Timur
Я знаю буквально 2-3 ситуации, когда они необходимы
Sergey
Да, но нет :)
Извини, ты неправ. Это джинджа. Для проверки можешь даже конструкции типа {% %} вызвать. Но, если что, это не совет, а пруф. Не стоит это делать, если не знаешь нюансов.
Timur
Извини, ты неправ. Это джинджа. Для проверки можешь даже конструкции типа {% %} вызвать. Но, если что, это не совет, а пруф. Не стоит это делать, если не знаешь нюансов.
Я в курсе про джинджу, разумеется. Что за странный совет?
Sergey
Написал же - это не совет :-D
Timur
В любом случае, не очень понял, к чему был коммент :)
Timur
Есть какие-то сомнения в том, что я знаю, что такое jinja?
Sergey
Я такого не говорил, а только поправил в конкретном случае.
Timur
Я, видимо, неудачно выразился. Мой пойнт был не в том, что это не джинджа, а в том, что с кавычками все равно нужно быть аккуратнее
Sergey
А! Тогда да, согласен абсолютно.
Vadik
Всем привет)
Может кто подскажет пытаюсь модуль добавить в ansible делаю по инструкции и вот такая ошибка , может где то его нужно прописать ?
fatal: [host1]: FAILED! => {"failed": true, "msg": "ERROR! error importing module in /home/idrack/Dell-EMC-Ansible-Modules-for-iDRAC/library/dellemc_get_firmware_inventory.py, expecting format like 'from ansible.module_utils.basic import *'"}
Sergey
Всем привет)
Может кто подскажет пытаюсь модуль добавить в ansible делаю по инструкции и вот такая ошибка , может где то его нужно прописать ?
fatal: [host1]: FAILED! => {"failed": true, "msg": "ERROR! error importing module in /home/idrack/Dell-EMC-Ansible-Modules-for-iDRAC/library/dellemc_get_firmware_inventory.py, expecting format like 'from ansible.module_utils.basic import *'"}
Ошибка говорит о несовместимости версий, если я верно понимаю. Пинай вендора ;-)
Anton
товарищи, как на уровне CI разрулить подачу в ансибл ssh-ключей c passphrase? наименее костыльный вариант, если такой есть. пока видится, что на все runners для CI нужно прописать все нужные ssh для ансибла.
Timur
Timur
Вам нужно подключаться к вновь создаваемым машинам в рамках CI?
Anton
Вам нужно подключаться к вновь создаваемым машинам в рамках CI?
в том числе. да и к уже созданным тоже.
Timur
Для новых тестовых машин проще всего генерить и прокидывать новые ключи при создании
Anton
Для новых тестовых машин проще всего генерить и прокидывать новые ключи при создании
тут вопрос не в этом, даже если буду делать так, ок, новые ключи. дальше то как их ансиблу сказать использовать?
Anton
или отказаться от passphrase?
Anton
не в смысле - как использовать - где взять. а в смысле если без passphrase - то сильно легче, дал ему приватный ключ он пошел ок.
Timur
Passphrase при наличии приватных ключей - излишество, имхо
Konstantin
Passphrase при наличии приватных ключей - излишество, имхо
не излишество. но в данной кейсе можно не использовать
Timur
Ансибл не умеет хендлить ключи с passphrase
Timur
Но можно использовать ssh-agent
Konstantin
или отказаться от passphrase?
кладете на ранеры приватный ключик, на удаленные хосты публичный. ну а дальше как обычно
Anton
да, хотелось бы услышать конечно бест-практисес. ибо уж слишком много костылей выстраивается в этим passphrase в условиях ci.
Anton
кладете на ранеры приватный ключик, на удаленные хосты публичный. ну а дальше как обычно
ну придется написать обертку что бы предварительно все ключи были на месте.
Konstantin
да, хотелось бы услышать конечно бест-практисес. ибо уж слишком много костылей выстраивается в этим passphrase в условиях ci.
выше написал. можно еще отдельного пользователя завести, не рута. чтоб грохнуть было проще если что
Konstantin
ну придется написать обертку что бы предварительно все ключи были на месте.
да, у нас сервера уже идут с публичными ключами при деплое.
Konstantin
если вы там свой хост накатываете можно и свои ключи класть.
Anton
да, все так. но в общем загвоздка была только в passphrase, если от нее отказаться в этом кейсе, то все становится просто. подсовывай ключи и ок. + инвентори позволяет прям в ней накидать нужные, ну или host_vars уже если на то пошло.
Timur
Timur
Но тогда при первом подключении придется ввести passphrase, который потом сохранится в кэше до перезапуска процесса
Oleksandr
Oleksandr
да, все так. но в общем загвоздка была только в passphrase, если от нее отказаться в этом кейсе, то все становится просто. подсовывай ключи и ок. + инвентори позволяет прям в ней накидать нужные, ну или host_vars уже если на то пошло.
Возможно, просто пересмотреть использование passphrase, которое подразумевает интерактив от пользователя. У вас общение машина-машина. Можно host key зажать, как альтернативу passphrase
Anton
Возможно, просто пересмотреть использование passphrase, которое подразумевает интерактив от пользователя. У вас общение машина-машина. Можно host key зажать, как альтернативу passphrase
да я понимаю, в таком случае и какой то смысл в passphrase пропадает, если он условный и не обеспечивает в этом сценарии никакой доп. контрур безопасности
Konstantin
Max
нормальные инструменты позволяют работать с запароленными ключами ...
Max
и позволяют управлять секретами.
Sergey
нормальные инструменты позволяют работать с запароленными ключами ...
А как это к Ansible относится?
Max
косвенно.
Max
я не думаю что добавлять функционал в ансибл нужно.
Max
наоборот.
Max
скажем так: лучше стереть не мало модулей уже.
Sergey
скажем так: лучше стереть не мало модулей уже.
Хм. Вообще-то всегда можно не пользоваться ими.
Max
можно. ессно.
Max
спокойной ночи.
Sergey
спасибо, взаимно.
GithubReleases
ansible/ansible was tagged: v2.7.7
Link: https://github.com/ansible/ansible/releases/tag/v2.7.7
Release notes:
New release v2.7.7
ℭ𝔞𝔯𝔯𝔬𝔩
да, все так. но в общем загвоздка была только в passphrase, если от нее отказаться в этом кейсе, то все становится просто. подсовывай ключи и ок. + инвентори позволяет прям в ней накидать нужные, ну или host_vars уже если на то пошло.
Приватные ключи в базе, зашифрованы hashicorp vault, динамически подгружаются в gpg/ssh agent раннера
ℭ𝔞𝔯𝔯𝔬𝔩
Доступ регулирует vault
ℭ𝔞𝔯𝔯𝔬𝔩
Как вам кейс?
Dennis
Я дженкинс юзаю для этого, там создаю секрет с пассом и ключём, потом просто указываю какой использовать
Max
доброе утро 🔅
Konstantin
доброго
Konstantin
вообще в линуксе есть тулза которая эмулирует интерактивную работу пользователя. не помню ток как называется. использовал ее при работе с телнетом. давно, правда, было
Konstantin
Приватные ключи в базе, зашифрованы hashicorp vault, динамически подгружаются в gpg/ssh agent раннера
но вот этот вариант очень даже
Konstantin
возможно да, очень похоже
Max
есть на многих я.п. и либа.
Stanislav
Как вам кейс?
Используете у себя? Тоже планируем внедрять. Поделитесь, если не сложно, какие подводные камни, какой воркфлоу работы с хранилищем, учитывая, что оно может быть использовано не только в ansible?
ℭ𝔞𝔯𝔯𝔬𝔩
Используете у себя? Тоже планируем внедрять. Поделитесь, если не сложно, какие подводные камни, какой воркфлоу работы с хранилищем, учитывая, что оно может быть использовано не только в ansible?
Подводные камни:
1. в раннере приватные ключи существуют без пароля на время сессии;
2. Публичные ключи стоит раскатывать ансиблом/паппетом отдельно от CI или вообще хранить в ldap;
3. Приходится игнорировать known_hosts (не придумал, как его синхронизировать и надо ли)
ℭ𝔞𝔯𝔯𝔬𝔩
Используете у себя? Тоже планируем внедрять. Поделитесь, если не сложно, какие подводные камни, какой воркфлоу работы с хранилищем, учитывая, что оно может быть использовано не только в ansible?
Hashicorp Vault используется отдельно от ансибла, ансибл готовит раннеры, в том числе записывает приватные ключи в gpg
Stanislav
Для получения значений из vault предпочтительно использовать модуль ansible или инжектить в процессе ci/cd?
ℭ𝔞𝔯𝔯𝔬𝔩
Для получения значений из vault предпочтительно использовать модуль ansible или инжектить в процессе ci/cd?
Тут как удобнее самим, я делал через ансибл
Stanislav
А что по поводу самого хранилища? Используете разделяемый ключ для открытия vault?
ℭ𝔞𝔯𝔯𝔬𝔩
А что по поводу самого хранилища? Используете разделяемый ключ для открытия vault?
2 из 3, ручной unseal
Stanislav
2 из 3, ручной unseal
Круто, спасибо за информацию. Не возникало нестандартного кейса по хранению паролей для пользователей (не для сервисов) в vault?
ℭ𝔞𝔯𝔯𝔬𝔩
ℭ𝔞𝔯𝔯𝔬𝔩
Круто, спасибо за информацию. Не возникало нестандартного кейса по хранению паролей для пользователей (не для сервисов) в vault?
Можно в чате хашикорп спросить: @ru_hashicorp
Oleg
подскажите как практичнее определить ip адрес удаленного компа зная только его имя?
Sergey
подскажите как практичнее определить ip адрес удаленного компа зная только его имя?
Это про Ansible, конечно же?
Sergey
nslookup
Stanislav
lookup(dig)
Oleksandr
подскажите как практичнее определить ip адрес удаленного компа зная только его имя?
---
- hosts: all
tasks:
- debug: var=ansible_all_ipv4_addresses
- debug: var=ansible_default_ipv4.address
Oleksandr
читай про facts