Ресурс windows_firewall_profile

Редактировать эту страницу в репозитории Chef

Страница справки по ресурсам

Используйте ресурс windows_firewall_profile для включения, выключения и настройки брандмауэра Windows.

Новое в Chef Infra Client 16.3.

Синтаксис

Полный синтаксис всех свойств, доступных для ресурса windows_firewall_profile:

windows_firewall_profile 'name' do
  allow_inbound_rules             true, false, String
  allow_local_firewall_rules      true, false, String
  allow_local_ipsec_rules         true, false, String
  allow_unicast_response          true, false, String
  allow_user_apps                 true, false, String
  allow_user_ports                true, false, String
  default_inbound_action          String
  default_outbound_action         String
  display_notification            true, false, String
  profile                         String # default value: 'name' unless specified
  action                          Symbol # defaults to :enable if not specified
end

где:

• windows_firewall_profile — это ресурс.
• name — имя, заданное для блока ресурса.
• action определяет, какие действия Chef Infra Client предпримет для приведения узла в желаемое состояние.
• allow_inbound_rules, allow_local_firewall_rules, allow_local_ipsec_rules, allow_unicast_response, allow_user_apps, allow_user_ports, default_inbound_action, default_outbound_action, display_notification, и profile — доступные свойства этого ресурса.

Действия

Ресурс windows_firewall_profile имеет следующие действия:

:disable

Отключить профиль брандмауэра Windows

:enable

Включить и, при необходимости, настроить профиль брандмауэра Windows

:nothing

Этот блок ресурса не действует, пока не будет уведомлен другим ресурсом о выполнении действия. После уведомления этот блок ресурса либо выполняется немедленно, либо помещается в очередь для выполнения в конце выполнения Chef Infra Client.

Свойства

Ресурс windows_firewall_profile имеет следующие свойства:

allow_inbound_rules

Тип в Ruby: true, false, StringДопустимые значения: true, false, "NotConfigured"

Разрешить пользователям устанавливать правила входного брандмауэра

allow_local_firewall_rules

Тип в Ruby: true, false, StringДопустимые значения: true, false, "NotConfigured"

Объединяет правила входного брандмауэра в политику

allow_local_ipsec_rules

Тип в Ruby: true, false, StringДопустимые значения: true, false, "NotConfigured"

Разрешить пользователям управлять правилами безопасности локальных подключений

allow_unicast_response

Тип в Ruby: true, false, StringДопустимые значения: true, false, "NotConfigured"

Разрешить одноадресные ответы на многоадресные и широковещательные сообщения

allow_user_apps

Тип в Ruby: true, false, StringДопустимые значения: true, false, "NotConfigured"

Разрешить приложениям пользователей управлять брандмауэром

allow_user_ports

Тип в Ruby: true, false, StringДопустимые значения: true, false, "NotConfigured"

Разрешить пользователям управлять правилами портов брандмауэра

default_inbound_action

Тип в Ruby: StringДопустимые значения: "Allow", "Block", "NotConfigured"

Установить политику по умолчанию для входного сетевого трафика

default_outbound_action

Тип в Ruby: StringДопустимые значения: "Allow", "Block", "NotConfigured"

Установить политику по умолчанию для исходящего сетевого трафика

display_notification

Тип в Ruby: true, false, StringДопустимые значения: true, false, "NotConfigured"

Отображать уведомление, когда брандмауэр блокирует определенную активность

profile

Тип в Ruby: String | Значение по умолчанию: The resource block's nameДопустимые значения: "Domain", "Private", "Public"

Установить профиль Windows, который настраивается

Общие функциональные возможности ресурсов

Ресурсы Chef включают общие свойства, уведомления и защитные механизмы ресурсов.

Общие свойства

Следующие свойства общие для каждого ресурса:

compile_time

Тип в Ruby: true, false | Значение по умолчанию: false

Управление фазой, в которой ресурс выполняется на узле. Установите в значение true, чтобы выполнить ресурс во время построения коллекции ресурсов (compile phase). Установите в значение false, чтобы выполнить ресурс во время настройки узла Chef Infra Client (converge phase).

ignore_failure

Тип в Ruby: true, false, :quiet | Значение по умолчанию: false

Продолжить выполнение рецепта, если ресурс завершится ошибкой по любой причине. :quiet не будет отображать полный трассировочный журнал ошибок, и рецепт продолжит выполняться, если ресурс завершится ошибкой.

retries

Тип в Ruby: Целое число | Значение по умолчанию: 0

Количество попыток перехватить исключения и повторить выполнение ресурса.

retry_delay

Тип в Ruby: Целое число | Значение по умолчанию: 2

Задержка повторной попытки (в секундах).

sensitive

Тип в Ruby: true, false | Значение по умолчанию: false

Обеспечить, чтобы конфиденциальные данные ресурса не регистрировались Chef InfraClient.

Уведомления

notifies

Тип в Ruby: Символ, 'Chef::Resource[String]'

Ресурс может уведомить другой ресурс о выполнении действия при изменении его состояния. Укажите 'resource[name]', :action которое этот ресурс должен выполнить, и :timer для этого действия. Ресурс может уведомить несколько ресурсов; для каждого ресурса, который необходимо уведомить, используйте оператор notifies.

Если указанный ресурс не существует, возникает ошибка. В отличие от этого, subscribes не завершится ошибкой, если исходный ресурс не найден.

Таймер указывает момент во время выполнения Chef Infra Client, в котором выполняется уведомление. Доступны следующие таймеры:

:before

Указывает, что действие с уведомленным ресурсом должно выполняться до обработки блока ресурса, в котором расположено уведомление.

:delayed

По умолчанию. Указывает, что уведомление должно быть помещено в очередь и выполнено в конце выполнения Chef Infra Client.

:immediate, :immediately

Указывает, что уведомление должно быть выполнено немедленно, для каждого уведомленного ресурса.

Синтаксис notifies:

notifies :action, 'resource[name]', :timer

subscribes

Тип в Ruby: Символ, 'Chef::Resource[String]'

Ресурс может следить за другим ресурсом и выполнять действие, если состояние отслеживаемого ресурса изменится. Укажите 'resource[name]', :action действие, которое должно быть выполнено, и :timer для этого действия.

Обратите внимание, что subscribes не применяет указанное действие к ресурсу, за которым он следит — например:

file '/etc/nginx/ssl/example.crt' do
  mode '0600'
  owner 'root'
end

service 'nginx' do
  subscribes :reload, 'file[/etc/nginx/ssl/example.crt]', :immediately
end

В этом случае свойство subscribes перезагружает службу nginx всякий раз, когда файл сертификата, расположенный в /etc/nginx/ssl/example.crt, обновляется. subscribes не вносит никаких изменений в сам файл сертификата, а просто следит за изменениями в файле и выполняет действие :reload для своего ресурса (в данном случае nginx) при обнаружении изменений.

Если другой ресурс не существует, подписка не приведет к ошибке. Это отличается от более строгой семантики notifies, которая вызовет ошибку, если другой ресурс не существует.

Таймер указывает момент во время выполнения Chef Infra Client, в котором выполняется уведомление. Доступны следующие таймеры:

:before

Указывает, что действие с уведомленным ресурсом должно выполняться до обработки блока ресурса, в котором расположено уведомление.

:delayed

По умолчанию. Указывает, что уведомление должно быть помещено в очередь и выполнено в конце выполнения Chef Infra Client.

:immediate, :immediately

Указывает, что уведомление должно быть выполнено немедленно, для каждого уведомленного ресурса.

Синтаксис subscribes:

subscribes :action, 'resource[name]', :timer

Защитные механизмы

Свойство защитного механизма может использоваться для оценки состояния узла во время фазы выполнения Chef Infra Client. Основываясь на результатах этой оценки, свойство защитного механизма затем используется для указания Chef Infra Client, следует ли продолжать выполнение ресурса. Свойство защитного механизма принимает либо строковое значение, либо значение блока Ruby:

• Строка выполняется как командная строка. Если команда возвращает 0, защитный механизм применяется. Если команда возвращает любое другое значение, то свойство защитного механизма не применяется. Строковые защитные механизмы в powershell_script выполняют команды Windows PowerShell и могут возвращать true помимо 0.
• Блок выполняется как код Ruby, который должен вернуть либо true, либо false. Если блок возвращает true, свойство защитного механизма применяется. Если блок возвращает false, свойство защитного механизма не применяется.

Свойство защитного механизма полезно для обеспечения идемпотентности ресурса, позволяя этому ресурсу проверить желаемое состояние по мере выполнения, а затем, если желаемое состояние присутствует, Chef Infra Client ничего не делает.

Следующие свойства могут использоваться для определения защитного механизма, который оценивается во время фазы выполнения Chef Infra Client:

not_if

Запретить выполнение ресурса, когда условие возвращает true.

only_if

Разрешить выполнение ресурса только в том случае, если условие возвращает true.

Примеры

Следующие примеры демонстрируют различные подходы к использованию ресурса windows_firewall_profile в рецептах:

Включение и настройка частного профиля профиля Windows:

windows_firewall_profile 'Private' do
  default_inbound_action 'Block'
  default_outbound_action 'Allow'
  allow_inbound_rules true
  display_notification false
  action :enable
end

Включение и настройка публичного профиля брандмауэра Windows:

windows_firewall_profile 'Public' do
  default_inbound_action 'Block'
  default_outbound_action 'Allow'
  allow_inbound_rules false
  display_notification false
  action :enable
end

Отключить профиль домена брандмауэра Windows:

windows_firewall_profile 'Disable the Domain Profile of the Windows Firewall' do
  profile 'Domain'
  action :disable
end