如何使用 Chef 递归更改目录上的所有者和组？

Question

resource_directory 只有 2 个可用的操作：create 和 delete

我需要递归更新目录的所有者和组。

我该怎么做？

使用简单的resource_execute?

execute "chown-data-www" do
  command "chown -R www-data:www-data /var/www/myfoler"
  user "root"
  action :run
end

Answer 1

您可以将默认操作设置为空，然后将可能搞砸的资源通知烫发修复者：

execute "chown-data-www" do
  command "chown -R www-data:www-data /var/www/myfoler"
  user "root"
  action :nothing
end

resource "that may screw up perms" do
  stuff "one two three"
  notifies :run, execute "chown-data-www"
end

如果父文件夹已经是正确的权限，则可以使用更多选项来执行操作：运行但不是。您可以更改它以包含更深/有问题的文件/目录，或使用类似于this的查找命令

execute "chown-data-www" do
  command "chown -R www-data:www-data /var/www/myfoler"
  user "root"
  action :run
  not_if '[ $(stat -c %U /var/www/myfolder) = "www-data" ]'
end

编辑：修复以反映下面的评论

Answer 2

https://stackoverflow.com/a/28283020/11822923

Answer 满足我的需要，但 grep 命令存在问题，即使用户是 apache2 或 apach，grep 退出代码将是 0，但我需要用户完全是 @987654328 @（CentOS 7.7 上的 Apache Web 服务器用户）。

这是我的食谱：

node["apache"]["sites"].each do |sitename, data|
  document_root = "/content/sites/#{sitename}"

  directory document_root do
    action :create
    mode "0755"
    recursive true
    owner "apache"
    group "apache"
  end

  execute "chown_to_apache_user" do
    command "chown -R apache:apache /content"
    user "root"
    action :run
    not_if '[ $(stat -c %U /content/) = "apache" ]'
  end

  template "/etc/httpd/conf.d/#{sitename}.conf" do
    source "vhost.erb"
    mode "0644"
    variables(
      :document_root => document_root,
      :port => data["port"],
      :domain => data["domain"]
    )
    notifies :restart, "service[httpd]"
  end

end

比较：

P.S.：还要检查group：

node["apache"]["sites"].each do |sitename, data|
  document_root = "/content/sites/#{sitename}"

  directory document_root do
    action :create
    mode "0755"
    recursive true
    owner "apache"
    group "apache"
  end

  execute "chown_to_apache_user" do
    command "chown -R apache:apache /content"
    user "root"
    action :run
    not_if '[ $(stat -c %U /content/) = "apache" ] && [ $(stat -c %G /content/) = "apache" ]'
  end

  template "/etc/httpd/conf.d/#{sitename}.conf" do
    source "vhost.erb"
    mode "0644"
    variables(
      :document_root => document_root,
      :port => data["port"],
      :domain => data["domain"]
    )
    notifies :restart, "service[httpd]"
  end

end

Answer 3

我会使用带有action :create 的普通资源目录。 根据文档：

:create
Default. Create a directory. If a directory already exists (but does not match), update that directory to match

https://docs.chef.io/resource_directory.html

Answer 4

如果这是一次性修复权限，您的最短路径可能只是刀 ssh。 （我只是在自己的搜索中结束后才这样做的。）

knife ssh 'name:*' "sudo chown -R $user:$group /full/path/to/directory"

knife ssh 'name:*' "sudo chmod -R 770 /full/path/to/directory"

如果我从头开始设置，我想我需要设置directory 路径和一行适当的权限（注意：将权限显式应用于路径中的每个父级）

%w[ /foo /foo/bar /foo/bar/baz ].each do |path|
  directory path do
    owner 'root'
    group 'root'
    mode '0755'
  end

然后将每个 file 创建为一个食谱文件。

Answer 5

我们可以编写一个厨师资源，它遍历您的目录层次结构并为它找到的每个文件创建一个文件或目录资源，然后将其设置为管理这些文件的所有者和组。但是，您不会喜欢这样，因为如果您在该目录中有一千个文件，那么您将获得一千个厨师资源，并且您的收敛速度会很慢。

如果你愿意，事实上，你可以推出自己的代码，它的作用类似于我在票证 tickets.opscode.com/browse/CHEF-690 中写的，@name 引用了它，但我不推荐它。

如果您试图防止“篡改”并修复用户和组属性的随机损坏，那么您的解决方案可能是正确的。您将始终在每次厨师收敛时执行该命令，并且资源将始终显示为正在更新，但该命令将尽可能快地运行（chown -R 基本上是收敛和幂等的，因为它在尝试设置权限之前检查权限）。你不会得到关于固定烫发的报告，这是唯一的缺点。

如果您只是尝试在构建服务器时修复一次权限，那么您应该在其中抛出一个 not_if 条件来检查根目录是否具有正确的权限，您不会每次都运行它。这将为您提供幂等行为，并且不会在每次运行时都执行该命令，但不利的一面是，如果该目录结构下的某个文件的权限将来被某人或某事破坏，那么它将不会得到纠正。

这里有一个单一资源的可能用例，其行为类似于 chown -R 然后报告它修复的内容（以及已更改权限的文件数组），这对于 SOX 和 PCI-DSS 报告等情况很有用，但是我们目前不涉及该用例。

tl;dr 是你的解决方案很好，如果你喜欢，你可以添加一个 not_if 保护