Administration von Fachanwendungen

Während der Umstrukturierung unseres Server-Betriebs kam die Frage auf, ob wir das Konzepts von Fachadmins einführen sollten.

Das geht im Wesentlichen in zwei Stufen:

  • Team Sysadmin betreibt die gesamte Infrastruktur, inkl. der Anwendungen, bis sie im Browser angezeigt werden. Alles. was man durch Klicken in der Anwendung machen kann, machen aber stattdessen Fachadmins, d.h. Leute aus dem Projekt, zu dem die Anwendung gehórt
  • Team Sysadmin stellt nur Infrastruktur bis zur Ebene VM bzw. Kubernetes-Cluster bereit. Die Anwendungen, die in Kubernetes laufen, werden in Repos auf EduGit im jeweiligen Projekt konfiguriert und von da deployt

Die erste Stufe sollten wir auf jeden Fall machen; ich habe auch @robert für Discourse und @k1r1ll für EduGit schon entsprechende Rechte gegeben.

Bei Stufe 2 bin ich unsicher. Einerseits würde so klar strukturiert, welche Projekte für welche Dienste verantwortlich sind. Andererseits könnten diese Projekte ihre Dienste dann auch selber kaputt machen.

Wie sehen andere das, insbesondere @tteichler und @ffalk?

Joa, Stufe 1 sehr gerne.

Wenn Stufe 2 brauchbar klappt hab ich da nichts gegen. Der etwas weniger leckere Teil der Geschichte, ist, dass Leute dann einfach Dinge deployen können und damit im Zweifel Ausfälle provozieren. Wir sind mittlerweile soweit, dass wir eine relativ hohe Verfügbarkeit haben, weil de-facto 1½-2 Personen in der Infrastruktur rumeiern, die (meistens) wissen, was sie tun.

Wir sollten da, falls wir das machen, auf jeden Fall einen Review-Workflow in Form von MRs (ich denke es ist klar, dass da niemand direkt deployed…) haben, bei dem nochmal kurz jemand drüber schaut, der Ahnung hat. Das kann dann natürlich auch einfach eine Person aus dem jeweiligen Projekt sein. Bei Sachen die Sicherhheitskritisch sein könnten, könnte dann ja nochmal die Systemadministration befragt werden.

Stufe 1 finde ich super (machen wir ja auch schon). Da müssen wir mal schauen, ob und welchen Koordinatoren da noch Moderator- bzw. Admin-Rechte bekommen sollen. Das würde vorallem Dinge stark vereinfachen. So à la kurzer Dienstweg und Entlastung.

Bei Stufe 2 müsste man es dann nur so einrichten, dass man da unter normalen Umständen gar nicht sofort reinpushen kann. Desweiten müssten dann (wenn das Projekt selbst die MRs absegnen soll) zumindest Einführungen in die ganzen Dienste stattfinden. (wie die funktionieren und no gos un so)

Es gibt ein kleines (großes) Problem dabei. Admins in Discourse können ALLE private Nachrichten (gesendet und erhalten) einsehen. Und das wird nichtmal geloggt