Салют народы. Такой вопрос: есть хосты, у них в инвентори прописаны ansible_user и ansible_ssh_private_key_file Но такая УЗ с таким ключом еще не на всех хостах создана, но ее надо будет использовать в дальнейшем. Как добавить таску на создание такой УЗ использую root и его ключ.

как таске сказать, чтобы использовал УЗ root

remote_user

а как ключ ему подсунуть тогда?

-u root --private-key и путь к файлу с ключом

это вариант ad-hoc команды. а в таске как?

а в дальнейшем тогда, как первичную УЗ юзер1 использовать

а в дальнейшем тогда, как первичную УЗ юзер1 использовать

Можешь в конфиге ansible прописать, или в playbook

можешь при запуске каждый раз указывать, можешь в конфиге указать (ansible.cfg)

Можно в инвентори для каждого хоста уникального юзера) Но зачем?

ну смотря какая задача

Есть таска - name: Ensuring ansible user is actual user: name: ansible groups: wheel password: '{{ users.ansible.pass }}' create_home: yes shell: /bin/bash - name: Ensuring 'ansible_user' user authorized_keys is present authorized_key: user: '{{ ansible_user }}' key: '{{ ssh_pub_keys }}' Ее надо запустить от УЗ root

ну да. перед началом основного таска

Если тебе один раз надо добавить юзера и дальше пользоваться уже созданным юзером, то запусти ansible-playbook с параметрами -u —private-key как я написал выше. Если тебе периодически нужно будет( например на новых хостах) запускать эти таски от рута, то укажи имя юзера прям в плейбуке

скорее второй вариант. Потом где-то еще будет использоваться. Это логично, что надо другую УЗ указать для старта таски. Вот проблемка, как это сделать.

скорее второй вариант. Потом где-то еще будет использоваться. Это логично, что надо другую УЗ указать для старта таски. Вот проблемка, как это сделать.

скорее второй вариант. Потом где-то еще будет использоваться. Это логично, что надо другую УЗ указать для старта таски. Вот проблемка, как это сделать.

Про dict и subelements знаю, но не хочу пихать это в dict

Кто-нибудь в курсе, почему хеш для одного и того же пароля постоянно меняется? {{ var_password | password_hash('sha512') }}

Кто-нибудь в курсе, почему хеш для одного и того же пароля постоянно меняется? {{ var_password | password_hash('sha512') }}

соли разные?

странная логика...

соль в самом хеше

все правильно, но с точки зрения ansible и пароля для haproxy, нужно это фиксировать, ибо идемпотентность

можно заранее захешить, да, но тоже выгляждит глупо, на фоне того, что все для этого и так есть в ansible

Коллеги, можете рассказать - а как вы vault используете ? Что я хочу - чтобы файл с переменными автоматически подцеплялся во все плейбуки я сделал vars/vault.yml, в котором зашифровал переменные но он применяется только, если явно указываю в плейбуке vars_files как сделать, чтобы он автоматом применялся ко всем переменным ?

Положить его в group_vars/all/

не понял вот смотри у меня сейчас шированный файл выглядит так: cat vars/vault.yml $ANSIBLE_VAULT;1.1;AES256 38* я хочу, чтобы у меня там были шифрованные переменные: srv-t-cibms1-password: * srv-t-cibms1-apikey: * как это сделать ?

ansible-vault edit vars/vault.yml

Там переменные заданы. Вопрос - как доставить внутрь плейбука. Выше советовали group_vars, но я не понимаю, как их туда перенести зашифрованнымт

положи туда,где плейбук подцепит этот файл . Разницы что обычный файл с переменными, что с зашифрованными нет. Ансибл сам увидит что файл зашифрован и будет ругаться что не указан пароль. при запуске плейбука добавляешь параметр --ask-vault-pass , спрашивает пароль, вводишь и всё. Ансибл расшифрует файл и возьмёт оттуда переменные.

Коллеги, можете рассказать - а как вы vault используете ? Что я хочу - чтобы файл с переменными автоматически подцеплялся во все плейбуки я сделал vars/vault.yml, в котором зашифровал переменные но он применяется только, если явно указываю в плейбуке vars_files как сделать, чтобы он автоматом применялся ко всем переменным ?

очень похоже, что я банально запутался :) куда лучше положить vault.yaml, чтобы в плейбуке не писать vars_files ?

правильно понимаю, что я должен в group_vars/all добавить блок $ANSIBLE_VAULT;1.1;AES256 38*всё_содержимое_файлика.

Нет. Можно делать структуру group_vars/all/*.yml

правильно понимаю, что я должен в group_vars/all добавить блок $ANSIBLE_VAULT;1.1;AES256 38*всё_содержимое_файлика.

А как в ansible можно заменить факт? Прст установить факт не могу, надо менять конкретный. Собсно суть в чём: linux mint заявляет о себе как: $ lsb_release -a No LSB modules are available. Distributor ID: LinuxMint Description: Linux Mint 19.3 Tricia Release: 19.3 Codename: tricia роль написана без учёта такого бреда, с ориентировкой на ванильную убунту, которая заявляет о себе вот так: $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 18.04.5 LTS Release: 18.04 Codename: bionic по причине того, что у меня в парке есть несколько машин со старой ОС (linux mint 18, который на ubuntu 16.04 основан), прст сделать set_fact может поломаться на этих старых ОС. поэтому надо менять только конкретный факт. как придумать некое условие в установке фактов? или надо как-то в полуавтоматическом режиме собирать факты, на основе собранных фактов делать нужный inventory с машинами на нужной ОС и дальше всем set_fact?

роль приезжает из пакета из репозитория (роль freeipa). не хотелось бы в такое лезть руками. p.s. понятно, что надо выпилить этот минт нафиг, но нет возможности