Привет всем. Вопросы по async/poll, не совсем понял как он работает. Указанное в async количество времени - это количество времени, по истечении которого плейбук будет failed, верно? А poll - раз в какое количество времени в пределах async проверяется, готова ли задача к выполнению, или через какое время стартовать следующей задаче? И если одна задача задана асинхронно, то все остальные выполняются по очереди до конца плейбука или роли, если среди них не будет таски с async_status, правильно?

async - глобальный таймаут для таска poll - как часто проверять закончился или нет Да, если одна асинхронно, а остальные как обычно, то после асинхронной будет опять последовательное выполнение. Можно ещё посмотреть стратегии - https://docs.ansible.com/ansible/latest/plugins/strategy.html

Как я понял, strategy на уровне хостов, а async на уровне тасков. Получается, плейбук может быть failed, при этом выполнив все задания кроме одного, если допустим первому выдать async = 1000 и poll = 0 ?

Почему плейбук будет failed? Просто таск запустится асинхронно. Если запуск был успешный, то и статус у таска будет успешный. И процесс будет работать до завершения или до истечения 1000 секунд независимо от плейбука.

Я имею в виду, если время async истечет, а таск не выполнится - весь плейбук failed?

Я имею в виду, если время async истечет, а таск не выполнится - весь плейбук failed?

async применяется для процесса, который будет запущен на целевой машине. И он запускается асинхронно - независимо от плейбука! Если async истечёт, то завершится процесс на целевой машине. Но не плейбук

О как. Я понял. Любопытно.

Всем привет! Можно как-то собрать хеши установленных пакетов системе?

В лс если можно

Всем привет! Можно как-то собрать хеши установленных пакетов системе?

В смысле хеши?

В смысле хеши?

Прочти по системе и посчитать md5 или sha256

Составляешь список установленных пакетов и считаешь для каждого хеш.

Вот только для чего это?)

Прочти по системе и посчитать md5 или sha256

В пакете 30 файлов, какой хеш считать? :)

В пакете 30 файлов, какой хеш считать? :)

Пакета.

Тебе ж его надо.

В пакете 30 файлов, какой хеш считать? :)

А, не тебе)

Я понял что это делается через stat, в stat нужен полный путь. А через facts.package не получается (

Но задумку понял, спасибо

Я понял что это делается через stat, в stat нужен полный путь. А через facts.package не получается (

Ну так имя пакета есть, от куда установлен известно...

Есть ещё yum-verify

И другие подходы для проверки пакетов и бинарей

Всем привет, в vagrant поднимаю galera cluster и есть арбитр, вот для него надо в шаблоне указать все галера хосты. По идее он забирает ip-адреса из группы и добавляет в конфиг/шаблон, как правильно указать, чтобы генерация шаблона и например запуск сервиса выполнился только 1 хосте, а не на всех? https://pastebin.com/NGYFA83f

run_once и delegate_to по идее должны помочь

Всем привет, в vagrant поднимаю galera cluster и есть арбитр, вот для него надо в шаблоне указать все галера хосты. По идее он забирает ip-адреса из группы и добавляет в конфиг/шаблон, как правильно указать, чтобы генерация шаблона и например запуск сервиса выполнился только 1 хосте, а не на всех? https://pastebin.com/NGYFA83f

тут кстати косяк у меня gather_facts: true будет, так как шаблон будет ругаться

run_once и delegate_to по идее должны помочь

во, спасибо)

Всем привет! Можно как-то собрать хеши установленных пакетов системе?

нельзя. После установки пакета он удаляется. Но часть пакета - это хэши поставленных файлов, и если надо - можно проверить соответствие того что в них и самих файлов. Учитывать, что есть конфиги, где отличающийся хэш это норма почти всегда.

првиет! покажите пожалуйста, как вы подготавливаете объект, который потом |to_yaml? Когда шаблоните сложные конфиги, например

привет что можно использовать заместо skippy callback? ответ: ANSIBLE_DISPLAY_SKIPPED_HOSTS

Доброе утро. Как, с точки зрения подхода "инфраструктура как код", должно выглядеть обновление пакетов ОС (в т.к. ядро и т.д.) на целевых системах (без учета контейнеров)? Например, по модулю yum у нас используется установка ряда пакетов определенных версий (например nginx redis) не latest. Как-то пытаться обновлять все пакеты, которые не связаны с указанными? Как сделать так, чтобы можно было сделать откат при возврате к предыдущей версии кода?

в первую очередь, стоит держать тестовые машины с аналогичным окружением

написать тесты

не знаю, как юм, а апт позволяет холдить пакеты определенные - они не обновятся автоматически при апт апдейт\апт апгрейд

вероятно, юм должен уметь подобное, проверьте

Доброе утро. Как, с точки зрения подхода "инфраструктура как код", должно выглядеть обновление пакетов ОС (в т.к. ядро и т.д.) на целевых системах (без учета контейнеров)? Например, по модулю yum у нас используется установка ряда пакетов определенных версий (например nginx redis) не latest. Как-то пытаться обновлять все пакеты, которые не связаны с указанными? Как сделать так, чтобы можно было сделать откат при возврате к предыдущей версии кода?

yum versionlock

yum versionlock

а ansible этим как-то управлять может?

а ansible этим как-то управлять может?

Почитайте ман по плагину versionlock посмотрите в каких файлах он хранит список залоченных пакетов, добавьте ансиблом нужные пакеты нужных версий в эти файлы. Я-бы так делал.

странно мало информации по данному вопросу. все юзают latest? или никогда не обновляют ос? или обновляют какой-нибудь образ потом его пакером и раскатывают?

тестовую среду держат

тестовую среду держат

ок пример: у меня плейбук с yum update для обновления системы. стоит centos 7.7 и какие-то пакеты (nginx redis будут latest). - Раскатываю это в тестовое окружение

тестируют все ок. завтра выходит centos 7.8 redis 6 все это раскатывается в прод и не работает

или еще рядом хранить слепок собственного репозитория дабы не юзать паблик?

или еще рядом хранить слепок собственного репозитория дабы не юзать паблик?

если вы настолько версиозависимы - да, опреденно неплохая идея

или еще рядом хранить слепок собственного репозитория дабы не юзать паблик?

Попробуй versionlock. Потом статью на медиум напишешь 👍

или еще рядом хранить слепок собственного репозитория дабы не юзать паблик?

Блин. Тебе-ж написали как надёжно сделать. Ну или в плейбуке прописываешь установку плагина на прод. Туда-же прописываешь установку конкретных версий софта, потом в этом-же плейбуке фиксируешь состояние плагином. Всё! Что ты тут ещё пытаешься придумать?

Блин. Тебе-ж написали как надёжно сделать. Ну или в плейбуке прописываешь установку плагина на прод. Туда-же прописываешь установку конкретных версий софта, потом в этом-же плейбуке фиксируешь состояние плагином. Всё! Что ты тут ещё пытаешься придумать?

это был ответ на то что тестовая среда не решает вопроса

спасибо. Пока думаю между versionlock и golden image

GI отстой. Нет истории и версионирования, хрен вспомнишь что в нем установлено, документации по нему верить нельзя.

GI отстой. Нет истории и версионирования, хрен вспомнишь что в нем установлено, документации по нему верить нельзя.

Кто мешает вести историю и версионирование голденимеджа? Оо или вы руками его собираете каждый раз?

А чем тогда раскатка окружения в чистой системе будет отличаться от использования ГИ?

А чем тогда раскатка окружения в чистой системе будет отличаться от использования ГИ?

Длительностью. GI один, а раскатать на все – дольше.

И процесс выпекания golden image меньше подвержен ошибкам.

А чем тогда раскатка окружения в чистой системе будет отличаться от использования ГИ?

1) это на порядок быстрее 2) это дает гарантию определенного состояния всей системы, а не только того куска, который менеджится ансиблом 3) меньше вероятность расхождения в конфигурации между серверами

У меня совсем другой опыт с GI, и это явно офтоп

добрый день, подскажите пожалуйста. Хочу выловить stdout и на его основе пнуть комманду для этого есть такие таски https://pastebin.com/QAyHnMNs но таск на применение параметров всё равно срабатывает всегда, запутался в кондишенах :(

выведи сначала shell_netsh_dpr_tcp_output, а потом посмотри как достучаться к group_names

лист в when разве не логическое AND?

проблема не в group_names а во втором условии, которое при наличии нужных цифр в stdout продолжает отдавать true на not in

да есть вроде https://docs.ansible.com/ansible/latest/user_guide/playbooks_conditionals.html#the-when-statement

может с кавычками намудрили?

отбой, переписал на find и заработало (shell_netsh_dpr_tcp_output.stdout.find("15000") == -1) or (shell_netsh_dpr_tcp_output.stdout.find("50535") == -1). Спасибо что откликнулись :)

утра доброго подскажите пожалуйста, ято я упускаю есть вот такой тикет, один в один описывающий мою проблему машина входит в NIS домен, поэтому локальных пользователей там нет, но мне нужно их добавить в локальную группу. Если я делаю это модулем user, то ансибл создает локального пользователя и все портит https://github.com/ansible/ansible/issues/30165

ишуя закрыта с текстом: #28420 added the ability to modify local users as of Ansible 2.4.0. The underlying tools, usermod, useradd, etc., should be aware of directory accounts and behave appropriately. It may also be that this should be handled by a groups module since the user module assumes you want to create an account at a minimum. If this is still an issue with recent versions of Ansible, please open a new issue. ничего полезного в связанной ишуе по этому поводу не нашел через модуль групс добавить группе юзера тоже нельзя не понимаю как это работает локально пльзователей на доступных машинах нет (luser использовать не получится

тестируют все ок. завтра выходит centos 7.8 redis 6 все это раскатывается в прод и не работает

Настолько ломающих изменений обычно в серверных дистрах нет. Наоборот супер свежие версии софта надо тащить из каких нить левых реп.

Вас еще спрошу, может кто интересную идею подкинет. Раньше у меня была такая структура ролей frontend backend base/nginx base/tomcat Соответственно в frontend через мету ставился base/nginx, также и в бэке Таким образом у меня получилось большое количество ролей в подкаталоге base/ и работало это иногда криво, хендлеры и прочее (из-за подкаталога) Как вынести все это дело в обычные roles, но избежать большого списка этих самых ролей? (их получается около 30 штук таким образом)

Вас еще спрошу, может кто интересную идею подкинет. Раньше у меня была такая структура ролей frontend backend base/nginx base/tomcat Соответственно в frontend через мету ставился base/nginx, также и в бэке Таким образом у меня получилось большое количество ролей в подкаталоге base/ и работало это иногда криво, хендлеры и прочее (из-за подкаталога) Как вынести все это дело в обычные roles, но избежать большого списка этих самых ролей? (их получается около 30 штук таким образом)

А зачем избегать большого списка? Главное прозрачность инфры, а сколько там строчек вообще не имеет значения

А зачем избегать большого списка? Главное прозрачность инфры, а сколько там строчек вообще не имеет значения

Перфекционизм жаждет компактности)

Перфекционизм жаждет компактности)

| base64

У меня совсем другой опыт с GI, и это явно офтоп

Можешь поделиться? Думаю, это будет интересно многим, и модеры не рассердятся

ок пример: у меня плейбук с yum update для обновления системы. стоит centos 7.7 и какие-то пакеты (nginx redis будут latest). - Раскатываю это в тестовое окружение

а с чего бы это перестать работать редису? Вообще у RHEL такая политика, что они никогда не меняют не то что мажорную, а даже минорную версию

Вот например в CentOS 6.0 был mysql-5.1.47, в CentOS 6.10 mysql-5.1.73

а с чего бы это перестать работать редису? Вообще у RHEL такая политика, что они никогда не меняют не то что мажорную, а даже минорную версию

да там был не родной репозиторий от remi для rhel7

для redis*

ну latest в любом случае зло в 99%

Вот например в CentOS 6.0 был mysql-5.1.47, в CentOS 6.10 mysql-5.1.73

Так минорная же версия листов поменялась. Вот и у пакетов тоже только минорная

так что надо пинить версию

Так минорная же версия листов поменялась. Вот и у пакетов тоже только минорная

и?

в дефолтном репозитории centos вообще был 3 редис)

и?

Что и?

ну поменялась и что?

это не сломает прод