Ist es möglich, mehrere Puppet-Agenten mit unterschiedlichen Benutzerrechten auf einem Host auszuführen?
Ich habe einen Server, der von zwei unabhängigen Benutzern über Puppet verwaltet werden soll. (ein Benutzerkonto für den Entwickler und ein Root-Konto für das Server-Team)
Antwort1
Das Nicht-Root-Konto kann einfach puppet agent --one-time --no-daemonizejede andere Variante von ausführen puppet agent.
Konfigurations- und persistente Daten werden gesucht und gespeichert in
~/.puppet/für Puppet 3.x und älter~/.puppetlabs/für Puppet 4.x und höher
Dinge, die Sie sicherstellen möchten über ~/.puppet/puppet.conf:
- Sie verwenden eine eindeutige
certnameEinstellung für den sekundären Agenten - Sie möchten wahrscheinlich auch ein alternatives Zertifikat verwenden,
serversodass Ihr Hauptmaster dem Zertifikat nicht vertraut (ja, Sie benötigen einen neuen Puppet-Master, wenn Sie dies möchten). vardirund seine Kinder wiessldirundstatedirsind vom zentralen Speicherort des Systems verschieden und für den Benutzer beschreibbar (das ist am sicherstennichtdiese überhaupt zu berühren - die Standardeinstellungen sind völlig vernünftig; siehe auchpuppet agent --configprint all).
Außerdem sollte das Manifest auf Ressourcen beschränkt sein, die ein nicht privilegierter Agent verwalten kann, wie z. B.
- Dateien im Besitz des Benutzers
- Cron-Jobs des Benutzers
- Im Home-Verzeichnis des Benutzers installierte Ruby-Gems
usw.