Puppet: Erstellen und Verwalten von Unix-Benutzern und -Gruppen

In der letzten Woche habe ich mich intensiv mit Puppet beschäftigt. Jetzt leide ich unter einem mentalen Pufferüberlauf und wenig Vertrauen, dieses Biest jemals zähmen zu können. Ich bin auf viele kommentierte Beispiele gestoßen, aber aufgrund ihrer unzähligen Variationen kann ich nicht zwischen empfohlenem (neuem) Puppenstil und Konventionen unterscheiden, und Ad-hoc-Ansätze "Arbeiten für mich". Ich kann es nicht ertragen, weil es um grundlegende Dinge zu gehen scheint.

So. Mit Puppet verwalten Gruppen und Benutzer, Benutzer primäre Gruppe ihren eigenen Benutzernamen entsprechen, könnten auch andere Gruppen sein , lanfür lan - Anmeldungen, wheelfür Administratoren, shellfür Benutzer mit einer Shell auf beliebigen Knoten, mailfür Benutzer, daemonsfür verschiedene Dämonen. Admin-Anmeldungen erfolgen auf allen Knoten, und zur Verschlechterung kann eine LAN-Anmeldung auch eine Shell-Anmeldung sein.

Soweit ich weiß, ist es in Ordnung, einen Benutzer mehrmals zu definieren, wenn Sie virtuelle Definitionen verwenden, die irgendwann realisiert werden. Klingt fantastisch, wie funktioniert das mit mehreren Gruppen für einen Benutzer? Angenommen, Bob kann sowohl LAN-Knoten als auch Knoten beastie.wan verwenden. thebobIst sein Login dann zweimal definiert, in lanusers.pp mit groups => ["lan"]und in shellusers.pp mit groups => ["shell"]? Was ist, wenn Bob möchte, dass sein LAN-Passwort von seinem Shell-Passwort getrennt ist?

Der Code, den ich derzeit verwende, hat keine virtuellen Definitionen, Benutzer sind nur fest codierte einzelne Einschlüsse. Irgendwann bin ich auf ein Beispiel mit Virtuals gestoßen, und hier blieb ich hängen , weil ich nicht verstehe, wie man den Code so erweitert, dass Puppet eine primäre Gruppe und die erforderlichen Gruppen erstellt, die ich zuerst definiert habe, und dann dem Benutzer in diesen Gruppen beitritt .

Richtig. Bitte schlag mich richtig an.

Jetzt leide ich unter einem mentalen Pufferüberlauf und wenig Vertrauen, dieses Biest jemals zähmen zu können.

Erstens: Entspannen Sie sich. Ich habe gelernt, dass es ziemlich leicht ist, überfordert zu werden und nicht viel zu tun, wenn man etwas mit einer Lernkurve wie Marionette anfängt.

Ist sein Login thebob dann zweimal definiert, in lanusers.pp mit groups => ["lan"] und in shellusers.pp mit groups => ["shell"]?

Nee. Definiere es virtuell an einem Ort (vielleicht users.pp) mit groups => ['shell', 'lan',].

Realisieren Sie auf den Knoten die Benutzer, die Sie benötigen. Zum Beispiel, wenn node beaminwir für alle shellBenutzer wollen :

node beamin {
    Account <| groups == 'shell' |>
}

Was ist, wenn Bob möchte, dass sein LAN-Passwort von seinem Shell-Passwort getrennt ist?

Dann sollte Bob wahrscheinlich 2 verschiedene Accounts mit unterschiedlichen Login-Namen bekommen.

Puppet kommt mit komplizierter Benutzer- / Gruppenverwaltung nicht gut zurecht. Sie sind weitaus besser dran, wenn Sie so etwas wie LDAP bereitstellen - so sehr es mir auch nicht gefällt, es wird viel besser funktionieren, als zu versuchen, Puppet zur Unterwerfung zu bewegen.