Cp-ansible: श्रोता के लिए विभिन्न आईपी/होस्टनाम का दस्तावेज़ उपयोग

हां ... एडब्ल्यूएस के साथ काम करते समय यह सुविधाएं सुपर सहायक होती हैं, जो मैं आमतौर पर करता हूं वह यह है:

kafka_broker:
  vars:
    kafka_broker_custom_listeners:
      external:
        name: EXTERNAL
        port: 9093
  hosts:
    ip-172-31-43-14.us-west-2.compute.internal:
      ansible_ssh_host: ec2-34-209-19-19.us-west-2.compute.amazonaws.com
      kafka_broker_custom_listeners:
        external:
          hostname: ec2-34-209-19-19.us-west-2.compute.amazonaws.com

और kafka_broker_custom_listeners dict को मर्ज करने के लिए हैश मर्जिंग पर भरोसा करें ... दुर्भाग्य से यह मेरी राय में host_example.yml फ़ाइल में दस्तावेज़ के लिए वास्तव में भ्रमित करने वाला लगता है।

क्या आपने यहां डॉक्स पढ़े हैं:
https://docs.confluence.io/current/installation/cp-ansible/index.html

ऐसा नहीं लगता है कि हमारे पास अभी तक कस्टम श्रोताओं को प्रलेखित किया गया है, लेकिन यह एक बेहतर जगह की तरह लगता है क्योंकि आप कई नमूने/विवरण शामिल कर सकते हैं

घास - हाँ उचित बिंदु। शायद यह अन्य दस्तावेज़ों में बेहतर होगा।

एक और बात जो मैं सोच रहा था - जब मैं अलग-अलग श्रोताओं के लिए एक ही होस्ट के दो अलग-अलग इंटरफेस का उपयोग करता हूं और दोनों के लिए एसएसएल चाहता हूं:

मुझे या तो दोनों होस्टनामों से मेल खाने वाले दो एसएसएल कर्ट की आवश्यकता है (कुछ यह भूमिकाएं वर्तमान में नहीं करेंगी) या मैं एसएसएल होस्टनाम जांच (और आईपी का उपयोग) या एसएसएल सभी को एक साथ बंद कर देता हूं। ऐसे परिदृश्य के लिए आप इस रेपो का उपयोग कैसे करेंगे?

मैं अगली रिलीज के लिए श्रोताओं की सामग्री को अपने दस्तावेज़ में जोड़ दूंगा, अभी एक संपादन पर काम कर रहा हूं!

बढ़िया सवाल! तो होस्ट्स पर कीस्टोर्स लगाने के 3 तरीके हैं:

1. अपने स्वयं के प्रमाणपत्र पास करें
2. अपना खुद का कीस्टोर पास करें
3. यह आपके लिए है

1 और 2 के लिए आप एक से अधिक SAN एक्सटेंशन के साथ प्रमाणपत्र पास कर सकते हैं।

नंबर 3 के लिए, मैंने वास्तव में एक छोटी सी सुविधा जोड़ी है जो होस्टनामों की एक सूची को ऑटो जनरेट किए गए सेर्ट्स में पास करती है:
https://github.com/confluentinc/cp-ansible/blob/5.5.0-post/roles/confluence.kafka_broker/tasks/main.yml#L39

और फिर उन होस्टनामों को SANs एक्सटेंशन में डाल दिया जाता है:
https://github.com/confluentinc/cp-ansible/blob/5.5.0-post/roles/confluence.ssl/tasks/self_signed_certs.yml#L36

यहाँ cert_extension फ़िल्टर है (पूर्व-निरीक्षण में, जॉइन फ़िल्टर ने यहां काम किया होगा):
https://github.com/confluentinc/cp-ansible/blob/5.5.0-post/filter_plugins/filters.py#L56

लेकिन अभी यह नोट करना महत्वपूर्ण है कि cp-ansible कई कीस्टोर्स को हैंडल नहीं कर सकता है।

बहुत बढ़िया - अद्यतन किए गए दस्तावेज़ों की प्रतीक्षा है!
और विस्तृत उत्तर के लिए धन्यवाद - आपका स्वयं हस्ताक्षरित कोड बहुत अच्छा है!
क्या आप सैद्धांतिक रूप से बहु-कीस्टोर कार्यक्षमता रखने में रुचि रखते हैं?
लागू करना बहुत कठिन नहीं होना चाहिए, क्योंकि आप वैसे भी प्रत्येक श्रोता के लिए स्वतंत्र रूप से एसएसएल सेट कर रहे हैं।
या आप अपने स्वयं के कर्ट के लिए सैन को परिभाषित करने के लिए उपयोगकर्ता पर भरोसा करेंगे?

हां स्व-हस्ताक्षरित सामान निफ्टी है, लेकिन मुझे आश्चर्य है कि क्या लोग वास्तव में डेमोइंग से परे उपयोग करते हैं

मैं सिंगल कीस्टोर/ट्रस्टस्टोर दृष्टिकोण पसंद करता हूं, जिसे मैं तकनीकी रूप से महसूस करता हूं कि प्रति होस्टनाम एक हो सकता है।

यह जटिल हो जाता है क्योंकि एक कीस्टोर के अंदर आपके पास हो सकता है:

• SANs में एकाधिक होस्टनामों वाला एक प्रमाणपत्र
• या उनके DNAME में होस्टनाम वाले एकाधिक प्रमाणपत्र
  इस वजह से मुझे लगता है कि सिर्फ एक कीस्टोर करना सबसे अच्छा है

आपके क्या विचार हैं?

हा - अब जब आप दीक्षांत समारोह ला रहे हैं: सोच:
मैं वास्तव में कई कीस्टोर्स के लिए तैयार था। लेकिन शायद जटिलता वास्तव में कुछ ऐसा है जो SAN और एक कीस्टोर को ऊपर उठाएगी। लेकिन यह केवल मेरा स्वतःस्फूर्त उत्तर है - मैं इसे थोड़ा और विचार दूंगा

मैंने आज "जंगली" में एक बहुत अच्छा समाधान देखा:

बाहरी डिवाइस के समान होस्टनाम के साथ आंतरिक डिवाइस के लिए काफ्का-दलालों पर /etc/hosts प्रविष्टि को तैनात करना।

यदि काफ्का-अनुरोध "अंदर" से आ रहा है तो यह आदि/मेजबान प्रविष्टि का उपयोग कर रहा है
और बाहरी होस्टनाम का उपयोग करते हुए "आंतरिक" श्रोता को लक्षित करता है और इस प्रकार प्रमाणपत्र संकल्प काम कर रहा है।
मैं सोच रहा हूं कि क्या यह एक वैध सामान्य समाधान हो सकता है: सोच:

@Fobhep यह कुछ ऐसा है जिसे मैं वर्षों से उत्पादन में उपयोग करता हूं। यह व्यावहारिक रूप से अनिवार्य है जब आप एसएएसएल को एक बहुघरेलू वातावरण में स्थापित करना चाहते हैं।

@jrevillard प्रतिक्रिया के लिए धन्यवाद।
हो सकता है कि हमें उन प्लेबुक्स को भी ऐसा करना चाहिए

@Fobhep सुनिश्चित नहीं है कि हमें इसे लागू करना चाहिए, हम ओएस को संशोधित करने को कम करने की कोशिश करते हैं जब तक कि इसका काफ्का पर विशेष रूप से प्रत्यक्ष प्रभाव न हो (उदाहरण के लिए खुली फ़ाइल सीमाएं)। मुझे लगता है कि यह बहु-घरेलू वातावरण के लिए संभावित समाधान के रूप में दस्तावेज करने के लिए समझ में आता है, हालांकि उपयोगकर्ता की ओर से मेजबान फ़ाइल को संशोधित करना जोखिम भरा लगता है और पर्याप्त मूल्य नहीं है। हालांकि इस आखिरी बिंदु पर गलत साबित होने की खुशी है।

@ जुमाएक्स फेयर पॉइंट - दस्तावेज़ीकरण शायद एक अच्छा विचार है।
इसे लागू करना बहुत दूर तक जाएगा - मैं सहमत हूं।
इम्हो हम इसे तब बंद कर सकते हैं :)

@Fobhep host_example.yml को अब यह दिखाने के लिए अपडेट किया गया है कि आप 6.0 रिलीज़ में ips/hostnames को कैसे मैप कर सकते हैं। समाधान के रूप में इसे बंद करना।