Distribution EOLE » Modules » Zéphir

Contexte¶

L'application Zéphir devrait avoir un lien logique entre les instances de server et les machines ("minions") appairées avec le processus salt-master.

Il existe plusieurs cinématiques possibles :

• le serveur génère la clé : https://docs.saltstack.com/en/latest/topics/tutorials/walkthrough.html#using-salt-key
• le Zéphir génère la clé : https://docs.saltstack.com/en/latest/topics/tutorials/preseed_key.html

Proposition¶

Statuer sur la procédure d'appairage via Salt d'une machine avec Zéphir puis implémenter la solution retenue.

Possibilité 1 le serveur génère la clé¶

1. L'utilisateur configure sur sa nouvelle machine son "minion" SaltStack et le fait pointer vers la machine Zéphir (ou le salt-master utilisé par Zéphir)
2. Le "minion" envoie sa clé publique au salt-master et attend son approbation
3. Sur le Zéphir, l'utilisateur crée un nouveau server sur Zéphir (avec le bon server-model associé)
4. L'utilisateur "appaire" manuellement son instance server avec une des clés publiques de "minion" en attente d'approbation
5. La machine "minion" est désormais pilotable via le Zéphir

Ce mode de fonctionnement pose la question de l'affichage des demandes d'approbation. Quid du filtrage en fonction des droits d'accès ?

L'étape 4 devrait concentrer la majeure partie du travail de réflexion/développement.-

Possibilité 2 le Zéphir génère la clé¶

1. Sur le Zéphir, l'utilisateur créait un nouveau server sur Zéphir (avec le bon server-model associé)
2. Le service saltmaster réagit à la création de ce nouveau server et créait un paire de clés cryptographiques à destination du minion. La paire de clé est dédiée/liée au server.
3. L'utilisateur récupère cette paire de clés et la déploie manuellement sur la machine avec le minion

Une partie du traitement pourrait être automatisé via un script (comme c'est le cas dans le Zéphir actuel). Cette solution permet de garantir que la personne qui appaire le serveur à vraiment le droit de le faire mais nécessite un ensemble d'action non automatisé par Salt.

Critères d'acceptation¶

• On peut appairer un server sur l'application Zéphir et faire le lien entre un "minion" et un server.