Ceph-Audit, bezahlt nur bei Befund

curl -fsSL https://precipice.tech/ceph-audit.sh | sudo bash

#!/usr/bin/env bash
# ceph-audit.sh  --  liest den Zustand eines Ceph-Clusters aus.
#
# Nur lesende Befehle. Keine Objektdaten, keine Keyrings, keine Adressen,
# kein Schreibzugriff. Ergebnis ist ein Tar-Archiv im aktuellen Verzeichnis,
# das vor dem Versand vollstaendig durchgesehen werden kann.
#
# Aufruf je Node:
#   curl -fsSL https://precipice.tech/ceph-audit.sh | sudo bash
#
# Lieber erst lesen, dann ausfuehren? Genauso richtig:
#   curl -fsSLO https://precipice.tech/ceph-audit.sh
#   less ceph-audit.sh
#   sudo bash ceph-audit.sh
#
#   --stdout        Archiv nach stdout statt in eine Datei (Abruf ueber Stufe 3)
#
# Das Skript verschickt nichts. Es legt ein Archiv ab, mehr nicht.

set -u
umask 077

STDOUT=0

while [ $# -gt 0 ]; do
  case "$1" in
    --stdout)    STDOUT=1; shift ;;
    -h|--help)   sed -n '2,22p' "$0" 2>/dev/null || true; exit 0 ;;
    *)           printf 'Unbekannte Option: %s\n' "$1" >&2; exit 2 ;;
  esac
done

OUT="precipice-ceph-$(hostname -s)-$(date +%Y%m%d-%H%M)"
mkdir -p "$OUT"
SEC="00-lauf.txt"

run() {                              # jeden Befehl mit seiner Ausgabe ablegen
  printf '\n### %s\n' "$*" >>"$OUT/$SEC"
  if command -v "$1" >/dev/null 2>&1; then
    "$@" >>"$OUT/$SEC" 2>&1 || printf '(Befehl endete mit Fehler %s)\n' "$?" >>"$OUT/$SEC"
  else
    printf '(Befehl nicht vorhanden)\n' >>"$OUT/$SEC"
  fi
}

if command -v ceph >/dev/null 2>&1 && ceph -s >/dev/null 2>&1; then
  SEC="01-cluster.txt"
  run ceph -s
  run ceph health detail
  run ceph versions
  run ceph df detail
  run ceph mon dump
  run ceph quorum_status
  run ceph time-sync-status

  SEC="02-osd.txt"
  run ceph osd tree
  run ceph osd df tree
  run ceph osd perf
  run ceph osd dump
  run ceph osd metadata

  SEC="03-pools-pg.txt"
  run ceph osd pool ls detail
  run ceph osd pool autoscale-status
  run ceph pg stat
  run ceph pg dump summary
  run ceph balancer status

  SEC="04-crush.txt"
  run ceph osd crush rule dump
  run ceph osd crush tree --show-shadow

  SEC="05-config.txt"
  run ceph config dump
  run ceph mgr module ls
  run ceph fs status
fi

SEC="06-host.txt"
run uname -a
run lscpu
run free -m
run lsblk -o NAME,ROTA,SIZE,MODEL,TRAN,MOUNTPOINT
run nvme list
run numactl --hardware
run tuned-adm active
for q in /sys/block/*/queue/scheduler; do
  [ -r "$q" ] && printf '%s: %s\n' "$q" "$(cat "$q")" >>"$OUT/$SEC"
done
run cat /sys/kernel/mm/transparent_hugepage/enabled

SEC="07-netz.txt"                    # Link-Ebene, bewusst ohne IP-Adressen
run ip -d link show
for i in $(ls /sys/class/net | grep -v '^lo$'); do
  run ethtool "$i"
  run ethtool -S "$i"
done
run sysctl net.core.rmem_max net.core.wmem_max net.core.netdev_max_backlog \
    net.ipv4.tcp_rmem net.ipv4.tcp_wmem net.ipv4.tcp_congestion_control

SEC="08-betrieb.txt"
run systemctl list-units --all --no-pager 'ceph*'
run timedatectl
printf '\n### slow requests der OSDs, letzte 7 Tage (nur die Anzahl)\n' >>"$OUT/$SEC"
journalctl -u 'ceph-osd@*' --since '-7 days' --no-pager 2>/dev/null \
  | grep -ci 'slow request' >>"$OUT/$SEC"

# ceph.conf ohne die Schluesselzeilen
if [ -r /etc/ceph/ceph.conf ]; then
  sed -E 's/^([[:space:]]*key[a-z_]*[[:space:]]*=).*/\1 <entfernt>/I' \
      /etc/ceph/ceph.conf >"$OUT/09-ceph.conf.txt"
fi

if [ "$STDOUT" -eq 1 ]; then          # nur fuer den Abruf ueber Stufe 3
  tar czf - "$OUT"
  rm -rf "$OUT"
  exit 0
fi

ARCHIV="$OUT.tar.gz"
tar czf "$ARCHIV" "$OUT" && rm -rf "$OUT"
PFAD="$(cd "$(dirname "$ARCHIV")" && pwd)/$(basename "$ARCHIV")"
GROESSE="$(du -h "$ARCHIV" 2>/dev/null | cut -f1)"
PRUEFSUMME="$(sha256sum "$ARCHIV" 2>/dev/null | cut -c1-64)"

echo
echo "Fertig: $ARCHIV  ($GROESSE)"
echo "Vorher ansehen: tar xzf $ARCHIV && less ${OUT}/*"
[ -n "$PRUEFSUMME" ] && echo "SHA-256: $PRUEFSUMME"
echo
echo "Die Datei bleibt hier liegen, das Skript verschickt nichts:"
echo "  $PFAD"
echo
echo "Schickt sie uns, wenn ihr sie durchgesehen habt. Den Uebergabeweg"
echo "vereinbaren wir mit der Auftragsbestaetigung."

# Anlegen. 'allow r' laesst keinen schreibenden Befehl zu.
ceph auth get-or-create client.precipice-audit \
     mon 'allow r' mgr 'allow r' osd 'allow r'

# Die Ausgabe ist ein Keyring. Uebergabe bitte ueber einen Kanal,
# der nicht das Postfach ist: verschluesseltes Archiv oder Passwort-Safe.

# Nach dem Audit, ein Befehl:
ceph auth del client.precipice-audit

# Kontrolle, was der Nutzer durfte und ob er weg ist:
ceph auth get client.precipice-audit

# 1) Nutzer ohne Passwort, mit Ablaufdatum in 14 Tagen
sudo useradd -m -s /bin/bash precipice-audit
sudo passwd -l precipice-audit
sudo chage -E "$(date -d '+14 days' +%F)" precipice-audit

# 2) Das Skript gehoert root und ist fuer den Nutzer nicht schreibbar.
#    Damit kann der Zugang seinen eigenen Befehl nicht umschreiben.
curl -fsSLO https://precipice.tech/ceph-audit.sh
sudo install -o root -g root -m 0755 \
     ceph-audit.sh /usr/local/sbin/precipice-ceph-audit.sh

# 3) sudo genau fuer diese eine Datei. Kein 'ceph *', kein 'cat'.
printf '%s\n' \
  'precipice-audit ALL=(root) NOPASSWD: /usr/local/sbin/precipice-ceph-audit.sh --stdout' \
  | sudo tee /etc/sudoers.d/precipice-audit >/dev/null
sudo chmod 440 /etc/sudoers.d/precipice-audit
sudo visudo -c

# 4) Unser Schluessel, fest auf genau diesen Aufruf verdrahtet.
#    'restrict' schaltet Portweiterleitung, Agent, X11 und TTY ab.
#    Den vollstaendigen Schluessel bekommt ihr mit der Auftragsbestaetigung,
#    er wird je Kunde neu erzeugt und nach dem Audit vernichtet.
sudo install -d -m 700 -o precipice-audit -g precipice-audit \
     /home/precipice-audit/.ssh
printf '%s %s\n' \
  'restrict,command="/usr/bin/sudo -n /usr/local/sbin/precipice-ceph-audit.sh --stdout"' \
  'ssh-ed25519 AAAA...ERSETZEN... [email protected]' \
  | sudo tee /home/precipice-audit/.ssh/authorized_keys >/dev/null
sudo chown precipice-audit:precipice-audit /home/precipice-audit/.ssh/authorized_keys
sudo chmod 600 /home/precipice-audit/.ssh/authorized_keys

sudo rm -f /etc/sudoers.d/precipice-audit \
           /usr/local/sbin/precipice-ceph-audit.sh
sudo userdel -r precipice-audit