puppet - 如何从一个 puppet 代理中使用多个不同的 puppet 师？

Question

需要一个 puppet 特工联系一些不同 puppet 师。

原因:不同的组创建了不同且独立的 list 集。

可能的组及其任务

• 应用程序供应商:应用程序的配置
• 安全性:强化
• 运营:路由表、监控工具

每个组都应该运行自己的 puppet 主机 - 数据( list 和适当的数据)应该严格分开。如果可能的话，一组甚至不应该看到/有权访问其他组的 list (我们在 puppet 代理操作系统上使用 MAC)。

全部失败的想法和想法:

• (仅)使用 hira 并不灵活，需要有不同的 list 。
• r10k:支持多个环境，但每个环境只能访问一组 list 。
• 使用多个但相同的 puppet 服务器，例如DNS 循环:这是相反的方式。我们需要不同的 puppet 师。

有些方法可能是可行的，但是......

• 运行多个 puppet 代理实例。这“感觉”很奇怪。优点:可以根据需要限制访问权限(例如应用程序 puppet 代理可以在应用程序用户下运行)。
• 修补 puppet ，使其可以处理多个 puppet 大师。缺点:可能需要一些工作。
• 使用其他机制来划分责任。示例:使用不同的 git 存储库。创建一名 puppet 师。 puppet master 提取所有不同的存储库并提供 list 服务。

我的问题:

1. 是否有一种直接的方法可以使用 puppet 实现此要求？
2. 如果没有，是否有一些最佳实践可以做到这一点？

Answer 1

虽然我认为您在这里尝试做的事情最好通过将所有模块和数据合并到一个主机上来解决，并且利用环境实际上将是完全相同的情况(不同的主机将提供一组不同的模块)/data)这可以通过实现标准的多主基础设施(一个用于证书签名的 CA 主服务器，多个具有由同一 CA 主服务器签名的证书的编译主服务器，配置为在其他地方转发证书流量)并将每个主服务器配置为具有您想要的任何内容来实现需要。然后，您最终必须指定每次运行时要 checkin 哪个主机(cronjob 或某种其他方法)，并且一次 checkin 有可能更改另一次 checkin 设置的设置(有点消除强化/安全概念)。我敦促您更深入地思考如何协作您的各个方面(每个部门的 hiera 数据和具有访问控制的模块的 git 存储库)，以便中央主控可以满足您的需求(并且访问该主控将是唯一的方法从任何地方获取数据/模块)。这种类型的设置实现起来很复杂，但最终结果将更加可靠和可维护。 puppet 公司甚至可以进行咨询来帮助您正确解决问题。

可能还有其他方法，仅供引用。