배경:

나는 마침내 21 세기에 참여하고 꼭두각시를 볼 시간을 따로두고 있습니다.

오늘날 우리는 사무실에 내부적으로 보유 된 저장소의 모든 서버 구성을 버전 제어합니다. 업데이트가 필요한 경우 변경 사항이 repos에 다시 체크인되고 해당 머신으로 수동으로 푸시됩니다. 이는 일반적으로 SFTP가 원격 시스템으로 전송 한 다음 관련 권한으로 쉘에서 파일을 제자리로 이동시키는 것을 의미합니다.

따라서 꼭두각시가 이미 가지고있는 것의 단순하면서도 놀라운 확장이 되길 바랍니다.

이제 저는 현재 우리가 합리적으로 안전해야하는 프로세스를 고려합니다. 내부 네트워크가 데이터 센터의 공용 네트워크보다 항상 더 안전하다는 가정하에.

• 프로세스는 항상 한 가지 방법입니다. 변화는 안전한 환경에서 안전하지 않은 곳으로 이동하며 결코 다른 방향으로 돌지 않습니다.

• 마스터 스토어는 가장 안전한 장소에 있습니다. 구성을 훔치거나 악의적 인 수정 사항을 보내면 손상 될 위험이 크게 줄어 듭니다.

의문:

내가 Puppet 서버 / 클라이언트 모델에 대해 이해 한 것은 클라이언트가 서버에서 직접 업데이트를 폴링하고 풀다운한다는 것입니다. 트래픽이 SSL 래핑되어 있으므로 가로 채거나 스푸핑 할 수 없습니다. 그러나 Puppet 서버는 공개 위치에서 호스팅해야하기 때문에 현재 수행하는 작업과 다릅니다. 중앙에서 또는 우리가 유지 관리하는 각 데이터 센터 사이트마다 하나씩.

그래서 궁금합니다.

• 푸시에서 풀로의 변경에 대해 불필요하게 편집증입니까?

• 모든 정보를 공용 네트워크에 중앙에 저장하는 데 불필요하게 편집증이 있습니까?

• 다른 사람들은 어떻게 여러 네트워크를 유지합니까? 각 사이트마다 별도의 서버입니까?

업데이트 30/07/09 :

내 다른 큰 관심사 중 하나는 두 대의 컴퓨터를 신뢰해야한다는 것입니다. 꼭두각시 마스터는 방화벽으로 보호되고 보안이 유지됩니다. 그러나 청취 서비스를 제공하는 모든 공용 컴퓨터에서도 특정 크기의 공격 표면을 가지고 있습니다.

아마도 마스터가 퍼펫 클라이언트 중 하나에서 파일을 업데이트 할 수있는 권한이 있다면 타협으로 인해 모든 클라이언트가 타협하게됩니다. “왕국에 왕”이라고 말해.

• 그 가설이 맞습니까?

• 완화 할 수있는 방법이 있습니까?

답변

# From a machine inside privatenet.net :
ssh -R 3128:httpconnectproxy.privatenet.net:3128 \
    -t remoteclient.publicnetwork.net \
    sudo /usr/sbin/puppetd --server puppetmaster.privatenet.net \
    --http_proxy_host localhost --http_proxy_port 3128 \
    --waitforcert 60 --test –-verbose

root/office
root/office/manifests/site.pp
root/office/modules
root/colo
root/colo/manifests/site.pp
root/colo/modules
root/modules