Добрый день! Мы используем AnsibleAWX , но в предстоящем будущем нам на предприятии, возможно, запретят использовать OpenSource, а только то, что в госреестре или хотя бы присутствует пакетами в окологосударственных репах, соответственно, перейти на феншуйную строку. Сам ансибл кое-где есть.
При этом оболочка AWX предоставляла разграничение прав на выполнение плейбуков или их flow через гибко настраиваемые роли пользователей.
Отсюда возник вопрос, как разграничить права на выполнение того или иного плейбука/flow, чтобы рядовые админы могли в своих пределах возможного выполнять определенные операции и при этом не видеть содержимого самих плейбуков или тех, которые им не полагается видеть и редактировать. Например, создана цепочка из плейбуков для операций ввода хостов из определенной группы в домен, в AWX они ее могут выполнять, при этом сами плейбуки им не видны.
Возможно ли это в командной строке?
Например, если разграничить доступ с помощью системой безопасности линукс, и написать плейбук, импортирующий другие плейбуки, которые размещены в «запретном» для непривилегированного пользователя каталоге. Боюсь, это не прокатит, да и сам «ансибл.экзе» )) тоже ему должен быть доступен.
