Лучший способ управления пользователями с Hiera

В настоящее время я пытаюсь переместить нашу настройку Puppet для дальнейшего использования Hiera. В связи с этим, я хотел бы создать пользователей с помощью Hiera, но у меня есть некоторые проблемы, как это сделать при перемещении вверх по иерархии.

Сценарий таков, что я хочу иметь набор базовых пользователей, которые будут включены в каждую установку. Кроме того, мне иногда нужно добавить некоторых конкретных пользователей только для другого подмножества узлов, возможно, для некоторых центров обработки данных или для некоторых узлов.

Итак, я подумал о следующей настройке:

hiera.yaml:

:hierarchy:
  - "nodes/%{::trusted.certname}"
  - "datacenter/${::datacenter}"
  - "common"

users.pp:

class profile::users {
  $user_accounts = hiera('user_accounts')
  create_resources(user, $user_accounts)
}

и в common.yaml:

user_accounts:
  bob:
    comment: "Bob"
    managehome: true

а затем поднимитесь по иерархии. Основные проблемы, которые я вижу здесь:

• Как реализовать атрибуты по умолчанию для каждого пользователя? Например, в этом примере я хочу установить managehome: true для все пользователи, а не писать это каждый раз явно. Хотя, возможно, я иногда захочу отключить его.
• Если бы у меня был user_accounts выше по иерархии, он перезапишет user_accounts хеш из common.yaml, так что мне нужно будет дублировать записи. Я наткнулся на глубокое слияние в Хиере, но задайтесь вопросом, действительно ли это используется или это лучшая практика. Кроме того, это не решит первую проблему, и мне нужно установить merge_behavior в hiera.yaml, чего я хочу избежать.
• Как я могу вставить сюда ssh-ключи для каждого пользователя? Лучшим решением было бы просто добавить ключи ssh в качестве атрибута к учетной записи пользователя.

Итак, есть ли у кого-нибудь представление о том, как управление пользователями на самом деле хорошо выполняется с помощью Puppet? Спасибо :)