openSUSE:基础设施策略
本策略旨在帮助所有相关人员对成功提供 openSUSE 背后的基础设施抱有正确的期望和假设。
openSUSE 基础设施策略
服务器托管在布拉格（捷克共和国）、纽伦堡（德国）或盐湖城（美国）。新的部署主要将在布拉格或盐湖城进行。所有服务器必须符合以下要求。
通用
所有服务器都已注册到 Salt，我们的配置管理解决方案。这负责管理基线配置，以使服务器符合基本要求（参见“基本要求”）。然而，其他要求，尽管部分也由 Salt 管理，但需要操作员积极注意（参见“进一步的要求”）。禁止绕过或覆盖 Salt 应用的配置，并且 Salt Minion 服务必须始终处于运行状态。鼓励操作员使用 Salt 进一步管理其机器上托管的服务的全部配置。所有对 Salt 管理的配置的更改，必须使用 https://gitlab.infra.opensuse.org/infra/salt/ 中的合并请求提出（公共、只读，镜像可以在 https://code.opensuse.org/heroes/salt 和 https://github.com/openSUSE/heroes-salt 上找到）。此仓库的 README 文件中的规则适用。所有对“Salt Git 仓库”的进一步引用均指此仓库。
基本要求
- 基于密码的 shell 登录已禁用，仅允许 SSH 密钥登录。
- 对于相关服务相关的管理组中的用户，可以使用 `sudo` 提升到 root 权限。
- 服务器配置为静态网络配置（IP 地址、DNS 和 NTP 服务器）。
- 服务器配置为使用适当的更新仓库。对于分发更新，应使用内部下载镜像。
- 已启用自动更新
- 对于发布带有补丁信息的更新的分发版，这意味着至少启用自动安全更新。
- 对于发布快照更新的分发版，这意味着自动分发升级。
- 所有机器都响应 ICMP 回显请求（ping）。
- 所有机器都运行一个可运行的监控客户端。
- 所有机器都配置了远程系统日志记录。
进一步的要求
- 应仅允许在边界和主机防火墙中所需的最小连接性。
- 所有可以从互联网访问且在技术上可以访问的公共服务，应托管在指定的反向代理服务器后面。
- Root 和服务密码必须以 PGP 加密的形式存储在密码存储库中 (https://gitlab.infra.opensuse.org/infra/pass)。
- 任何维护 openSUSE 基础设施中的服务器的人员都必须订阅 heroes@lists.opensuse.org 邮件列表。
- 任何维护服务器的人员都必须监控在 https://progress.opensuse.org/projects/opensuse-admin/issues 上直接分配给他们的工单。
- 列为服务器负责人的个人预计在 48 小时内回复电子邮件。
- 建议负责人员在 ircs://irc.opensuse.org/#opensuse-admin 上也能通过 IRC 联系到。
- 负责人员列表（在 Salt 仓库的 pillar/id/<machine domain>.sls 下列出）必须保持最新。
- 这包括在决定不再维护服务时将自己从列表中删除。
- 机器在重新启动后不应需要手动干预。所有服务必须正确自动启动。
- 服务器必须运行受支持的 openSUSE 版本作为其操作系统。
- 软件应优先从官方分发仓库安装，由内部下载镜像提供。无法在所述仓库中找到的软件，应打包并在 OBS 中托管，主要在 openSUSE:infrastructure 或特定于服务的子项目中。仅在 Devel 项目中找到的软件应链接到此类项目。仅接受对解释型软件使用 Devel 项目，该软件需要大型依赖链。不允许使用 Home 项目。
- 通过网络可访问的服务应使用分发提供的强制访问控制系统（最好是 AppArmor，或者 SELinux）进行保护。
- 机器必须注册到 Salt，并且 Salt 提供的配置必须应用。建议将所有进一步的配置存储和管理在 Salt Git 仓库中，并使用 Salt 进行部署。
- 禁止违反任何策略（包括但不限于引入后门）。
- 必须通过任何一种通信渠道讨论例外情况，并在 https://progress.opensuse.org/projects/opensuse-admin/issues 中的工单中达成一致，并给予其他团队成员至少两周的否决时间。接受的例外情况必须链接到 /Exceptions。
- 所有停机（无论是计划的还是非计划的），持续时间超过 10 分钟，必须在 https://status.opensuse.org 上公布。
- 此外，如果预计计划停机持续时间超过 30 分钟，则必须至少提前 12 小时通过电子邮件发送通知 - 发送给 Heroes 邮件列表 (heroes@lists.opensuse.org)，并且，如果停机将影响面向公众的社区服务，则还发送给 Project 邮件列表 (project@lists.opensuse.org)。
结论
添加新服务需要同意本策略，并通过在 https://progress.opensuse.org/projects/opensuse-admin/issues 上打开工单向 openSUSE 基础设施团队提出请求。
违反策略的行为将被记录并升级到 openSUSE 委员会。在紧急或安全情况下，openSUSE 基础设施团队以及 SUSE 保留关闭服务器的权利。列为联系人的人员将收到相应通知。
所有正在运行的服务器可能随时被评估是否符合要求。
如果服务被认为未维护或服务器托管的内容/服务可能不再需要，则记录在案的维护人员（负责人）将联系以寻找解决方案。至少应在两周内收到负责任的服务器的至少一名人员的回复。如果在两周内未收到回复，或者收到回复但未在四周内缓解合规性问题，则服务器将被断开连接或关闭。
通讯
IRC 频道
- #opensuse-admin 在 Libera.Chat 网络上。
问题跟踪器
- https://progress.opensuse.org/projects/opensuse-admin/issues（或者 admin@opensuse.org） - 关于 openSUSE 基础设施的问题报告。
邮件列表
其他通信方式
- 负责联系人列表，如果您遇到特定服务的问题，请联系他们。
- 可以在 此处 找到为 openSUSE 社区提供的服务的列表及其已知状态。
- 可以在 此处 找到有关基础设施的通用新闻的博客。
- 有关与我们个人沟通的方式，请查看我们的 成员 列表。