@pro_ansible - страница 1643

Sergey

ldap???

Да. ты же хочешь централизованное управление пользователями?

Jungo

Да. ты же хочешь централизованное управление пользователями?

нет - ldap у меня есть я хотел ключи раскидывать так сказать перивичная настройка

Jungo

забейте) решил уже

George

нет - ldap у меня есть я хотел ключи раскидывать так сказать перивичная настройка

Ключи надо из лдапа всасывать

George

Там поле отдельное есть

George

Sssd умеешь ? Нет? А зря

Sergey

нет - ldap у меня есть я хотел ключи раскидывать так сказать перивичная настройка

Ключи в нём же лежат в приличных местах.

Maksim

Народ не подскажите нет ли у кого плайбука который создает chroot пользователю)

Jungo

Народ не подскажите нет ли у кого плайбука который создает chroot пользователю)

создает папки ? или инициириует вход ?

Jungo

Народ не подскажите нет ли у кого плайбука который создает chroot пользователю)

https://github.com/geerlingguy/ansible-role-ssh-chroot-jail

Anton

ребят , подскажите, а как в ансибле условие указать? ну то есть у меня по задаче раскидать кофиги на серваки с хапроксей и сделать проверку его валидности. Перед этим плейбуком я делаю бэкап старого конфига в другую директорию. И если конфиг проверку не прошел, нужно выполнить откат из бекапа, И ГРОМКО КРИЧИМ ЧТО КОНФИГ НЕ ВАЛИДНЫЙ КРАСНЫМ ЦВЕТОМ. Вобщем как это в плебйуке реализовать, никогда не сталкивался с подобным???

George

ребят , подскажите, а как в ансибле условие указать? ну то есть у меня по задаче раскидать кофиги на серваки с хапроксей и сделать проверку его валидности. Перед этим плейбуком я делаю бэкап старого конфига в другую директорию. И если конфиг проверку не прошел, нужно выполнить откат из бекапа, И ГРОМКО КРИЧИМ ЧТО КОНФИГ НЕ ВАЛИДНЫЙ КРАСНЫМ ЦВЕТОМ. Вобщем как это в плебйуке реализовать, никогда не сталкивался с подобным???

тебе зафйленного плейбука недостаточно ? Или обязательно еще поорать текстом ?

George

ну в ансибле есть модуль для вывода сообщений на экран вроде как

George

и еще - я не совсем понял, но вроде конфиг можно валидировать ДО момента перезапуска хапрокси, нет ?

Я и твой кот

ребят , подскажите, а как в ансибле условие указать? ну то есть у меня по задаче раскидать кофиги на серваки с хапроксей и сделать проверку его валидности. Перед этим плейбуком я делаю бэкап старого конфига в другую директорию. И если конфиг проверку не прошел, нужно выполнить откат из бекапа, И ГРОМКО КРИЧИМ ЧТО КОНФИГ НЕ ВАЛИДНЫЙ КРАСНЫМ ЦВЕТОМ. Вобщем как это в плебйуке реализовать, никогда не сталкивался с подобным???

ansible block rescue ansible serial

Dmitriy

ребят , подскажите, а как в ансибле условие указать? ну то есть у меня по задаче раскидать кофиги на серваки с хапроксей и сделать проверку его валидности. Перед этим плейбуком я делаю бэкап старого конфига в другую директорию. И если конфиг проверку не прошел, нужно выполнить откат из бекапа, И ГРОМКО КРИЧИМ ЧТО КОНФИГ НЕ ВАЛИДНЫЙ КРАСНЫМ ЦВЕТОМ. Вобщем как это в плебйуке реализовать, никогда не сталкивался с подобным???

Register: result или как то так, потом через when

Valiy

ребят , подскажите, а как в ансибле условие указать? ну то есть у меня по задаче раскидать кофиги на серваки с хапроксей и сделать проверку его валидности. Перед этим плейбуком я делаю бэкап старого конфига в другую директорию. И если конфиг проверку не прошел, нужно выполнить откат из бекапа, И ГРОМКО КРИЧИМ ЧТО КОНФИГ НЕ ВАЛИДНЫЙ КРАСНЫМ ЦВЕТОМ. Вобщем как это в плебйуке реализовать, никогда не сталкивался с подобным???

по идее - name: Copy HAProxy configuration in place. template: src: haproxy.cfg.j2 dest: /etc/haproxy/haproxy.cfg mode: 0644 validate: haproxy -f %s -c -q backup: true notify: restart haproxy

George

по идее - name: Copy HAProxy configuration in place. template: src: haproxy.cfg.j2 dest: /etc/haproxy/haproxy.cfg mode: 0644 validate: haproxy -f %s -c -q backup: true notify: restart haproxy

Идеально, кмк

Антон

ребят , подскажите, а как в ансибле условие указать? ну то есть у меня по задаче раскидать кофиги на серваки с хапроксей и сделать проверку его валидности. Перед этим плейбуком я делаю бэкап старого конфига в другую директорию. И если конфиг проверку не прошел, нужно выполнить откат из бекапа, И ГРОМКО КРИЧИМ ЧТО КОНФИГ НЕ ВАЛИДНЫЙ КРАСНЫМ ЦВЕТОМ. Вобщем как это в плебйуке реализовать, никогда не сталкивался с подобным???

Используй модуль fail вместе с ignore_errors

Я и твой кот

Эх. А так хочется не заниматься программированием на Ansible, а только декларативно писать, что и как должно быть.

Full

Народ, а кто как борется вот с этой вот ерундой? WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! Иногда это может возникать ожидаемо, и хочется корректно это обработать. Иногда может возникать неожиданно, и поэтому отключать полностью не хочется.

Отделение Bereke Bank

Народ, а кто как борется вот с этой вот ерундой? WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! Иногда это может возникать ожидаемо, и хочется корректно это обработать. Иногда может возникать неожиданно, и поэтому отключать полностью не хочется.

Раскатываешь виртуалки из одного пакер образа - проблема исчезает)

Anonymous

коллеги, подскажите как прекращать выполнения плейбука по условию? на ум приходит when и fail, праивльная ли такая пратика ?

Full

Раскатываешь виртуалки из одного пакер образа - проблема исчезает)

Во-первых, нет. Ключ может поменяться и после раскатки. Во-вторых, у меня иначе.

Vladislav 👻

На один айпи/домен другая машина пришла

Vladislav 👻

Я просто сбрасываю ключ и вношу новый

Full

Это в плейбуке реализовано, или руками?

Vladislav 👻

руками, в ансибл я вообще отключил: host_key_checking = False

Vladislav 👻

и record_host_keys = False

Full

Ясно, спасибо. Не то, что я ищу.

Vladislav 👻

можно не отключать, но руками править или хочется автоматизм? но автоматика тогда ничем не отличается от отключения

Full

Отключение - оно навсегда. А автоматикой - я могу предусмотреть, в каких местах я допускаю смену ключей.

Vladislav 👻

Просто непонятно, как этим управлять

Я и твой кот

Предлагаю перестать пользоваться фингерпринтами и ключами, и перейти на ssh сертификаты со своим pki.

Full

Просто непонятно, как этим управлять

Я поэтому и пришел с вопросом. :) Советами отключить проверку весь инет завален, за таким ответом я бы сюда не шел.

Oleg Y.

Предлагаю перестать пользоваться фингерпринтами и ключами, и перейти на ssh сертификаты со своим pki.

есть какой-нибудь вменяемый RTFM на этот счёт?

Vladislav 👻

https://docs.ansible.com/ansible/latest/modules/known_hosts_module.html

Vladislav 👻

есть вот такое, можно попробовать попрограммировать на ансибл, но хз, на сколько это действительно надо

Full

https://docs.ansible.com/ansible/latest/modules/known_hosts_module.html

+ delegate_to...

Vladislav 👻

да

Я и твой кот

есть какой-нибудь вменяемый RTFM на этот счёт?

В целом, в манах опенссш это всё есть. Поищите статьи.

Full

>попрограммировать на ансибл Вот это и смущает.

Vladislav 👻

тогда вон выше совет про серты и pki (я хз что это, надо читать), либо игнорить и не париться

Full

:) Ушел думать.

Я и твой кот

Как так получилось, что в поставке Tower нет Galaxy сервиса? Я что-то пропустил и не понял?

Anonymous

что Вы подразумевайте под galaxy сервисом?

Anonymous

смотрел galaxy роли/коллекции в целях "просвещения". использовать galaxy роли/коллекции as it is - это наверное кхм

George

да даже Герлинг Гай - который автор книжек по ансиблу - пишет такое, что, я уверен, @tnt4brain передернуло бы )

inqfen

да даже Герлинг Гай - который автор книжек по ансиблу - пишет такое, что, я уверен, @tnt4brain передернуло бы )

Он это пишет тоннами и в принципе оно работает, думаю приводить в красивый вид у него особо некогда

inqfen

Тогда бы у него ролей было вдвое меньше

George

ну, у нас была дискуссия - "брать готовое" или "писать самому". Пока склоняемся к тому, что надо второе. Эволюционный путь

Anonymous

Он это пишет тоннами и в принципе оно работает, думаю приводить в красивый вид у него особо некогда

Типа Данцова %). Так то у него норм блог и мыслит он верно, что уже приятно

George

потому что когда берешь готовое 1) ты начинаешь зависеть от левой пятки непонятных чуваков 2) слишком генерализованные роли 3) все настройки в переменных, которых 100500. В результате роль становится сложной в эксплуатации

Anonymous

роли, как "поставка" через" galaxy проварились уже давно. а сам по себе Герлинг в блоге "правильные" темы освещает.

Anonymous

есть комментарии с ansible fest, как минимум полезно

inqfen

потому что когда берешь готовое 1) ты начинаешь зависеть от левой пятки непонятных чуваков 2) слишком генерализованные роли 3) все настройки в переменных, которых 100500. В результате роль становится сложной в эксплуатации

Обычно куча лишних действий

inqfen

Потому что как правило пишется под все версии всех систем

inqfen

Вот юзал одно время ту же роль установки докера от Гирлинга

inqfen

В итоге поменял на свою - то же самое, только работает втрое быстрее. Зачем мне куча действий и проверок на то, чего у меня в инфре нет и никогда не будет

George

Вот юзал одно время ту же роль установки докера от Гирлинга

В ней единственный вариант установки компоста через скачивание релиза с хттп гита

George

🤦‍♂🤦‍♂🤦‍♂

inqfen

В ней единственный вариант установки компоста через скачивание релиза с хттп гита

Видимо потому что это единственный работающий везде)

inqfen

В пакетных менеджерах обычно компост древний, а с пипом без venv можно систему поломать

George

В пакетных менеджерах обычно компост древний, а с пипом без venv можно систему поломать

+ все так

inqfen

Особенно шляпопроизводные, типа что-то обновил - freeipa отпала, потому что там все связано через питон несвежими либами

inqfen

Вообще иногда странно, вроде как большие конторы, куча разработчиком, а про тот же pipenv не слышали. В итоге пару раз факапился просто поставив модули из пипа для работы модулей

Anonymous

https://www.jeffgeerling.com/blog/2019/notes-ansiblefest-atlanta-2019-ansible-contributor-summit

Anonymous

шикарно же

inqfen

Уже думал делать ami с готовым отдельным окружением, чтобы с ним ансибл работал и все требуемые модули питона для ансибла на целевых хостах жили там. А в переменных юзать соотвественно интерпретатор из этого окружения, а не системный

George

Уже думал делать ami с готовым отдельным окружением, чтобы с ним ансибл работал и все требуемые модули питона для ансибла на целевых хостах жили там. А в переменных юзать соотвественно интерпретатор из этого окружения, а не системный

норм тема

Я и твой кот

что Вы подразумевайте под galaxy сервисом?

Под этим я подразумеваю сервис, который хостит у себя коллекции ролей.

Я и твой кот

Для чего это может быть нужно? Для того чтобы коллеги из других подразделений не писали свои собственные роли, не ковырялись в десятках гит репозиториев, а нашли нужную роль и импортировали её с Galaxy сервера.

Я и твой кот

В 2020

Я и твой кот

Не нашёл. Покажите, пожалуйста.