Scott Pack's questions

我正在尝试重建 nwaller 的sssd puppet 模块，使其完全基于 LDAP 并且更简洁。在其中，我们为表单的每个身份验证域定义了一个资源

define sssd::domain ( 
  $domain = $name,
  $domain_description = '',
  $domain_type,
  $ldap_uri = 'ldap://example.com',
  $ldap_search_base = 'dc=example,dc=com',
  $simple_allow_groups,
....
)

然后，此定义作为 a 传递，concat::fragment它填写了用于构建 final 的模板sssd.conf。

如果我在每个节点中定义 LDAP 服务器，这一切都很好，如下所示：

节点.pp

node "node1.systems.private" {
  include "puppet::client"
  class {
    'sssd':
      domains => [ 'LDAP' ],
      make_home_dir => true;
  }
  sssd::domain { 'LDAP':
    domain_type            => 'ldap',
    ldap_uri               => 'ldaps://ldap.site.com:636',
    ldap_search_base       => 'DC=site,DC=com',
    ldap_user_search_base  => 'OU=People,DC=site,DC=com',
    ldap_group_search_base => 'OU=Groups,DC=site,DC=com',
    ldap_default_bind_dn   => 'CN=bindaccount,OU=Service Accounts,OU=People,DC=site,DC=com',
    ldap_default_authtok   => 'soopersekretbindpw',
    simple_allow_groups    => ['SysAdmins','AppAdmins'],
  }
} 

我宁愿做的是一个更有层次的设置。使sssd::domain定义尽可能通用，这样我就可以将其作为一个独立于我们的组织配置的模块来维护。在全局配置中定义 LDAP 服务器，然后在每个节点中定义需要访问的特定组。所以更像是：

模块/org/manifests/default.pp

class org::default {
  include "puppet::client"
  class {
    'sssd':
      domains => [ 'LDAP' ],
      make_home_dir => true;
  }
  sssd::domain { 'LDAP':
    domain_type            => 'ldap',
    ldap_uri               => 'ldaps://ldap.site.com:636',
    ldap_search_base       => 'DC=site,DC=com',
    ldap_user_search_base  => 'OU=People,DC=site,DC=com',
    ldap_group_search_base => 'OU=Groups,DC=site,DC=com',
    ldap_default_bind_dn   => 'CN=bindaccount,OU=Service Accounts,OU=People,DC=site,DC=com',
    ldap_default_authtok   => 'soopersekretbindpw',
  }
} 

节点.pp

node "node1.systems.private" {
  include "org::default"

  sssd::domain { 'LDAP':
    simple_allow_groups    => ['SysAdmins','AppAdmins'],
  }
}

正如预期的那样，这会在尝试应用定义时导致重复声明错误。有没有办法做到这一点，选择性地覆盖参数，还是我坚持在原始定义中定义身份验证域，然后在每个节点中覆盖授权参数？

我正在 RedHat 6 上设置一个网络监控系统，它将接收来自内联分路器的数据包馈送。该设备的功能之一是运行 Snort。在系统中放置两个 NIC 用于 tap 是没有问题的，但是由于每个 snortd 实例只能在一个接口上运行，因此分别监控两个接口将中断大量的流重组和流跟踪。

由于这些 NIC 仅用于接收，绑定是聚合这些接口的正确方法吗？文档似乎在暗示我，因为我不太关心传输数据包，所以任何模式都可以满足我的需要。这是一个有效的假设吗？如果我为此使用绑定，是否需要注意任何异常情况？

与其不断编写自己的模块来将系统转换为 puppet 管理，我更愿意尽可能地利用社区。到目前为止，我遇到了两个为分发编译模块的站点，Puppet Wiki和Puppet Managed。还有什么，和/或你发现什么有用的？