使用hiera访问另一个节点的事实

我们要做的是为iptables生成防火墙规则（puppetlabs /防火墙）。 我们的节点如此概念分组：

-- site1 ---- shared1 ------ specific1 ------ specific2 ---- shared2 ------ specific3 ------ specific4 

节点“specific4”将始终需要访问“shared2”上的端口8080和“site1”上的端口10000。 “specific1”同样需要访问“shared1”上的8080。 每个节点的规则总是相同的，但他们将依赖于他们分开的组。

我正在努力寻找一种方法来代表这个没有重复的地域。 是否有可能从一个完全独立的节点获得事实？

我想我想能够做到这样（简化）：

• 木偶系统的木偶sshkey集合
• 木偶，用augeas改变多个属性文件
• 用木偶或厨师模仿面料/ capistrano
• 用puppet或ldappipe理用户？
• 在puppet上更新apt gpg密钥

 -- hosts: host specific4: rules: rule: port: 8080 ip: get_ip(get_my_shared()) 

但显然，你不能从yaml文件中调用函数。 最好的办法是使用自定义事实吗？ 我还没有真正使用hiera，所以我不确定最佳实践，不知道什么。 任何温柔的推动正确的方向将是最感激的。

编辑：

这是我走了的解决scheme，但如果我可以使用导出的资源，我可以删除对puppetdb查询的依赖。

 # helper for creating rules from an array define firewall_rules($port, $service_type) { $source = $name firewall { "$port $service_type $source": proto => 'tcp', dport => $port, state => 'NEW', source => "$source", action => 'accept' } } class profile::specific inherits profile { $site = hiera('site') $shared = hiera('shared') $query = "site=\"$site\" and shared=\"$shared\"" $shared_hosts = query_nodes($query) $specific_port = hiera('specific_ports', '8080') firewall_rules { $shared_hosts: port => $specific_port, service_type => 'SPECIFIC' } } 

然后导出site并基于hiera数据shared事实，并使用puppet-stdlib从主机上的file资源加载它们。

 class profile::facts { $site = hiera('site', 'none') $shared = hiera('shared', 'none') $specific = hiera('specific', 'none') $role = hiera('role', 'none') $grouping = "site=$site\nshared=$shared\nspecific=$specific\nrole=$role" notify { "facts being set: $grouping ": } file { ['/etc/facter/', '/etc/facter/facts.d/']: ensure => directory, owner => 'root', group => 'root' }-> file { '/etc/facter/facts.d/grouping.txt': ensure => file, owner => 'root', group => 'root', mode => '0775', content => $grouping } } 

正如我所说，这工作，但我更喜欢使用导出的资源，如果可能的话。 我遇到的问题是执行导出的资源不能导出自己的IP /主机进行收集。 也许我错过了一些东西，但我不认为这是可能的，因为导出发生在资源被parsing时，而不是当包含资源的节点被实现时。

 define site_firewall ($ipaddr) { firewall { '500 allow site access': chain => 'OUTPUT', destination => $ipaddr, proto => 'tcp', port => 10000, } } 

 @@site_firewall { $hostname: ipaddr => $ipaddress, } 

 sitename: site1 

 Site_firewall <<| name == hiera('sitename', 'default') |>> 

 @@firewall { "500 allow site traffic from ${hostname}": tag => hiera('sitename', 'default-site'), source => $ipaddress, proto => 'tcp', port => 10000, } @@firewall { "500 allow shared traffic from ${hostname}": tag => hiera('sharedname', 'default-shared'), source => $ipaddress, proto => 'tcp', port => 8080, } 

 Firewall <<| tag == $hostname |>> 

 define foo ($bar = $fqdn) { notice($bar) } 

 @@foo { 'title': } 

 Foo <<| |>> 

 @@foo { 'title': bar => $fqdn }