通过数据包分配厨师延迟属性

Question

所以我有一点泡菜。我有一个加密的数据包来存储LDAP密码。在我的节点运行列表中，我的一个配方将密钥安装到我的客户端计算机上。在我有问题的食谱中，我有一个助手（在/库中）从AD中提取数据（使用LDAP）。问题是，我找不到在初始编译阶段后延迟我的节点属性赋值的方法。

以这行代码为例：

node.override['yp_chefserver']['osAdminUser'] = node['yp_chefserver']['osAdminUser'] + get_sam("#{data_bag_item('yp_chefserver', 'ldap', IO.read('/etc/chef/secret/yp_chefserver'))['ldap_password']}")

我试图通过添加由我的帮助函数“get_sam”返回的数组来覆盖属性，该数组返回一个数组，但它需要在编译阶段之后运行，因为文件“/ etc / chef / secret / yp_chefserver”在收敛之前不存在我的名单

所以我的问题是：有没有办法在执行阶段通过data_bag_items分配节点属性？

我试过的一些事情：

ruby_block 'attribution' do
  only_if { File.exist?('/etc/chef/secret/yp_chefserver')}
  block do
    node.override['yp_chefserver']['osAdminUser'] = node['yp_chefserver']['osAdminUser'] + get_sam("#{data_bag_item('yp_chefserver', 'ldap', IO.read('/etc/chef/secret/yp_chefserver'))['ldap_password']}")
    Chef::Log.warn("content of osAdminUser : #{node['yp_chefserver']['osAdminUser']}")
  end
end

这不起作用，因为自定义资源ruby_block没有方法“data_bag_item”。我尝试在我的“chef_server”自定义资源中使用延迟属性，但同样的问题。

我也尝试直接在我的帮助程序模块中完成归因，但由于辅助模块在exec阶段之前编译，因此在分配变量时该文件不存在。

如果有人想知道这是有问题的辅助函数，它从LDAP中提取SamAccountName以将管理员用户分配给我的厨师服务器。 ：

module YpChefserver
  module LDAP

    require 'net-ldap'
    @ldap

    def get_ldap(ldap_password)
      if @ldap.nil?
        @ldap = Net::LDAP.new :host => "ADSERVER",
        :port => 389,
        :auth => {
              :method => :simple,
              :username => "CN=USERNAME,OU=East Service Accounts,OU=System Accounts,DC=ad,DC=ypg,DC=com",
              :password => "#{ldap_password}"
        }
      end
      @ldap
    end

    def get_ldap_users(ldap_password)
      filter = Net::LDAP::Filter.eq("cn", "DevOps")
      treebase = "dc=ad, dc=ypg, dc=com"
      get_ldap(ldap_password).search(:base => treebase, :filter => filter) do |entry|
       #puts "DN: #{entry.dn}"
       entry.each do |attribute, values|
            return values if attribute == :member
       end
      end
    end

    def get_sam(ldap_password)
      samacc = Array.new
      get_ldap_users(ldap_password).entries.each{ |elem|
        y = elem.to_s.split(/[,=]/)
        filter = Net::LDAP::Filter.eq("cn", y[1])
        treebase = "OU=Support Users and Groups,OU=CGI Support,DC=ad,DC=ypg,DC=com"
        get_ldap(ldap_password).search(:base => treebase, :filter => filter, :attributes => "SamAccountName") do |entry|
          samacc << entry.samaccountname
        end
      }
      return samacc
    end

  end
end

Answer 1

事实证明，您实际上可以在ruby块中调用它，只需使用实际的Chef调用而不是资源名称，如下所示：

ruby_block 'attributes' do
  only_if {File.exist?('/etc/chef/secret/yp_chefserver')}
  block do
    dtbg = Chef::EncryptedDataBagItem.load('yp_chefserver','ldap',"IO.read('/etc/chef/secret/yp_chefserver')")
  end
end

将此留给那些可能需要它的人

编辑：这是使用上面提到的代码从AD中提取帐户的最终功能，使用加密数据包提供密码，然后将这些结果传递给我的节点属性，所有这些都在执行阶段：

ruby_block 'attributes' do
  extend YpChefserver::LDAP
  only_if {File.exist?('/etc/chef/secret/yp_chefserver')}
  block do
    # Chef::Config[:encrypted_data_bag_secret] = '/etc/chef/secret/yp_chefserver'
    dtbg = Chef::EncryptedDataBagItem.load('yp_chefserver','ldap')
    node.override['yp_chefserver']['ldap_pw'] = dtbg['ldap_password']
    userarray = Array.new
    userarray.push("#{node['yp_chefserver']['osAdminUser']}")
    get_sam("#{node['yp_chefserver']['ldap_pw']}").each { |i| userarray.push(i[0]) }
    node.override['yp_chefserver']['authorized_users'] = userarray
    node.override['yp_chefserver']['local_admin_pw'] = dtbg['local_admin_pw']
  end
end