Ресурс windows_firewall_profile

Редактировать эту страницу в репозитории Chef

Все страницы ресурсов Infra

Используйте ресурс windows_firewall_profile для включения, отключения и настройки брандмауэра Windows.

Новое в Chef Infra Client 16.3.

Синтаксис

Полный синтаксис всех свойств, доступных для ресурса windows_firewall_profile:

windows_firewall_profile 'name' do
  allow_inbound_rules             true, false, String
  allow_local_firewall_rules      true, false, String
  allow_local_ipsec_rules         true, false, String
  allow_unicast_response          true, false, String
  allow_user_apps                 true, false, String
  allow_user_ports                true, false, String
  default_inbound_action          String
  default_outbound_action         String
  display_notification            true, false, String
  profile                         String # default value: 'name' unless specified
  action                          Symbol # defaults to :enable if not specified
end

где:

• windows_firewall_profile — это ресурс.
• name — это имя, заданное для блока ресурса.
• action определяет, какие шаги выполнит Chef Infra Client для приведения узла к желаемому состоянию.
• allow_inbound_rules, allow_local_firewall_rules, allow_local_ipsec_rules, allow_unicast_response, allow_user_apps, allow_user_ports, default_inbound_action, default_outbound_action, display_notification, и profile — доступные свойства этого ресурса.

Действия

Ресурс windows_firewall_profile имеет следующие действия:

:disable

Отключить профиль брандмауэра Windows.

:enable

Включить и (по желанию) настроить профиль брандмауэра Windows. (по умолчанию)

:nothing

Этот блок ресурса не действует, пока не получит уведомление от другого ресурса о необходимости выполнить действие. После получения уведомления этот блок ресурса либо выполняется немедленно, либо помещается в очередь для выполнения в конце выполнения Chef Infra Client.

Свойства

Ресурс windows_firewall_profile имеет следующие свойства:

allow_inbound_rules

Тип Ruby: true, false, String Разрешённые значения: true, false, "NotConfigured"

Разрешить пользователям устанавливать правила входящего брандмауэра

allow_local_firewall_rules

Тип Ruby: true, false, String Разрешённые значения: true, false, "NotConfigured"

Объединяет правила входящего брандмауэра в политику

allow_local_ipsec_rules

Тип Ruby: true, false, String Разрешённые значения: true, false, "NotConfigured"

Разрешить пользователям управлять правилами безопасности локального подключения

allow_unicast_response

Тип Ruby: true, false, String Разрешённые значения: true, false, "NotConfigured"

Разрешить одноадресные ответы на многоадресные и широковещательные сообщения

allow_user_apps

Тип Ruby: true, false, String Разрешённые значения: true, false, "NotConfigured"

Разрешить пользовательским приложениям управлять брандмауэром

allow_user_ports

Тип Ruby: true, false, String Разрешённые значения: true, false, "NotConfigured"

Разрешить пользователям управлять правилами портов брандмауэра

default_inbound_action

Тип Ruby: String Разрешённые значения: "Allow", "Block", "NotConfigured"

Установить политику по умолчанию для входящего сетевого трафика

default_outbound_action

Тип Ruby: String Разрешённые значения: "Allow", "Block", "NotConfigured"

Установить политику по умолчанию для исходящего сетевого трафика

display_notification

Тип Ruby: true, false, String Разрешённые значения: true, false, "NotConfigured"

Отображать уведомление, когда брандмауэр блокирует определенную активность

profile

Тип Ruby: String | Значение по умолчанию: The resource block's name Разрешённые значения: "Domain", "Private", "Public"

Установить профиль Windows, который настраивается

Общие функциональные возможности ресурсов

Ресурсы Chef включают общие свойства, уведомления и блокировки ресурсов.

Общие свойства

Следующие свойства являются общими для всех ресурсов:

compile_time

Тип Ruby: true, false | Значение по умолчанию: false

Управляет фазой, в которой ресурс выполняется на узле. Установите в значение true, чтобы запустить его во время построения коллекции ресурсов (фаза compile phase). Установите в значение false, чтобы запустить его во время настройки узла Chef Infra Client (фаза converge phase).

ignore_failure

Тип Ruby: true, false, :quiet | Значение по умолчанию: false

Продолжить выполнение рецепта, если ресурс завершится неудачно по любой причине. :quiet не будет отображать полный стек вызовов, и рецепт продолжит выполнение, если ресурс завершится неудачно.

retries

Тип Ruby: Целое число | Значение по умолчанию: 0

Количество попыток перехватить исключения и повторить ресурс.

retry_delay

Тип Ruby: Целое число | Значение по умолчанию: 2

Задержка в секундах между попытками повтора.

sensitive

Тип Ruby: true, false | Значение по умолчанию: false

Убедиться, что конфиденциальные данные ресурсов не регистрируются Chef Infra Client.

Уведомления

notifies

Тип Ruby: Символ, 'Chef::Resource[String]'

Ресурс может уведомить другой ресурс о необходимости выполнить действие при изменении его состояния. Укажите 'resource[name]', :action действия, которое должен выполнить ресурс, и :timer этого действия. Ресурс может уведомлять несколько ресурсов; используйте notifies инструкции для каждого уведомляемого ресурса.

Если указанный ресурс не существует, возникает ошибка. В отличие от subscribes, который не потерпит неудачу, если исходный ресурс не найден.

Таймер указывает момент во время выполнения Chef Infra Client, в который выполняется уведомление. Доступны следующие таймеры:

:before

Указывает, что действие над уведомленным ресурсом должно быть выполнено до обработки блока ресурса, в котором находится уведомление.

:delayed

По умолчанию. Указывает, что уведомление должно быть помещено в очередь и выполнено в конце выполнения Chef Infra Client.

:immediate, :immediately

Указывает, что уведомление должно быть выполнено немедленно, для каждого уведомленного ресурса.

Синтаксис для notifies:

notifies :action, 'resource[name]', :timer

subscribes

Тип Ruby: Символ, 'Chef::Resource[String]'

Ресурс может следить за другим ресурсом и выполнять действие, если состояние отслеживаемого ресурса изменится. Укажите 'resource[name]', действие :action, а затем :timer этого действия.

Обратите внимание, что subscribes не применяет указанное действие к ресурсу, за которым он следит, например:

file '/etc/nginx/ssl/example.crt' do
  mode '0600'
  owner 'root'
end

service 'nginx' do
  subscribes :reload, 'file[/etc/nginx/ssl/example.crt]', :immediately
end

В этом случае свойство subscribes перезагружает службу nginx всякий раз, когда файл сертификата, расположенный по пути /etc/nginx/ssl/example.crt, обновляется. subscribes не вносит никаких изменений в сам файл сертификата, а просто следит за изменениями в файле и выполняет действие :reload для своего ресурса (в данном случае nginx) при обнаружении изменений.

Если другой ресурс не существует, подписка не сгенерирует ошибку. В отличие от более строгих семантик notifies, которые вызовут ошибку, если другой ресурс не существует.

Таймер указывает момент во время выполнения Chef Infra Client, в который выполняется уведомление. Доступны следующие таймеры:

:before

Указывает, что действие над уведомленным ресурсом должно быть выполнено до обработки блока ресурса, в котором находится уведомление.

:delayed

По умолчанию. Указывает, что уведомление должно быть помещено в очередь и выполнено в конце выполнения Chef Infra Client.

:immediate, :immediately

Указывает, что уведомление должно быть выполнено немедленно, для каждого уведомленного ресурса.

Синтаксис для subscribes:

subscribes :action, 'resource[name]', :timer

Блокировки

Свойство блокировки может использоваться для оценки состояния узла во время фазы выполнения Chef Infra Client. На основании результатов этой оценки свойство блокировки сообщает Chef Infra Client, следует ли продолжать выполнение ресурса. Свойство блокировки принимает либо строковое значение, либо значение блока Ruby:

• Строка выполняется как командная строка. Если команда возвращает 0, блокировка применяется. Если команда возвращает любое другое значение, свойство блокировки не применяется. Строковые блокировки в powershell_script выполняют команды Windows PowerShell и могут возвращать true помимо 0.
• Блок выполняется как код Ruby, который должен вернуть true или false. Если блок возвращает true, свойство блокировки применяется. Если блок возвращает false, свойство блокировки не применяется.

Свойство блокировки полезно для обеспечения идемпотентности ресурса, позволяя этому ресурсу проверять желаемое состояние по мере его выполнения, а затем, если желаемое состояние присутствует, Chef Infra Client ничего не делает.

Следующие свойства могут использоваться для определения блокировки, которая оценивается во время фазы выполнения Chef Infra Client:

not_if

Запретить выполнение ресурса, когда условие возвращает true.

only_if

Разрешить выполнение ресурса только в том случае, если условие возвращает true.

Примеры

В следующих примерах показаны различные подходы к использованию ресурса windows_firewall_profile в рецептах:

Включение и настройка частного профиля профиля Windows:

windows_firewall_profile 'Private' do
  default_inbound_action 'Block'
  default_outbound_action 'Allow'
  allow_inbound_rules true
  display_notification false
  action :enable
end

Включить и настроить общедоступный профиль брандмауэра Windows:

windows_firewall_profile 'Public' do
  default_inbound_action 'Block'
  default_outbound_action 'Allow'
  allow_inbound_rules false
  display_notification false
  action :enable
end

Отключить доменной профиль брандмауэра Windows:

windows_firewall_profile 'Disable the Domain Profile of the Windows Firewall' do
  profile 'Domain'
  action :disable
end