Смотри лучше на choria сразу

смотрю, уже нравится. но для общего развития хочется знать ответ на вопрос )

Choria и есть mco, если что

я видел)

Насколько я помню - для аутентификации клиентов. Мессаги, которые mco в очередь кладёт, могут шифроваться/подписываться (не знаю, обязательно ли). По дефолту они вроде должны совпадать с путями паппета, тогда юзаются те же серты, что для агентов

И Андорка прав, mcollective - это теперь choria, лучше сразу туда смотреть

А mcollective разве не аутдейтед вообще?

node 'server1.example.com' {
 class { '::mcollective':
   middleware_hosts    => [ 'broker1.example.com' ],
   middleware_ssl      => true,
   middleware_ssl_cert => "/var/lib/puppet/ssl/certs/${::clientcert}.pem",
   middleware_ssl_key  => "/var/lib/puppet/ssl/private_keys/${::clientcert}.pem",
   middleware_ssl_ca   => "/var/lib/puppet/ssl/certs/ca.pem",
   securityprovider    => 'ssl',
   ssl_client_certs    => 'puppet:///modules/site_mcollective/client_certs',
   ssl_ca_cert         => 'puppet:///modules/site_mcollective/certs/ca.pem',
   ssl_server_public   => 'puppet:///modules/site_mcollective/certs/server.pem',
   ssl_server_private  => 'puppet:///modules/site_mcollective/private_keys/server.pem',
 }
тут как раз наоборот, а мидлваре вроде по папетскому серту, а ssl скачивается

да

Да, похоже. Давно не брал в руки шашек (я, по секрету, завязал и открыл ресторан). Видимо (но уже не очень уверен, что помню правильно) одни серты для миддлвари, другие - чтоб пейлоад шифровать/подписывать.

так к пайплайну он же (агент паппета) авторизуется своими сертами

а может такое быть , что mcollective на хосте разворачивает свой сервис и ЕМУ нужны серты для авторизации на паппете отдельлно от агента ? тогда вроде пожходит по логике. хотя можно было бы добавитть параметр и он бу искал серты по папетовскому пути из реестра или дефолтные

Может. Для этого разные параметры и сделали, насколько я понимаю

Для миддлвари тоже не обязательно "родные" юзать, удобно просто

Но вообще я б на твоём месте доку почитал, если есть

А в Хории дефолты уже разумные вроде. @Andorka вроде бы где-то её пробовал, не? У меня руки не дошли уже

уже поуши там )) там на английском )) а я его в основном с переводчиком. пока логика в голове не осядет понимаю так себе

а с choria, как я понял, принцип примерно такойже ставим модуль в паппете, он распихивает по хостам и тем же паппетом подкладываем конфиг. ну и брокер разворачиваю.

слушайте, а subscribe как-нить можно опциональным сделать чтоб не городить if else ?

через селектор сделал

  $subscribe = $hasrestart ? {                                                                  
    true    => File[$full_path],                                                                
    default => undef,                                                                           
  }

я думал туда в ключи можно только примитивы отправлять, ну типа стринг, инт и т.п. гавно, оказывается можно вообще всё что угодно вроде как