не в fatal а в другой step. Типа: стартони сервис, пока не получишь статус что он запущен 5 раз с интервалом 5 сек. На фейле зарегай переменную и иди дальше

к примеру, есть верхняя группа родителя и надо сделать ряд действий в роли с 1им хостом каждой чайлд группы этого родителя

Пока не понял, надо подробнее или порисовать, но кажется вопрос в подходе

Люди добрые не подскажите можно ли loop until retry на fail вывести не в fatal а в другой step. Типа: стартони сервис, пока не получишь статус что он запущен 5 раз с интервалом 5 сек. На фейле зарегай переменную и иди дальше

Попробуйте в сторону failed_when: false register:....

О точно

Спс

Failed false

Люди добрые не подскажите можно ли loop until retry на fail вывести не в fatal а в другой step. Типа: стартони сервис, пока не получишь статус что он запущен 5 раз с интервалом 5 сек. На фейле зарегай переменную и иди дальше

Главное не использовать ignore_errors ;)

Да просто подпираю дурной софт костылями

Там на exit code полагаться нельзя

Приходится все в stdout редиректить и регексом валидировать выхлоп

Пока не понял, надо подробнее или порисовать, но кажется вопрос в подходе

парент группы нестатична, может меняться наполнением чилдов, в зависимости от энва. Хочу запроцессить определенную логику с 1им! хостом из каждой чаилд группы (на вход имею только парента)

Имена групп на старте не известны? Кажется, что это не best practices, но можно в hosts плейбука указывать переменную {{ }},которую наполнять в group_vars/host_vars. А вот достать группы групп, я не помню, что возможно.

Имена групп на старте не известны? Кажется, что это не best practices, но можно в hosts плейбука указывать переменную {{ }},которую наполнять в group_vars/host_vars. А вот достать группы групп, я не помню, что возможно.

на старте прогона все известно, но наполнение парента может отличаться в зависимости от типа энва. Вообще вчера ночью нашел вот такое https://stackoverflow.com/questions/39655419/how-can-i-get-a-list-of-child-groups-in-ansible, скорее всего в ту сторону буду смотреть/пробовать, было б круто, если бы из коробки мы могли задавать логику, хотя она довольно кастомная/кривая.

Добрый день. Подскажите, пожалуйста: в jinja2 чтобы получить из bool значение true или false как обычная строка нужно ли явно приводить bool в |string ? пример: Переменная synchronous_mode: false в шаблоне: {{ synchronous_mode |string |d(false, true) |lower }}

Привет всем. Не могу понять почему у меня не срабатывает --limit мне нужно выполнить плейбук на определенной группе. Чтобы группа хостов указывалась из консоли

всем привет, гайз, а есть нормальный способ запроцессить роль для чайлдов хост группы, причем по 1ому хосту из каждой конкретной чаилд группы?

#странное

на старте прогона все известно, но наполнение парента может отличаться в зависимости от типа энва. Вообще вчера ночью нашел вот такое https://stackoverflow.com/questions/39655419/how-can-i-get-a-list-of-child-groups-in-ansible, скорее всего в ту сторону буду смотреть/пробовать, было б круто, если бы из коробки мы могли задавать логику, хотя она довольно кастомная/кривая.

Обычно от типа env'a собирают разные inventory)) Попробуйте, но явно #странное (или как тут обычно помечают)

Привет всем. Не могу понять почему у меня не срабатывает --limit мне нужно выполнить плейбук на определенной группе. Чтобы группа хостов указывалась из консоли

может кривой inventory

парент группы нестатична, может меняться наполнением чилдов, в зависимости от энва. Хочу запроцессить определенную логику с 1им! хостом из каждой чаилд группы (на вход имею только парента)

Порядок хостов в группе не фиксирован

на старте прогона все известно, но наполнение парента может отличаться в зависимости от типа энва. Вообще вчера ночью нашел вот такое https://stackoverflow.com/questions/39655419/how-can-i-get-a-list-of-child-groups-in-ansible, скорее всего в ту сторону буду смотреть/пробовать, было б круто, если бы из коробки мы могли задавать логику, хотя она довольно кастомная/кривая.

Вы неправильно работает с группами, судя по описанию. Можете изложить начальную задачу?

да, возможно, группировка могла быть лучше. Есть парент, в нем чайлды, которые представляют абстрактные регионы (хотя у нас другой контекст) пример: child_region_1 (и в нем тоже ряд хостов). Так вот согласно ап логике, достаточно запроцессить ансибловую логику для 1ого! хоста из каждой чилдовой группы (на вход имеется только парентовая), чилдовые группы child_region_* могут иметь разное кол-во. Задача: запроцесить для 1ого хоста из каждой чайлд групп.

да, возможно, группировка могла быть лучше. Есть парент, в нем чайлды, которые представляют абстрактные регионы (хотя у нас другой контекст) пример: child_region_1 (и в нем тоже ряд хостов). Так вот согласно ап логике, достаточно запроцессить ансибловую логику для 1ого! хоста из каждой чилдовой группы (на вход имеется только парентовая), чилдовые группы child_region_* могут иметь разное кол-во. Задача: запроцесить для 1ого хоста из каждой чайлд групп.

Хост должен быть одним и тем же или случайным?

Т.е. что-то типа отдельного ранера с доступом ко всем публичным ключам в hashicorp vault для проверки срока и алертинга? Это как-то громоздко и не очень будет надёжно для такого важного дела

такое писал, ничего особо сложного. Первая часть ходит в волт и смотрит даты, если что - обновляет вторая часть по меткам первой обновляет серты на серверах у меня это было для nginx + lets encrypted

Хост должен быть одним и тем же или случайным?

допустимо, что случайный, хотя интересно бы рассмотреть кейс, чтобы брать всегда один и тотже.

допустимо, что случайный, хотя интересно бы рассмотреть кейс, чтобы брать всегда один и тотже.

Если нужен один и тот же, тогда выборка из группы точно плохой вариант

Порядок хостов в группе не фиксирован

такое писал, ничего особо сложного. Первая часть ходит в волт и смотрит даты, если что - обновляет вторая часть по меткам первой обновляет серты на серверах у меня это было для nginx + lets encrypted

нет проблем подобное написать, но это не так надёжно как хотелось бы (чтобы забыть и просто использовать). в идеале я хочу уже проверенное временем решение из коробки

=))) это решение "из коробки" тоже кто-то написал. почему вы уверены что оно будет лучше?

=))) это решение "из коробки" тоже кто-то написал. почему вы уверены что оно будет лучше?

потому что оно будет проверено временем и сообществом, а не одним мной

выложите свой вариант в общий доступ, вам точно так же накидают замечаний/предложений. есть большие шансы что даже пользоваться будут и потестят

но это офтопик

я как-бы хочу свои задачи решать, а не начать заниматься разработкой таких решений

Всем доброго дня! Коллеги, есть задача. В роли есть несколько тасков. В результате одного из тасков я получаю строку. Можно эту строку поместить в переменную и использовать в следующих тасках? Подскажите куда копать, пожалуйста

Вернусь к своему вопросу. Сейчас через register я получаю результат запроса в postgresql PLAY [Create user and add roles in PgSQL] ****************************************************************************** TASK [Gathering Facts gather_subset=['all'], gather_timeout=10] ******************************************************** ok: [localhost] TASK [local.app.backend.access : Create default user query *** changed: [localhost] TASK [local.app.backend.access : test result msg={{ result.query_result }}] ******************************************** ok: [localhost] => { "msg": [ { "user_id": 5 } ] } Но я что-то не пойму как правильно написать запрос, чтобы получить только значение user_id

Вернусь к своему вопросу. Сейчас через register я получаю результат запроса в postgresql PLAY [Create user and add roles in PgSQL] ****************************************************************************** TASK [Gathering Facts gather_subset=['all'], gather_timeout=10] ******************************************************** ok: [localhost] TASK [local.app.backend.access : Create default user query *** changed: [localhost] TASK [local.app.backend.access : test result msg={{ result.query_result }}] ******************************************** ok: [localhost] => { "msg": [ { "user_id": 5 } ] } Но я что-то не пойму как правильно написать запрос, чтобы получить только значение user_id

покажи как выглядит result

Вернусь к своему вопросу. Сейчас через register я получаю результат запроса в postgresql PLAY [Create user and add roles in PgSQL] ****************************************************************************** TASK [Gathering Facts gather_subset=['all'], gather_timeout=10] ******************************************************** ok: [localhost] TASK [local.app.backend.access : Create default user query *** changed: [localhost] TASK [local.app.backend.access : test result msg={{ result.query_result }}] ******************************************** ok: [localhost] => { "msg": [ { "user_id": 5 } ] } Но я что-то не пойму как правильно написать запрос, чтобы получить только значение user_id

вот так? result.query_result.msg[0].user_id

а. не msg это же не часть твоего json тогда по идее тупо result.query_result.user_id

вот так? result.query_result.msg[0].user_id

Не, судя по всему, result.query_result[0].usr_id

угу, или так если верхний уровень []

покажи как выглядит result

TASK [local.app.backend.access : test result msg={{ result }}] ********************************************************* ok: [localhost] => { "msg": { "changed": true, "failed": false, "query": "INSERT INTO public.boomq_user (user_id, email, password, language, enable_notification) VALUES (nextval('seq_user_id'), 'admin@boomq.io', '{noop}admin', 'EN', true) returning user_id", "query_result": [ { "user_id": 4 } ], "rowcount": 1, "statusmessage": "INSERT 0 1" } }

Не, судя по всему, result.query_result[0].usr_id

Отлично! Это работает!

Благодарю за помощь!

добрый день

--- - name: Install WEB server hosts: all become: yes vars: source_file: /root/index.html destin_file: /var/www/html tasks: - block: ## =============== Block for CentOS =========== - name: Installing on centos httpd ... yum: name: httpd state: latest - name: Copy config file ... copy: src: "{{ source_file }}" dest: "{{ destin_file }}" mode: '0555' notify: restart apache CentOS - name: Starting WEB server ... service: name: httpd state: started enabled: yes when: - ansible_distribution == "CentOS" - block: ## ================ Block for Debian ============ - name: Installing on Debian apache2 apt: name: apache2 state: latest - name: Copy config file ... copy: src: "{{ source_file }}" dest: "{{ destin_file }}" mode: '0555' notify: restart apache Debian - name: Starting WEB server ... service: name: apache2 state: started enabled: yes when: - ansible_distribution == "Debian" handlers: - name: restart apache CentOS service: name: httpd state: restarted - name: restart apache Debian service: name: apache2 state: restarted

не могу найти ошиб ку можете помочь ?

не могу найти ошиб ку можете помочь ?

ошибка в отступах

не могу найти ошиб ку можете помочь ?

Зачем изобретать велосипед?

Возьмите роль апача любую хорошую

И задайте нужные вам переменные

я думаю что если стоит вопрос в правильных отступах, то он не поймет какая роль хорошая, а какая нет

добрый день

и не кидайте полотна конфигов в чат, форматирование теряется\плывет, запостите на pastebin тогда и помощь будет, и помогать будет приятнее

Там же написано что блок не умеет в хандлеры

Причём тут отступы и велосипеды?

да все таки перед handlers: было лишних пробелов

и не кидайте полотна конфигов в чат, форматирование теряется\плывет, запостите на pastebin тогда и помощь будет, и помогать будет приятнее

ок спс