Reprise du message précédent :

 
Ok je vais regarder ça de plus prêt. D'autres outils en tête les gentlemen ?

Kickstart ?
Ptet satellite

Et satellite c'est quoi par rapport à TheForeman à ton avis  ?

Chacun son nom préféré

Il n'y avait pas un truc genre « Studio » jsais pas quoi proposé par SuSe permettant de faire un truc custom dans sa distro (je dis ça de mémoire)

Ouah merci j'ai de la doc technique à lire . Bien sur faut que l'outil puisse recompiler à la volée des kernel, paquets ect    
 
Je sais c'est chiant mais mon domaine malheureusement m'impose de travailler comme un gitant  

Scada + Gitan, ça sent bon ton histoire

Je ne vois pas le rapport avec la choucroute. Mais vraiment

 
Sauf que dans les faits ton serveur il faut le patcher/monitorer/antiviruser/manager etc...si  tu dois déployer X outils d'infra (en supposant qu'ils soient compatibles Windows only) ou les adapter pour un seul serveur ç'est prohibitif en terme de coûts.

Yow  
 
Je viens d'hériter de la gestion d'un truc qui exploite les netflow. Ça nous sert à faire des stats de trafic par AS par exemple, ou par lien.  
 
L'outil fonctionne globalement correctement, mais quand un truc ne fonctionne pas (ce qui est le cas ici et c'est à bibi de comprendre pourquoi ) je sais que c'est un peu la galère à troubleshooter, pour y avoir déjà passé du temps dessus il y a quelques années.  
 
J'hésite entre passer du temps à débugger mes soucis, ou directement migrer sur autre chose d'un peu plus moderne et souple à exploiter.  
 
L'outil en question est AS-Stats : https://github.com/manuelkasper/AS-Stats  
 
Est-ce que vous avez des feedbacks sur des outils exploitant les flux netflow ?  
J'ai entendu parler de NFSen, si vous avez d'autres noms d'outils et éventuellement un feedback, je suis volontiers preneur

as-stats j'ai essayé de mettre ça en place quand j'ai installé l'infra internet ici, j'y ai passé quelques heures, pas pu le faire fonctionner, j'ai laissé tomber. D'autant plus que le projet est mort.
Après j'ai essayé un autre produit qui est souvent recommandé (payant mais pas cher), Wanguard, grosse interface clicodrome et pas réussi à faire fonctionner en un temps raisonnable (sûrement lié au fait que j'utilise des routeurs linux, avec du junisco ça se serait peut être bien passé, tu peux peut-être essayer, y'a un trial gratuit pas trop chiant). Pareil j'ai laissé tomber. Je suis parti sur du pmacct (quel super outil d'ailleurs) qui collecte via libpcap, fait la correspondance préfixes <=> ASN et exporte vers une base SQL Ensuite petit script maison pour sortir les stats qui m'intéressent (j'ai des besoins assez simples).
 
Mais je suis intéressé aussi par cette question car j'aurai peut-être besoin à l'avenir de collecter du netflow aussi. L'autre fois en regardant vite fait j'ai trouvé elastiflow, pas du tout testé mais quand j'aurai le temps et l'envie d'essayer de mettre quelque chose en marche c'est la prochaine solution que je testerai je pense.

bon j'ai toujours pas trouvé d'outil, qui ne soient pas des services en ligne freemium / premium, pour générer des diagrammes automatiquement d'une infra aws
 
Soit on est sur du service payant genre cloudcraft, qui va venir salement lire mes infras, stocker ça je ne sais où, j'aime pas l'idée d'être dépendant de la sécurité et disponibilité d'une boite tierce
Soit on est sur du service gratos où je dois manuellement modifier mes diagrammes à chaque changement
 
Mon dream goal: je pousse une modif sur terraform, la ci interroge l'api aws et me regénère un beau diagramme à jour dans le dépôt
 
si quelqu'un a déjà eu ces questionnements .... meme sur le reddit /devops j'ai eu des réponses qui omettent que je cherche un outil self-hosté. A moins qu'AWS sache nativement le faire (sans utiliser le provisioning par cloudformation ?)

chaud comme besoin mais j'adore l'idée

T'a répondu toi même, fait tout dans cloudformation et ça te fera tes diagrammes.

Très intéressant, merci On a du Cisco ici donc je m'éviterai peut-être des soucis que tu as eus  
Elastiflow a l'air bien moderne avec la stack ELK derrière, je vais voir ce que je trouve comme doc, ça m'a l'air d'un bon candidat Je ne connais pas bcp ELK mais j'ai entendu des collègues ayant l'idée de l'utiliser pour un autre projet, ce sera l'occasion de bosser ensemble  

Bonsoir messieurs !

J'avais déjà évoqué le sujet et on en reparlait sur les aigris, Ansible !
A l'époque, c'était juste des renseignements, je suis passé dans le concret...

J'ai testé les ad hoc, les playbooks... Tout ça pour installation de paquets (pour tester) et le but, mises à jour ! Principalement du centos/debian.
Tout ça fonctionne par contre, il n'y a pas d'outil intégré de rapport par mail.
J'ai posé la question vite fait et ce n'est pas implémenté. Mais vu le but, je pense que ça a plus sa place ici, peut-être que vous avez un meilleur outil (maj serveur + rapport par mail)

Je souhaite pouvoir mettre les serveurs à jour, et pourquoi pas, utilisé un serveur de relais pour les maj. Du coup, Ansible/TheForeman/Katello, c'est ce qu'il me faut ou je fais fausse route et il y a plus simple ?

Je sais qu'Ansible permet de faire des choses beaucoup plus poussés et que c'est peut-être un peu trop gros pour mon but mais faire du yum-cron et unattended-upgrade sur chaque VM... Je trouve ça un peu dommage. (On parle d'environ 40 machines)

Si vous avez des idées, je suis preneur
(ou me confirmer que je perds pas mon temps/ fais fausse route )

 
ça me fait un paquet de boulot de migrer l'existant vers CF

 
les rapports mail d'unattended upgrades suffisent pas ?
 
sinon pour orchestrer des mises à jours sur une plateforme, j'utiliserais un vrai conf manager qui connait l'état de ta plateforme à un instant t plutot qu'ansible.
Sur ansible on a déployé des roles unattended qui passent les patchs de sécu entre la prp et la prod avec une semaine d'intervalle, en déclenchant l'update le même jour mais en l'appliquant à des J+x différent entre prp et prod. Par contre ça reste insuffisant puisque la plupart des patchs demandent des reboots. Et là ansible c'est la merde pour gérer tout ça. On a fait des pipelines git manuels qui déclenchent un upgrade, reboot la machine, attendent qu'elle soit up avant de passer à la suivante dans l'inventaire. Et on ne gère pas les load balancers (comprendre il n'y a pas de vidage de file d'attente avant reboot, on coupe salement)
 
Sur des plateformes avec salt, on est capable de sortir une machine d'un pool haproxy, la patcher, la rebooter, et la réintégrer dans le pool. Par contre y a pas de solution toute faite, c'est à toi d'écrire le code d'orchestration et si t'as pas déjà un peu fait de salt, ça peut etre violent.
 
Après Foreman j'ai jamais testé, ça peut etre intéressant.

Pas utilisé donc je ne peux pas répondre

Juste pour être sûr, le vrai conf manager, en l'occurence, c'est "Unattended" ?

En tout cas, effectivement, je n'avais pas vu les choses sous cet ordre, utilisé Ansible pour gérer les Unattended et yum-cron.
Je lançais directement les mises à jour à travers Ansible.
J'ai suivi ce lien : https://www.redpill-linpro.com/sysa [...] dates.html

Après, visiblement, il peut lire l'état de la machine et déclencher un reboot au besoin.

Pour "TheForeman", j'ai continué à me renseigner et je crois que je mélange un peu tout, il faut Puppet d'installer (lu ça sur le site off... mais ça parle aussi d'ansible à côté...). De toute façon, c'est un peu trop par rapport à mon besoin de partir là dessus.

Par contre, tu as un cache local pour les autres machines ou elles vont toutes sur le net ?
J'ai vu apt mirror qui pouvait gérer ça...

 
 
 
non, ce serait un salt, puppet, chef ... un outil avec un agent qui sera plus facilement capable de gérer l'état d'un pool de machine, et d'envoyer des évenements (aussi basiques que "salut mon agent vient de se reconnecter au master" )
 
on a des miroirs dans notre infra, mais de toute façon, on a aussi un radomize sur les horaires de déclenchement des updates, pour que toutes les machines ne tirent pas sur les dépots au meme moment

En gros, même pour ce "simple" besoin, il faut mieux passer par Puppet ou Chef qu'Ansible ?

Ou rester sur Ansible + déploiement/conf Unattended ?

 
si l'orchestration n'est pas cruciale, unattended voire unattended + ansible sont suffisants. En tout cas nous on a pas de pb pour gérer les patchs de sécu de cette façon sur la plupart des pf, et pour les autres cas c'est salt.
 
ensuite ça dépend du besoin que tu as en reporting, si des mails te suffisent ou si tu veux un truc centralisé genre dashboard.
La ca se complique parce que des solutions qui existent pour les rhel-like sont pas compatibles avec les debian-like pour la plupart (en tout cas pas gratos)

Non un simple mail me suffit. Mais assez clair, je veux pas devoir chercher dans un fichier de log envoyé par mail...

Le truc, je veux plus me taper les maj des x serveurs... Et je trouve ça dommage de devoir paramétrer les unattented sur chaque serveur un par un... Je préfère avoir une "console" pour gérer tout ça.

Mais Unattended couplé avec Ansible, je pense que ça peut faire le boulot, sans trop de prise de tête

 
oui un role ansible qui te gere les fichiers unattended qui sont dans /etc/apt.conf.d,  tu en fais des templates et tu colles les variables genre mail, type de patch etc. dans des group_vars
tu dois meme avoir des roles tout fait:
 
https://github.com/jnv/ansible-role-unattended-upgrades
 
Reste la gestion des reboots, là encore tu peux dire à unattended de les faire tout seul (risqué sans orchestration), ou tu les fais manuellement par ansible. Par exemple en utilisation de serial = 1 pour le rolling update et le module qui gere les reboot:
 
https://docs.ansible.com/ansible/la [...] batch-size
https://docs.ansible.com/ansible/la [...] odule.html

Ne pas oublier ansible awx pour le dashboard et l'orchestration des taches.
Pas besoin de dépôt local, un simple apt-cacher bien configuré peut suffire.

On en parlait sur l'autre fil aigris mais awx, ça me tente pas des masses, Docker en plus
Par contre, c'est top apt-cacher ! Merci.
 
Merci Scrypt pour les liens, j'en avais déjà parcouru pas mal de ceux là
Par contre, quand tu dis manuellement avec Ansible, tu lances quand même automatiquement le playbook de redémarrage non ?
Si je lance une maj le dimanche par exemple, je programme le redémarrage par Ansible dans la foulée... non ?
(Je vais pas attendre de revenir le lundi ou faire ça à distance )

Certains ici utilisent Spacewalk ??

Passe direct a TheForeman. Spacewalk c'est un peu dépassé.

dites vous avez aussi vim qui merdoie les indentations sur des gros scripts bash ?

EDIT: ah ça merde sous buster mais pas sous stretch !

Je sais pas si c'est exactement ton soucis mains il existe :set paste qui m'a sauvé les fesses 50 fois de l'auto-indent qui partait en sucette

 
Nop spa ça, c'est la fonction d'auto indentation de vim en fonction du langage utilisé. Depuis la première ligne tu fais "=G" et ça indente ton document en entier. Il faut juste filetype indent on
 dans ton vimrc

Qui à un peu d'xp sur k8s ici ?
 
Comment vous gérez vos conf de déploiements, création ?  
 
Je vais avoir 2 cluster (prod et préprod) avec des mini sites, quel est la meilleure solution de gestion pour déployer et mettre à jour les confs (k8s) ?
 
Est ce que je dois me pencher sur des charts helm ?
Est ce qu'il existe des outils/scripts pour nous aider, nous pauvres admins ?
 
Edit : https://kustomize.io/ semble aller dans le sens que je souhaites, des retours la dessus ?
 
++

Oui, quelques serveurs Spacewalk ici (2.6 / 2.9), pour gérer un millier de serveurs RHEL/CentOS/Debian.
 
C'est prévu de tester/migrer vers Foreman, mais on est arrivés à un résultat top avec Spacewalk (en terme de patching complètement automatique, de reporting, etc.)

Quand tu fais passer le Frnog comme Rdv pro intégralement remboursé par la Cogip  

 
C'est mon Taff, bon je gère le cluster, c'est plus les dev qui s'occupe de ça.
Alors mes utilisateurs qui font ça:
- à la main pour ce qui déploie tous les 6 mois  
- la plupart via une CI gitlab
- pas mal sur Helm aussi
- presque pas avec Kustomize pourtant c'est intégré dans kubectl, je trouve ça bien
- les overkill utilise spinnaker  
- les hasbeen jenkins !
 
Sinon j'ai plus de 1xxxx pods sur le cluster ^^

ah putain j'avais oublié ça

 
On est des has been alors, car il y a un jenkins

 
ça fait le Taff, c'est juste pas hype  

Reviens cette année histoire de gagner de nouveau une connerie  

Oh, you remember ?