или AT

у меня похожее делается в "инит хост"-плейбуке, а там пакеты обновляются и может ядро свежее прилететь - все равно перегрузить надо

Помогите 😭 Пытаюсь из xml файла wildfly удалить старый источники данных. Не выходит, - name: Remove old datasources xml: path: /tmp/standalone.xml xpath: /top:server/profile/db:subsystem/datasources/datasource[@pool-name='ExampleDS'] state: absent namespaces: top: urn:jboss:domain:5.0 db: urn:jboss:domain:datasources:5.0

ok: [localhost] => { "actions": { "namespaces": { "db": "urn:jboss:domain:datasources:5.0", "top": "urn:jboss:domain:5.0" }, "state": "absent", "xpath": "/top:server/profile/db:subsystem/datasources/datasource[@pool-name='ExampleDS']" }, "changed": false, "invocation": { "module_args": { "add_children": null, "attribute": null, "backup": false, "content": null, "count": false, "input_type": "yaml", "namespaces": { "db": "urn:jboss:domain:datasources:5.0", "top": "urn:jboss:domain:5.0" }, "path": "/tmp/standalone.xml", "pretty_print": false, "print_match": false, "set_children": null, "state": "absent", "strip_cdata_tags": false, "value": null, "xmlstring": null, "xpath": "/top:server/profile/db:subsystem/datasources/datasource[@pool-name='ExampleDS']" } } }

Для сравнения файлов нужно использовать хешсуммы. Для вывода различий можно использовать diff

срезать 80% мамкиных кулхацкеров, а то ощущение что к тебе весь китай стучится после того как 22 порт в инетик открывается

Тут уже сказали, что с этим бороться нужно иначе. А вы перестановкой кроватей занимаетесь. :)

В самой задаче смены ssh порта ансиблом особой сложности не вижу. Просто нужно делать это не в рамках одного плея

В конце первой части плейбуки (или установке роли) меняется порт и запускается перезагрузка. После таск передаётся на локалхост с ожиданием доступности нового порта (wait_for). Потом первый плей завершается, а новый начинается с подключением к тому же хосту уже с новым значением ssh порта

Спасибо! Передачу на локалхост тоже погуглю еще

Один из вариантов реализации вот тут описан, например: https://dmsimard.com/2016/03/15/changing-the-ssh-port-with-ansible/

Но, как уже сказали выше, лучше рассмотрите как можно быстрее другой вариант защиты серверов от брутфорса. Альтернативный ssh порт не замена фаерволлу и тем более IPS

Все стоит, тут вопрос единообразия прост

Один из вариантов реализации вот тут описан, например: https://dmsimard.com/2016/03/15/changing-the-ssh-port-with-ansible/

Спасибо огромное

Но, как уже сказали выше, лучше рассмотрите как можно быстрее другой вариант защиты серверов от брутфорса. Альтернативный ssh порт не замена фаерволлу и тем более IPS

Отрывал бы руки за альтернативный ссш

Отрывал бы руки за альтернативный ссш

а протроллить нельзя? подключился в 22 -> /dev/null?

Проблема с брутфорсом решается изменением одной строчки в конфигурации - выключением парольной аутентификации

Проблема с брутфорсом решается изменением одной строчки в конфигурации - выключением парольной аутентификации

а в ссш работает ссо?

а в ссш работает ссо?

в ssh работают ключи

в ssh работают ключи

круто, а ссо?)

Парольная аутентификация - да, если есть возможность - лучше отключать

круто, а ссо?)

sso - это задача сторонней системы

а в ссш работает ссо?

Что значит ссо?

К линуксу SSO тоже легко прикручивается при желании

sso - это задача сторонней системы

я к тому, что там вообще работает? кто-нибудь строил такое?

Что значит ссо?

сквозная аутентификация

я к тому, что там вообще работает? кто-нибудь строил такое?

Запросто

сквозная аутентификация

Конечно, вопрос какое именно решение

Конечно, вопрос какое именно решение

эт все, что я хотел знать) если ссш можно настроить в ссо это круто)

Я видел хосты на которых ссш поддерживал гугловые аки

эт все, что я хотел знать) если ссш можно настроить в ссо это круто)

http://bfy.tw/LAoo

http://bfy.tw/LAoo

а теперь крутануть на это ансибл с автосоздание пользака и удалением))) чтоб полный фарш был)

а теперь крутануть на это ансибл с автосоздание пользака и удалением))) чтоб полный фарш был)

По хорошему ансибл не должен эти задачи решать

Из него херовый IDM

Я вот ломал голову по поводу того как удалять с хоста всех пользователей, кроме указанных в листе ансибла

Пока красивого решения не нашел

Я вот ломал голову по поводу того как удалять с хоста всех пользователей, кроме указанных в листе ансибла

Контроль доступа на хосты - не задача ансибла

Контроль доступа на хосты - не задача ансибла

Да, согласен

Для этого есть LDAP, AD и прочие централизованные системы авторизации

Ансибл может их конфигурацию настраивать, а пользователей контроллить им - плохой вариант

И идемпотентность не обеспечить

Для этого есть LDAP, AD и прочие централизованные системы авторизации

Из лдапа легко сделать точку отказа, а ад... Ну такое

Надо думать

Лучше AD из централизованных систем пока мало что придумали

Лучше AD из централизованных систем пока мало что придумали

Freeipa

Вместо ад можно заюзать

Вместо ад можно заюзать

Дно.

Freeipa

Лучше уж классический ldap, чем это говно.

Дно.

Ну пихать тачку с виндой на 200 железок где только линь так себе затея

Лучше уж классический ldap, чем это говно.

+100500

Ну пихать тачку с виндой на 200 железок где только линь так себе затея

А что эта дрянь даёт по сравнению с обычным лдапом и, например, самбой?

А что эта дрянь даёт по сравнению с обычным лдапом и, например, самбой?

Доеду до офиса напишу, мне её предстоит внедрять в августе

Доеду до офиса напишу, мне её предстоит внедрять в августе

Хорошо, прочитаю с интересом. Единственно - стоит, скорее всего, писать это куда-то в девопс-чаты.

сквозная аутентификация

В ссш есть gss авторизация по керберос тикету, источник и цель должны быть подключены к одному лдап/АД

Ну пихать тачку с виндой на 200 железок где только линь так себе затея

Если в сети исключительно линукс-тачки и авторизация предполагается только на них, то можно и обычным LDAP обойтись

Если в сети исключительно линукс-тачки и авторизация предполагается только на них, то можно и обычным LDAP обойтись

Я всё таки за freeipa, оно конечно специфичное, но приятней с ней работать

Но если там чуть более сложная ситуация - мобильные устройства, вай-фай, почта и другие сервисы, то тут уже AD как раз будет проще внедрить как единое решение

Но если там чуть более сложная ситуация - мобильные устройства, вай-фай, почта и другие сервисы, то тут уже AD как раз будет проще внедрить как единое решение

Мобильные? Телефоны, планшеты?

Да

Сейчас в терминалку можно с телефона зайти легко

Вместо ад можно заюзать

нет

Но если там чуть более сложная ситуация - мобильные устройства, вай-фай, почта и другие сервисы, то тут уже AD как раз будет проще внедрить как единое решение

Freeipa, zentyal(адовое говно), zimbra

Freeipa

Оно не лучше. Но если творчески подойти к вопросу, с FreeIPA можно жить.

Память подтекает =)

Сейчас в терминалку можно с телефона зайти легко

Мои соболезнования тем кто мобилки прикручивает

А что - для доступа к почте и мессенджеру с собой повсюду линуксовый ноут таскать предлагается?

Память подтекает =)

Ну у меня под нее будет x2 silver 4114 128 ram and ssd raid 10

идите в девопс чатик пожалуйста

Думаю хватит

Ну у меня под нее будет x2 silver 4114 128 ram and ssd raid 10

о боже

В ссш есть gss авторизация по керберос тикету, источник и цель должны быть подключены к одному лдап/АД

Не авторизация, а аутентификация. Не надо путать.

Не авторизация, а аутентификация. Не надо путать.

Nazi

14 часов срача, начавшегося со смены порта ссш, вот это каммунити

сейчас начну РО выдавать тому кто не понял

Nazi

Нет, это очень разные понятия. Ты с GSS по тикету только определяешь наличие или отсутствие пользователя. Что там у него с правами - нет.

Я закончил.

Помогите 😭 Пытаюсь из xml файла wildfly удалить старый источники данных. Не выходит, - name: Remove old datasources xml: path: /tmp/standalone.xml xpath: /top:server/profile/db:subsystem/datasources/datasource[@pool-name='ExampleDS'] state: absent namespaces: top: urn:jboss:domain:5.0 db: urn:jboss:domain:datasources:5.0

Очевидно, что-то не так с контентом файла, который вы пытаетесь обработать. Может, нужных полей просто нет или путь указан неверно

Без деталей гадать можно до бесконечности

Проблема не ансибловая явно

подскажите как собрать факты с разных хостов ansible_play_hosts в одну глоблаьную переменную или список. пытался в файл записывать с помощью модуля lineinfile но там похоже проблемы конкурентного доступа к файлу: у части хостов таска отрабатывает но данных в файле нет, перетирается тасками других хостов.

Проблема не ансибловая явно

Ага, как же. Я по другому решил.