allow chef-client