Re: deploy приложений написанных (например ruby) best practic
On 09/20/2013 04:31 PM, Artem Chuprina wrote: VS Один сервер - один админ ) Как страшно жить... У меня все же есть пара-тройка знакомых, с которыми мы друг другу спокойно даем рута на своих серверах. Ну что сказать? Могу только порадоваться за то, что у вас есть такие хорошия друзья. -- С Уважением, специалист по техническому и программному обеспечению, системный администратор Скубриев Владимир ~~~ Россия, Ростовская область, г. Таганрог тел. моб: +7 (918) 504 38 20 skype: v.skubriev icq: 214-800-502 www: skubriev.ru -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/523fc1c5.9040...@skubriev.ru
Re: deploy приложений написанных (например ruby) best practic
Vladimir Skubriev - Debian-russian@lists.debian.org @ Fri, 20 Sep 2013 12:47:08 +0400: VS Вопрос в связи с этим: VS Это относиться только к приложениям которые рассчитаны на работу из VS userspace или это в принципе best practic у опытных админов ? Не давать приложению рута - это best practice. Не давать его разработчику - зависит от разработчика. Если у разработчика нет скиллов хорошего админа, то лучше не давать, а то такого наворотит, потом не разворотишь. VS apt-get только для установки сервера, остальное ручками - т.е. не из VS стандартных репозиториев принято собирать в серьезных проектах ? А это зависит от того, что именно нужно. Как показывает практика, с ruby лучше иметь конструкцию, в которой у каждого сайта свой набор гемов, конкретных версий (и иногда свой бинарник ruby). Если на одной физической машине хостится несколько сайтов, это критично. Потому как сайт на ruby, даже если сейчас все необходимые пакеты вдруг в стандартном репозитории есть, может не пережить апгрейда системы, если он пользуется системными пакетами. Надо сказать, я в wheezy видел пакет rubygems-integration, который по описанию позволяет bundler'у видеть установленные в системе пакеты, и не ставить то, что уже есть. Но что-то у меня он в какой-то момент, кажется, не сработал... -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/87r4cjamr6@wizzle.ran.pp.ru
Re: deploy приложений написанных (например ruby) best practic
Vladimir Skubriev vladi...@skubriev.ru writes: Нашел на странице: https://groups.google.com/forum/#!topic/ruby-bundler/rZbdcfsg-UY https://groups.google.com/forum/#%21topic/ruby-bundler/rZbdcfsg-UY Joining the list and resurrecting this thread to add my vehement objection to this design decision. Many admins and developers believe it's very bad practice for application deployments to _ever_ touch root. Capistrano and Vlad recipes are often crafted to ensure that everything happens in userspace -- and it's common to set environments up so that developers can push deployments without knowing the root password. Вопрос в связи с этим: Это относиться только к приложениям которые рассчитаны на работу из userspace или это в принципе best practic у опытных админов ? Root-привилегии нужны только при установке, чтобы разложить свои файлы по системным директориям. Если вы разворачиваете ПО не из репозитория Debian, возможно стоит сделать это вручную, если у Вас нет стопроцентного доверия источнику, или же осуществить установку в chroot-окружении. Смысл цитаты в том, полагаю, что если установка кода требует root-привилегий, вполне закономерно, что прользователю хочется, чтобы прежде этот код прошел аудит у кого-нибудь, кому он может более-менее доверять, и был этим человеком подписан. apt-get только для установки сервера, остальное ручками - т.е. не из стандартных репозиториев принято собирать в серьезных проектах ? Собирать что? pgpnOuzb0c_2q.pgp Description: PGP signature
Re: deploy приложений написанных (например ruby) best practic
В руби большой зоопарк разных версий одного и того же gem-а, и достаточно часто нужды разработчиков не совпадают с мнением мэнтейнеров дистрибутива, поэтому последние 2-3 года считается хорошим тоном изолировать подобные окружение либо в контейнеры, либо с помощью rvm. В питоне примерно такая же ситуация. 20 сентября 2013 г., 13:03 пользователь Artem Chuprina r...@ran.pp.ruнаписал: Vladimir Skubriev - Debian-russian@lists.debian.org @ Fri, 20 Sep 2013 12:47:08 +0400: VS Вопрос в связи с этим: VS Это относиться только к приложениям которые рассчитаны на работу из VS userspace или это в принципе best practic у опытных админов ? Не давать приложению рута - это best practice. Не давать его разработчику - зависит от разработчика. Если у разработчика нет скиллов хорошего админа, то лучше не давать, а то такого наворотит, потом не разворотишь. VS apt-get только для установки сервера, остальное ручками - т.е. не из VS стандартных репозиториев принято собирать в серьезных проектах ? А это зависит от того, что именно нужно. Как показывает практика, с ruby лучше иметь конструкцию, в которой у каждого сайта свой набор гемов, конкретных версий (и иногда свой бинарник ruby). Если на одной физической машине хостится несколько сайтов, это критично. Потому как сайт на ruby, даже если сейчас все необходимые пакеты вдруг в стандартном репозитории есть, может не пережить апгрейда системы, если он пользуется системными пакетами. Надо сказать, я в wheezy видел пакет rubygems-integration, который по описанию позволяет bundler'у видеть установленные в системе пакеты, и не ставить то, что уже есть. Но что-то у меня он в какой-то момент, кажется, не сработал... -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/87r4cjamr6@wizzle.ran.pp.ru -- WBR Artem V. Vasiliev
Re: deploy приложений написанных (например ruby) best practic
On 09/20/2013 01:03 PM, Artem Chuprina wrote: Vladimir Skubriev - Debian-russian@lists.debian.org @ Fri, 20 Sep 2013 12:47:08 +0400: VS Вопрос в связи с этим: VS Это относиться только к приложениям которые рассчитаны на работу из VS userspace или это в принципе best practic у опытных админов ? Не давать приложению рута - это best practice. Не давать его разработчику - зависит от разработчика. Если у разработчика нет скиллов хорошего админа, то лучше не давать, а то такого наворотит, потом не разворотишь. Это хороше подмечено. Вообще лучше не кому ни каких прав не давать. Один сервер - один админ ) VS apt-get только для установки сервера, остальное ручками - т.е. не из VS стандартных репозиториев принято собирать в серьезных проектах ? А это зависит от того, что именно нужно. Как показывает практика, с ruby лучше иметь конструкцию, в которой у каждого сайта свой набор гемов, конкретных версий (и иногда свой бинарник ruby). Если на одной физической машине хостится несколько сайтов, это критично. Судя по количеству всяких rake, bundler, gem и версий ruby я это уже начинаю впитывать. Потому как сайт на ruby, даже если сейчас все необходимые пакеты вдруг в стандартном репозитории есть, может не пережить апгрейда системы, если он пользуется системными пакетами. Да пожалуй ruby он такой. Но ведь это же большой плюс. Тем более что есть rvm. И даже chef-rvm ) Надо сказать, я в wheezy видел пакет rubygems-integration, который по описанию позволяет bundler'у видеть установленные в системе пакеты, и не ставить то, что уже есть. Но что-то у меня он в какой-то момент, кажется, не сработал... -- С Уважением, специалист по техническому и программному обеспечению, системный администратор Скубриев Владимир ~~~ Россия, Ростовская область, г. Таганрог тел. моб: +7 (918) 504 38 20 skype: v.skubriev icq: 214-800-502 www: skubriev.ru -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/523c2790.4020...@skubriev.ru
Re: deploy приложений написанных (например ruby) best practic
On 09/20/2013 01:12 PM, Dmitrii Kashin wrote: Vladimir Skubriev vladi...@skubriev.ru writes: Нашел на странице: https://groups.google.com/forum/#!topic/ruby-bundler/rZbdcfsg-UY https://groups.google.com/forum/#%21topic/ruby-bundler/rZbdcfsg-UY Joining the list and resurrecting this thread to add my vehement objection to this design decision. Many admins and developers believe it's very bad practice for application deployments to _ever_ touch root. Capistrano and Vlad recipes are often crafted to ensure that everything happens in userspace -- and it's common to set environments up so that developers can push deployments without knowing the root password. Вопрос в связи с этим: Это относиться только к приложениям которые рассчитаны на работу из userspace или это в принципе best practic у опытных админов ? Root-привилегии нужны только при установке, чтобы разложить свои файлы по системным директориям. Если вы разворачиваете ПО не из репозитория Debian, возможно стоит сделать это вручную, если у Вас нет стопроцентного доверия источнику, или же осуществить установку в chroot-окружении. Смысл цитаты в том, полагаю, что если установка кода требует root-привилегий, вполне закономерно, что прользователю хочется, чтобы прежде этот код прошел аудит у кого-нибудь, кому он может более-менее доверять, и был этим человеком подписан. А теперь понятно в каком смысле. В смысле аудита (доверия к) кода(у). Ну ву целом понятно - любой cgi скрипт да вообще программа - потенциальная проблема для администратора. ) apt-get только для установки сервера, остальное ручками - т.е. не из стандартных репозиториев принято собирать в серьезных проектах ? Собирать что? Ну например rvm + свое приложение + необходимые вещи, ставить их куда нибудь в /home/user | /srv/service и держать все отдельно. Приложение отдельно / система отдельно. Понятно, что это для рубистов очевидные вещи. Что то я и сам уже начинаю отвечать на свой вопрос. Вроде бы очевидная вещь - но хотелось уточнить. -- С Уважением, специалист по техническому и программному обеспечению, системный администратор Скубриев Владимир ~~~ Россия, Ростовская область, г. Таганрог тел. моб: +7 (918) 504 38 20 skype: v.skubriev icq: 214-800-502 www: skubriev.ru -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/523c2885.7040...@skubriev.ru
Re: deploy приложений написанных (например ruby) best practic
Vladimir Skubriev - debian-russian@lists.debian.org @ Fri, 20 Sep 2013 14:46:40 +0400: VS Вопрос в связи с этим: VS Это относиться только к приложениям которые рассчитаны на работу из VS userspace или это в принципе best practic у опытных админов ? Не давать приложению рута - это best practice. Не давать его разработчику - зависит от разработчика. Если у разработчика нет скиллов хорошего админа, то лучше не давать, а то такого наворотит, потом не разворотишь. VS Это хороше подмечено. Вообще лучше не кому ни каких прав не давать. VS Один сервер - один админ ) Как страшно жить... У меня все же есть пара-тройка знакомых, с которыми мы друг другу спокойно даем рута на своих серверах. VS apt-get только для установки сервера, остальное ручками - т.е. не из VS стандартных репозиториев принято собирать в серьезных проектах ? А это зависит от того, что именно нужно. Как показывает практика, с ruby лучше иметь конструкцию, в которой у каждого сайта свой набор гемов, конкретных версий (и иногда свой бинарник ruby). Если на одной физической машине хостится несколько сайтов, это критично. VS Судя по количеству всяких rake, bundler, gem и версий ruby я это уже начинаю VS впитывать. Потому как сайт на ruby, даже если сейчас все необходимые пакеты вдруг в стандартном репозитории есть, может не пережить апгрейда системы, если он пользуется системными пакетами. VS Да пожалуй ruby он такой. Но ведь это же большой плюс. Тем более что есть VS rvm. И даже chef-rvm ) То, что он может не пережить апгрейда системы, это скорее минус. Особенно - если он не переживет апгрейда не своих модулей, а, допустим, СУБД. Которую rvm уже не умеет складывать в тихий уголок. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/87ioxvad3d@wizzle.ran.pp.ru
Re: deploy приложений написанных (например ruby) best practic
Одна из основных бесящих меня в руби вещей - тяжело автоматически установить секьюрити-фиксы так, чтобы ничего нигде не отгнило. А по сабжу - у меня на LAMP-продакшене программисты могут почитать логи приложений и выполнить svn info (да, я устанаваливаю приложения посредством переключения тэгов и прячу .svn) Обновления из debian-security приезжают каждую ночь и за 5 лет такой практики заметных факапов не было. Исключение из правил - БД, которым греться надо. 2013/9/20 Artem Chuprina r...@ran.pp.ru Vladimir Skubriev - debian-russian@lists.debian.org @ Fri, 20 Sep 2013 14:46:40 +0400: VS Вопрос в связи с этим: VS Это относиться только к приложениям которые рассчитаны на работу из VS userspace или это в принципе best practic у опытных админов ? Не давать приложению рута - это best practice. Не давать его разработчику - зависит от разработчика. Если у разработчика нет скиллов хорошего админа, то лучше не давать, а то такого наворотит, потом не разворотишь. VS Это хороше подмечено. Вообще лучше не кому ни каких прав не давать. VS Один сервер - один админ ) Как страшно жить... У меня все же есть пара-тройка знакомых, с которыми мы друг другу спокойно даем рута на своих серверах. VS apt-get только для установки сервера, остальное ручками - т.е. не из VS стандартных репозиториев принято собирать в серьезных проектах ? А это зависит от того, что именно нужно. Как показывает практика, с ruby лучше иметь конструкцию, в которой у каждого сайта свой набор гемов, конкретных версий (и иногда свой бинарник ruby). Если на одной физической машине хостится несколько сайтов, это критично. VS Судя по количеству всяких rake, bundler, gem и версий ruby я это уже начинаю VS впитывать. Потому как сайт на ruby, даже если сейчас все необходимые пакеты вдруг в стандартном репозитории есть, может не пережить апгрейда системы, если он пользуется системными пакетами. VS Да пожалуй ruby он такой. Но ведь это же большой плюс. Тем более что есть VS rvm. И даже chef-rvm ) То, что он может не пережить апгрейда системы, это скорее минус. Особенно - если он не переживет апгрейда не своих модулей, а, допустим, СУБД. Которую rvm уже не умеет складывать в тихий уголок. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/87ioxvad3d@wizzle.ran.pp.ru -- WBR, Bogdan B. Rudas
