No edit summary |
m (linkfix) |
||
| (5 intermediate revisions by 3 users not shown) | |||
| Line 1: | Line 1: | ||
Diese Seite beschreibt Dinge, die für alle Chaosdorf-Systeme gelten. | Diese Seite beschreibt Dinge, die für alle Chaosdorf-Systeme gelten. | ||
= Betriebssystem = | == Betriebssystem == | ||
Als Betriebssystem kommt Debian GNU/Linux zum Einsatz. Das jeweils | Als Betriebssystem kommt Debian GNU/Linux zum Einsatz. Das jeweils | ||
| Line 7: | Line 7: | ||
sein. | sein. | ||
= Login = | == Login == | ||
Die Administration erfolgt über SSH mit Login direkt als root. sudo oder su | Die Administration erfolgt über SSH mit Login direkt als root. sudo oder su | ||
| Line 25: | Line 25: | ||
Hostbeschreibung sollte das jeweils spezifieren. | Hostbeschreibung sollte das jeweils spezifieren. | ||
= Kommunikation (IRC, Mail) = | == Kommunikation (IRC, Mail) == | ||
Die [[Communication|Kommunikation]] läuft derzeit über eine | Die [[Communication|Kommunikation]] läuft derzeit über eine Matrix-Gruppe. | ||
Dort sollten Veränderungen am System besprochen oder zumindest erwähnt werden. | Dort sollten Veränderungen am System besprochen oder zumindest erwähnt werden. | ||
| Line 33: | Line 33: | ||
Mitglied des Adminteams sollte auf dieser Mailingliste eingetragen sein. | Mitglied des Adminteams sollte auf dieser Mailingliste eingetragen sein. | ||
= chaosdorf-admin-toolkit = | == chaosdorf-admin-toolkit == | ||
Diverse zusätzliche Sachen (z.B. Nagioschecks) werden über das | Diverse zusätzliche Sachen (z.B. Nagioschecks) werden über das [[Admin-Toolkit]] | ||
[ | |||
verwaltet. Ein Debianpaket aus einer "releaseten" Version (korrekter | verwaltet. Ein Debianpaket aus einer "releaseten" Version (korrekter | ||
Changelog und so) kann ganz normal mit git-buildpackage gebaut werden; für | Changelog und so) kann ganz normal mit git-buildpackage gebaut werden; für | ||
mal eben schnell was Bauen zum Testen am besten git-buildpackage | mal eben schnell was Bauen zum Testen am besten <code>git-buildpackage | ||
--git-export=WC --git-ignore-new -us -uc benutzen. | --git-export=WC --git-ignore-new -us -uc</code> benutzen. | ||
Das resultierende Debian-Paket wird dann auf allen Hosts installiert, dabei | Das resultierende Debian-Paket wird dann auf allen Hosts installiert, dabei | ||
ggf. die etckeeper-Hooks manuell ausführen. | ggf. die etckeeper-Hooks manuell ausführen. | ||
= /etc = | == /etc == | ||
Zur Nachverfolgung der Änderungen wird /etc in Git mit Hilfe des Werkzeugs | Zur Nachverfolgung der Änderungen wird /etc in Git mit Hilfe des Werkzeugs | ||
| Line 54: | Line 53: | ||
/etc die Installation oder Entfernung von Paketen unterbindet. | /etc die Installation oder Entfernung von Paketen unterbindet. | ||
= /usr/local = | == /usr/local == | ||
Dieses Verzeichnis wird nicht vom Paketsystem kontrolliert, daher verwenden wir | Dieses Verzeichnis wird nicht vom Paketsystem kontrolliert, daher verwenden wir | ||
| Line 61: | Line 60: | ||
Debian-Pakete. | Debian-Pakete. | ||
= Adminlog = | == Adminlog == | ||
Auf intern befindet sich das [https://intern.chaosdorf.de/admin/log/ adminlog]. | Auf intern befindet sich das [https://wiki.intern.chaosdorf.de/admin/log/ adminlog]. | ||
Dort sind sämtliche, | Dort sind sämtliche, | ||
auch marginale, Veränderungen auf den Hosts zu vermerken. Es empfiehlt sich, | auch marginale, Veränderungen auf den Hosts zu vermerken. Es empfiehlt sich, | ||
diese auch im IRC-Channel anzusagen. | diese auch im IRC-Channel anzusagen. | ||
= Icinga = | == Icinga == | ||
Alle Systeme werden von [https://monitoring.finalrewind.org/ derfs Icinga] | Alle Systeme werden von [https://monitoring.finalrewind.org/ derfs Icinga] | ||
| Line 78: | Line 77: | ||
gibt's Alarm. | gibt's Alarm. | ||
== Checks manuell ausführen == | === Checks manuell ausführen === | ||
sh -x /usr/lib/nagios/run_checks 60 | sh -x /usr/lib/nagios/run_checks 60 | ||
führt sämtliche Checks aus. Das Skript wartet dabei (da es eigentlich per cron läuft) bis zu 60 Sekunden. | führt sämtliche Checks aus. Das Skript wartet dabei (da es eigentlich per cron läuft) bis zu 60 Sekunden. | ||
= Wartungsfenster = | == Wartungsfenster == | ||
Das Wartungsfenster für alle Systeme ist Sonntags, jeweils von 21:00 bis 22:00. | Das Wartungsfenster für alle Systeme ist Sonntags, jeweils von 21:00 bis 22:00. | ||
Latest revision as of 12:43, 27 July 2025
Diese Seite beschreibt Dinge, die für alle Chaosdorf-Systeme gelten.
Betriebssystem[edit | edit source]
Als Betriebssystem kommt Debian GNU/Linux zum Einsatz. Das jeweils installierte Release sollte bei den Beschreibungen der Hosts vermerkt sein.
Login[edit | edit source]
Die Administration erfolgt über SSH mit Login direkt als root. sudo oder su werden nicht verwendet. Die SSH-Keys aller Mitglieder des Teams sollten auf allen Systemen vorhanden sein. Zu beachten ist, dass auf mehreren Systemen, die Keys nicht in /root/.ssh/authorized_keys sondern in /var/cache/ssh/root zu finden sind. Die Beschreibung der Systeme sollte in jedem Fall die genaue Pfadangabe angeben.
su (zu root) ist auf allen Systemen deaktiviert, damit selbst bei Kenntnis des Root-Passworts kein Login ohne SSH-Key möglich ist. Um das zu erreichen ist pam_wheel.so in /etc/pam.d/su aktiviert. Die Gruppe wheel existiert auf Debian standardmäßig nicht, damit hat sie auch keine Mitglieder ;-)
Auf einigen Hosts wird PAM für SSH-Login nicht benötigt, daher haben wir es deaktiviert, um Fuckup durch Konfigurationsfehler in PAM zu vermeiden. Die Hostbeschreibung sollte das jeweils spezifieren.
Kommunikation (IRC, Mail)[edit | edit source]
Die Kommunikation läuft derzeit über eine Matrix-Gruppe. Dort sollten Veränderungen am System besprochen oder zumindest erwähnt werden.
Die Mitglieder richten Anfragen an die Adresse <admin@chaosdorf.de>. Jedes Mitglied des Adminteams sollte auf dieser Mailingliste eingetragen sein.
chaosdorf-admin-toolkit[edit | edit source]
Diverse zusätzliche Sachen (z.B. Nagioschecks) werden über das Admin-Toolkit
verwaltet. Ein Debianpaket aus einer "releaseten" Version (korrekter
Changelog und so) kann ganz normal mit git-buildpackage gebaut werden; für
mal eben schnell was Bauen zum Testen am besten git-buildpackage
--git-export=WC --git-ignore-new -us -uc benutzen.
Das resultierende Debian-Paket wird dann auf allen Hosts installiert, dabei ggf. die etckeeper-Hooks manuell ausführen.
/etc[edit | edit source]
Zur Nachverfolgung der Änderungen wird /etc in Git mit Hilfe des Werkzeugs etckeeper verwaltet. D.h. jede geänderte Datei in diesem Verzeichnis muss als Commit mit einer passenden Commitnachricht festgehalten werden.
etckeeper ist bei uns so konfiguriert, dass es bei uncomitteten Änderungen in /etc die Installation oder Entfernung von Paketen unterbindet.
/usr/local[edit | edit source]
Dieses Verzeichnis wird nicht vom Paketsystem kontrolliert, daher verwenden wir hier ebenfalls Git um Änderungen festzuhalten. Bitte vermeidet aber die Verwendung dieses Verzeichnisses und bevorzugt die Installation über Debian-Pakete.
Adminlog[edit | edit source]
Auf intern befindet sich das adminlog. Dort sind sämtliche, auch marginale, Veränderungen auf den Hosts zu vermerken. Es empfiehlt sich, diese auch im IRC-Channel anzusagen.
Icinga[edit | edit source]
Alle Systeme werden von derfs Icinga überwacht.
Die Checks werden per cron lokal ausgeführt, siehe das Verzeichnis nagios-passive im Admin-Toolkit. Sie sind im Icinga entsprechend als passive checks konfiguriert; wenn sie über 20 Minuten nicht aktualisiert wurden, gibt's Alarm.
Checks manuell ausführen[edit | edit source]
sh -x /usr/lib/nagios/run_checks 60
führt sämtliche Checks aus. Das Skript wartet dabei (da es eigentlich per cron läuft) bis zu 60 Sekunden.
Wartungsfenster[edit | edit source]
Das Wartungsfenster für alle Systeme ist Sonntags, jeweils von 21:00 bis 22:00. Reboots werden natürlich trotzdem angekündigt.
Nach einem Reboot sammeln sich aus bisher unerfindlichen Gründen auf vm sshd-Zombieprozesse; daher bitte manuell dort einloggen und SSH restarten.