Por que o exec da minha classe Puppet chama, mesmo se o trigger de assinatura não for correspondido?

Question

Anexado abaixo está um módulo de fantoche que eu escrevi, que empurra a configuração do iptables para nossos balanceadores de carga. Funciona, exceto que o script "so-bans-apply" é executado em todas as execuções de fantoches, independentemente de os próprios Serviços realmente terem uma atualização. Minha pergunta é por que o exec está disparando todas as execuções e como posso apenas executá-lo quando o serviço assinado é atualizado?

Eu tentei remover a instrução "onlyif" no Exec, pensando que talvez um único acionasse uma execução incondicional, mas mesmo sem o "onlyif", o exec ainda aciona cada série de fantoche.

A definição do nó é especificada semelhante a esta, sem nenhum argumento especificado:

node /or-rtlb\d{2}/ {
     include iptables
}

E aqui está o código para a própria aula:

class iptables ($ApplyBans=true)
{
    if $hostname =~ /(?i:or-rtlb\d{2})/ {
        $ip6tables_file="or-rtlbs.ip6tables"
        $iptables_file="or-rtlbs.iptables"
    }
    if $hostname =~ /(?i:or-puptest)/ {
        $ip6tables_file="or-rtlbs.ip6tables"
        $iptables_file="or-rtlbs.iptables"
    }


    case $::osfamily {
        RedHat:
        {
            file { "/etc/sysconfig":
                ensure => directory,
                owner => root,
                group => root,
                mode  => 0755
            }

            file { "ip6tables-file":
                path    => "/etc/sysconfig/ip6tables",
                ensure  => present,
                owner   => root,
                group   => root,
                mode    => 0644,
                source  => "puppet:///modules/iptables/$ip6tables_file",
                require => [File["/etc/sysconfig"], Package["iptables"]],
                notify  => Service["ip6tables-service"]
            }
            file { "iptables-file":
                path    => "/etc/sysconfig/iptables",
                ensure  => present,
                owner   => root,
                group   => root,
                mode    => 0644,
                source  => "puppet:///modules/iptables/$iptables_file",
                require => [File["/etc/sysconfig"], Package["iptables"]],
                notify  => Service["iptables-service"]
            }
            package { "iptables":
                ensure => installed
            }
            package { "iptables-ipv6":
                ensure => installed
            }
            service { "iptables-service":
                name        => "iptables",
                ensure          => running,
                hasstatus       => true,
                hasrestart      => true,
                enable          => true,
            }
            service { "ip6tables-service":
                name        => "ip6tables",
                ensure          => running,
                hasstatus       => true,
                hasrestart      => true,
                enable          => true,
            }

            if ($ApplyBans)
            {
                exec { "so-bans-apply" :
                    command => "/root/bans/so-bans/force-ban-refresh",
                    onlyif => "/usr/bin/test -f /root/bans/so-bans/force-ban-refresh",
                    subscribe => [
                        Service["iptables-service"],
                        Service["ip6tables-service"],
                    ]                   
                }
            }
        }
    }
}

    

Answer 1

Adicione refreshonly => true ao exec e só será executado quando um relacionamento notify ou subscribe o acionar.