Marioneta: cómo crear y administrar usuarios y grupos de Unix

Esta semana pasada me esforcé por aprender Puppet. Ahora sufro de un desbordamiento mental del búfer y poca confianza de poder domesticar a esta bestia. Me encontré con muchos ejemplos anotados, pero debido a sus innumerables variaciones, no puedo discernir entre el estilo de marionetas recomendado (reciente) y las convenciones, y los enfoques ad hoc "funciona para mí". No lo soporto porque parece ser sobre cosas de nivel básico.

Entonces. Usando Puppet para administrar grupos y usuarios, el grupo primario de los usuarios igual a su propio nombre de usuario, otros grupos podrían ser lanpara inicios de sesión de lan, wheelpara administradores, shellpara usuarios con un shell en nodos arbitrarios, mailpara usuarios, daemonspara varios demonios. Los inicios de sesión de administrador estarán en todos los nodos y, para empeorar las cosas, un inicio de sesión lan también podría ser un inicio de sesión de shell.

Por lo que entiendo, está bien definir un usuario varias veces si utiliza definiciones virtuales que se realizan en algún momento. Suena fabuloso, entonces, ¿cómo funciona eso con múltiples grupos para un usuario? Digamos que Bob puede usar tanto nodos LAN como nodos beastie.wan; ¿se thebobdefine su inicio de sesión dos veces, en lanusers.pp con groups => ["lan"]y en shellusers.pp con groups => ["shell"]? ¿Qué pasa si Bob quiere que su contraseña de LAN esté separada de su contraseña de shell?

El código que uso actualmente no tiene definiciones virtuales, los usuarios son solo inclusiones codificadas. En un momento me encontré con un ejemplo usando virtuales y aquí es donde me quedé atrapado porque no entiendo cómo expandir el código para que Puppet cree un grupo primario y los grupos requeridos que definí primero y luego se unan al usuario en esos grupos .

Correcto. Por favor, dame una idea correcta.

Ahora sufro de un desbordamiento mental del búfer y poca confianza de poder domesticar a esta bestia.

Primero: relájate. He aprendido que, cuando eres nuevo en algo con una curva de aprendizaje como Puppet, es bastante fácil sentirse abrumado y no poder hacer mucho.

¿se define su nombre de usuario thebob dos veces, en lanusers.pp con grupos => ["lan"] y en shellusers.pp con grupos => ["shell"]?

No Prácticamente definirlo en un lugar (tal vez users.pp) con groups => ['shell', 'lan',].

En los nodos, tenga en cuenta los usuarios que necesita. Por ejemplo, si node beaminqueremos todos los shellusuarios:

node beamin {
    Account <| groups == 'shell' |>
}

¿Qué pasa si Bob quiere que su contraseña de LAN esté separada de su contraseña de shell?

Entonces Bob probablemente debería obtener 2 cuentas diferentes con diferentes nombres de inicio de sesión.

Puppet no funciona bien con la gestión complicada de usuarios / grupos. Sería mucho mejor desplegar algo como LDAP; por mucho que no me guste, funcionará mucho mejor que tratar de vencer a Puppet para que se someta.