任何傀儡代理都可以从主人那里得到任何傀儡文件吗？

Question

我的 Puppet master 包含一些敏感文件。我希望每个傀儡代理只能访问那些特定代理感兴趣的文件。换句话说：

• puppet 代理是否运行它的目录，然后，当它遇到“文件”或“模板”函数或“源 => 'puppet:///...'”参数时，要求 master 为其提供指定的文件，而主人只是提供它而不检查？这会很糟糕。如果代理受到威胁，它可以向主服务器询问主服务器上的任何文件，甚至是仅用于其他代理的文件。
• 或者主人是否以某种方式检查代理的目录是否真的授权该特定代理获取该特定文件？

我不知道这是否重要，但我正在运行乘客（并且我的所有代理和主机都是 2.7.6 来自挤压反向端口）。

Answer 1

只要该文件仅在一个“节点”中定义，就应该没问题，另一个“节点”无法请求该文件，因为对他来说，该文件不存在。

但是，将“受保护”文件存储在 Puppet 服务器上通常不是一个好主意。

希望这可以帮助！