限制 salt-minion 能够发布的命令

Question

如下配置盐栈环境：

machine1 -> salt-master

machine2 -> 盐奴

machine3 -> 盐奴

此设置对我有用，我可以将命令“ls -l /tmp/”从 ma​​chine2 发布到 ma​​chine3 salt-call publish.publish 'machine3' cmd.run 'ls - /tmp/'

如何限制可以发布的命令？

在当前设置中，可以在 machine3 上执行每个命令，这将是非常冒险的。我正在查看 salt-stack 文档，但不幸的是，我没有找到任何如何相应配置它的示例。

解决方案：

1. 在 ma​​chine1 上创建文件 /srv/salt/_modules/testModule.py
2. 插入如下代码：

#!/usr/bin/python

import subprocess

def test():
     return __salt__['cmd.run']('ls -l /tmp/')

if __name__ == "__main__":
     test()

1. 将新模块分发给小兵运行：

   salt '*' saltutil.sync_modules

2. 在 ma​​chine2 上运行：

   salt-call publish.publish 'machine3' testModule.test

Answer 1

salt master 配置中的peer configuration 可以限制某些minion 可以发布的命令，例如

peer:
  machine2:
    machine1:      
      - test.*
      - cmd.run
    machine3:      
      - test.*
      - disk.usage
      - network.interfaces

这将允许 minion machine2 发布 test.* 和 cmd.run 命令。

附：允许minions发布cmd.run命令一般来说不是一个好主意，这里举个例子吧。