т.е. не просто развернул и работаешь, а так чтоб случайно кто не сломал через ansible

или специально не сломал )

т.е. не просто развернул и работаешь, а так чтоб случайно кто не сломал через ansible

Ну случайно всегда можно что-то сломать

и все же интересует подход со стороны безопасника

Ну случайно всегда можно что-то сломать

случайно слил базу данных пользователей, а сломалось оно само =)

Ну даже анзибла не нужно чтобы случайно что-то сломалось. Пришел в дц и случайно устроил короткое замыкание

Всем привет, меня интересует вопрос со стороны безопасности ansible, а именно , создать отдельного пользователя для ansible или через root, и .т.п может кто-нибудь ткнуть где бы глянуть ?

считается правильным подходом когда для ansible создается отдельный пользователь и все операции он совершает через sudo

считается правильным подходом когда для ansible создается отдельный пользователь и все операции он совершает через sudo

Ну по факту тот у кого доступ до этого пользователя может сделать и сломать все что угодно на этой машине

считается правильным подходом когда для ansible создается отдельный пользователь и все операции он совершает через sudo

это вообще правильно в линуксе :)

Ну по факту тот у кого доступ до этого пользователя может сделать и сломать все что угодно на этой машине

это может быть только у рута , доступ до конкретного пользователя

это может быть только у рута , доступ до конкретного пользователя

Авторизовался как отдельный пользователь под анзибл. Получил рута через суду чтобы что-то настроить. Сломал.

Ну по факту тот у кого доступ до этого пользователя может сделать и сломать все что угодно на этой машине

Поэтому есть разные tower, AWX для разруливания доступов

Авторизовался как отдельный пользователь под анзибл. Получил рута через суду чтобы что-то настроить. Сломал.

а откуда у отдельног опользователя ключ пользователя ansible ?

а откуда у отдельног опользователя ключ пользователя ansible ?

Ну наверное его выдали чтобы он конфигурил это место?

Если что я сечас про голый ansible

если ansible голый то тот кто запускает плейбуки считай имеет полный доступ, т.к. в них он может прописать что угодно

Плейбуки опциональны, потому что он и так имеет полный доступ к системе

Если у человека есть все реквизиты, то он и просто по ssh может зайти все сломать

Шифруете ли вы плейбуки?

Шифруете ли вы плейбуки?

для чего?

От просмотра

От просмотра

а смысл? там нет ничего секретного от сотрудника в компании

В плейбуке в принципе ничего секретного не должно быть

логины/пароли от сервисов/баз - как не шифровать-то?

а рутовые пароли?

Теоретически ведь могут быть пароли в плейбуке

у нас все пароли и чувствительная инфа тянется из волта при раскатке

в самих плейбуках нет ничего секретного

Чувствительная информация в инвентори в волте или в волте или еще каком хранилище.

неудобно же

А ещё в плане безопасности что используется?

здравый смысл

Как писали выше башня и awx. Сдравый смысл и паранойя.

Коллеги, поясните по-хардкору. Вот это работает: - name: Create Download directory command: mkdir -p {{ download_folder }} - name: Create java_home directory command: mkdir -p {{ java_name }} А тоже самое, но с with_items - нет: - name: Make Java available for system by updating alternatives command: "{{ item }}" with_items: - mkdir -p {{ download_folder }} - mkdir -p {{ java_name }} inb4: переменные не видны, но почему?

Отступы?

не, пишет что непонятная переменная

Ну и да. Почему комманд а не файл?

The task includes an option with an undefined variable

не, пишет что непонятная переменная

Кавычки

И отступы

что кавычки?

чому тогда это робiт: - name: Make Java available for system by updating alternatives command: "{{ item }}" with_items: - alternatives --install /usr/bin/java java {{ java_name }}/bin/java 2000 - alternatives --install /usr/bin/jar jar {{ java_name }}/bin/jar 2 - alternatives --install /usr/bin/javac javac {{ java_name }}/bin/javac 2 - alternatives --set jar {{ java_name }}/bin/jar - alternatives --set javac {{ java_name }}/bin/javac

Почему элемент списка не в кавычках?

Отступы?

ща попробую

И аакая переменная андефайнед?

Перед этим дебагом повыводи.

типа того: - name: Create Download directory command: "{{ item }}" with_items: - mkdir -p {{ download_folder }} - mkdir -p {{ java_name }} ?

- name: Create Download directory command: "{{ item }}" with_items: - "mkdir -p {{ download_folder }}" - "mkdir -p {{ java_name }}"

У тебя в with_items в одном примере отступ два пробела в нерабочем 4

оке, спасибо

Помогло?

проверяю, там все не быстро

Да! Все взлетело, спасибо!

а есть какой-то редактор/IDE, который досконально понимает yaml, в идеале - синтаксис ansible?

Ну vscode вполне

а есть какой-то редактор/IDE, который досконально понимает yaml, в идеале - синтаксис ansible?

Я юзаю sublime text + https://packagecontrol.io/packages/Ansible

а есть какой-то редактор/IDE, который досконально понимает yaml, в идеале - синтаксис ansible?

pycharm с плагинами оч ок

а есть какой-то редактор/IDE, который досконально понимает yaml, в идеале - синтаксис ansible?

vscode и плагин Ansible

старый добрый vim и нелюбимый nano

старый добрый vim и нелюбимый nano

Там автокомплита нет

Хотя может в vim и есть

я пользуюсь atom

в нано точно нет, а в виме не помню....

в виме точно есть

но есть же для зсш автокомплит!

emacs

!

а к mcedit никаких плагинов с синтаксисом ansible нет? а то просто поддержки yaml недостаточно - у меня вечно беда с отступами и подобным

у ansible разве какой-то свой yaml?

может есть у кого нить интересное чтиво по реализации запуска контейнеров докер с помощью Ansible

есть... Мой gitlab-ci.yml ))

может есть у кого нить интересное чтиво по реализации запуска контейнеров докер с помощью Ansible

https://gist.github.com/RenderQwerty/b650ae0b8abffeed99a5421d2d3833b3

может есть у кого нить интересное чтиво по реализации запуска контейнеров докер с помощью Ansible

https://docs.ansible.com/ansible/latest/scenario_guides/guide_docker.html

Благодарю

https://gist.github.com/RenderQwerty/b650ae0b8abffeed99a5421d2d3833b3

Хммм я как раз ухожу от гитлаб си и перейти на jenkins. Дженкс ждет коммиты а дальше передает бразды ансиблу.

Хммм я как раз ухожу от гитлаб си и перейти на jenkins. Дженкс ждет коммиты а дальше передает бразды ансиблу.

А почему переходите?

Хммм я как раз ухожу от гитлаб си и перейти на jenkins. Дженкс ждет коммиты а дальше передает бразды ансиблу.

Тьфу... Сорри, я почему-то подумал, что речь про деплой контейнеров через gitlab...

надо отдыхать больше )

Ну переходим на atlassian продукт.