2016/12/30(金)2016-12-30
おめざめ
0930まあじゅんとうな時間かな。ご飯食べて大掃除の続き。と言ってもいまいち昨日ほどのパフォーマンスが出ない。
まあじゅんとうな時間かな。ご飯食べて大掃除の続き。と言ってもいまいち昨日ほどのパフォーマンスが出ない。
2016/12/29(木)2016-12-29
2016/12/29(木)2016-12-29
おめざめ
0808何となくちょっと早いけど目覚めちゃったし。掃除
流石に年末なんで大掃除を始めて見る。まぁリビング位しか掃除しませんけど。取り敢えず
取り敢えず少しすっきりした。明日も引き続き掃除しよう。年賀状
ようやく制作に取りかかる。今年は筆ペンで書道してScan、その画像データをレイアウトして、シャチハタの絵をワンポイント添えて終わり。まずまずの仕上がり。宛名
明日は宛名書きをしなくては。Tacx NEO Smart
自転車のスマートトレーナーを購入。Y'sRoadのクリスマスセールで30％オフとかやってて、それでも通販で買う方が安かったけれど差額が1万円とかまで頑張ってたので、故障したりした際の修理とかに送る送料とか考えたらまあ国内で似たような価格で買えるならそれでいいかな？とか。そもそもWiggleで買ったらコンセントプラグはイギリスのだから変換アダプタも必要になるし、とか考えたらさらに差額は埋まる。設置
早速組み立てて設置。動作確認を行った。ばっちり動作。素晴らしい。ちゃんとZWIFTの坂道で負荷が変わる、これちょっと楽しい。健康ランド
晩ご飯がてらお風呂に入りに健康ランドへ。やばい。超人が居て芋洗い状態。まあくつろげたけれどゆったりしたーって感じは無かった。まぁ仕方ない。2016/12/28(水)2016-12-28
おめざめ
0730シャワって会社行くよおしごと
流石に今日はもう休みにしている人も多くてちょっと少ない。policy.jsonひとまず簡潔
nova deleteコマンドとかを制限したい時はos_compute_api:servers:deleteで大丈夫であった。API叩く何かはすべてos_compute_apiのどれかだと思うので基本的にはこいつらだけ見ておけば良いんじゃ無いかな。CLIで弄るにしてもHorizonで弄るにしてもAPIなんだし。rule側がイマイチ
直接user_idとか指定してたが全然上手くいかない。この辺りはもう少しおっかける必要がありそうだが、取り敢えずruleとしてroleはちゃんと動いていたので何か制限したい時はroleで制御するのが良さそう。定時
流石に今日は定時で離脱。しかし納会とか特になく酒宴に誘われる事も無くとぼとぼ帰る。酒宴
まぁ1人で呑むんですけどね。いつものお店で楽しんで、いつものお店にハシゴして終了。2016/12/27(火)2016-12-27
おめざめ
0620ご飯食べて二度寝して顔洗って会社行くよあっ
ひげそり忘れたおしごと
午前中
部門会議での発表資料の最終修正やら発表前レビューやらで午前中がすべてつぶれた。まぁしかたないね。会議
会議で発表、まずまずの感触だけれどやっぱりお偉いさんには難しすぎる内容でどうしたもんやら。かみ砕いて話していくとすると4倍の時間かかっちゃうし……仕方ないのでまぁ頑張りつつあきらめて。煙に巻く
やや技術用語で煙に巻く感があって嫌なんだけれどね。OpenStack Policy.jsonを読む
今日のメインテーマ。色々ドキュメント漁ったり公式のドキュメント日本語のも英語のも読んだけれどイマイチ考えている通りに動かずもやもやしている。検証環境
Ubuntu14.04.5の上に構築したOpenStack Mitaka版のdevstack検証内容
devstackではadminとdemoのユーザが作られロールも割り当てられる。通常ロールで管理するがなるべく簡単に理解する為にUserIDで検証。他人の作ったVMを消せないように
adminユーザーでnova bootしたVMをdemoユーザで消せないようにしたい。変更内容
/etc/nova/policy.jsonを編集"compute:delete": "user_id:%(user_id)s",compute:delete行をuser_idが一致する時にのみ使える様にする。
検証失敗
demoユーザでadmin userのIDで構築したVMをnova deleteしてみるとあっさり消せる。ぇ～パラメータ違い？
"compute:delete": "!",にすれば誰もこの操作を行えなくなる筈なのにnova delete出来てしまう。あれ？nova deleteってcompute:deleteじゃないって事？もうちょっとがっつり確認が必要そうだ。しかしpolicy.jsonのドキュメント無いのかな。
総当たり
"os_compute_api:servers:delete": "user_id%(target.token.user_id)s",まぁちょっとカンを働かせながら探していったらconsoleから消すのはこれでした。考えたらローカルであってもOS_AUTH_URLを入れてAPI叩いているわけでapi通信だなって分かればも少し解析早かったかも。
そして消す対象はtarget.token.user_idが正しいようだ。
最後に参考にしたURL
http://docs.openstack.org/security-guide/identity/policies.htmlhttp://docs.openstack.org/mitaka/config-reference/policy-json-file.html