第1回一撃サーバー構築シェルスクリプト勉強会

第1回一撃サーバー構築シェルスクリプト勉強会
USP友の会
@nullpopopo

[自己紹介]
名前: 濱田康貴 ( @nullpopopo )
USP友の会
http://www.usptomo.com/
Blog
http://nullpopopo.blogcube.info/
Facebook
https://www.facebook.com/nullpopopo
著書: USP Magazine
教えて先輩♡サーバー運用お助けTIPS
隔月連載中

ちょっとお知らせ

今日は危険じゃありません

最初に宣伝

第13回危険でない方のシェル芸勉強会&第31回安
全だと声高に叫ぶと逆にどうなのかUSP友の会定
例会
http://usptomo.doorkeeper.jp/events/15021

USP友の会で
シェル芸以外の勉強会は
2012/06/24 以来。
※ ちなみにシェル芸勉強会は
2012/10/27より開始

本当に地獄でした。。。 (;´Д｀)

その前は？

2012/3/31 Apacheスタートスクリプト読書会
2012/2/19 やわらかマッドサイエンティスツの
プログラミング入門

( ´-｀)｡oO( 喋り方忘れた・・・ )

本日のおしながき
●席替え、全体説明
●変数設定、アップデート
● fail2ban、iptables設定
●パッケージインストール
●MySQL設定
● PHP設定
●WordPress インストール
● nginx設定
●再起動
● LTタイム

席替え

3名1組でチームを作ります。
受付で番号のついた付箋紙を受け取られた方は、
その番号の指定席へ移動願います。
座席に付箋紙を持った方がいない場合は、無地の
付箋紙を受け取られた方と座席交換してくださ
い。

全体説明

一撃サーバー構築シェルスクリプト (一撃スクリ
プト) 勉強会が目指すもの

●一度の実行でサーバー構築の全工程を終わらせ
るスクリプトを作成できるようになる
●管理のための環境構築が不要で、さくらのクラ
ウドスタートアップスクリプトと親和性が高い
ことを体験する

スタートアップスクリプトとは

サーバ作成時にアプリケーションのインストールやサーバ設定を
自動的に行う「スタートアップスクリプト」
サーバを作成する際に、任意のシェルスクリプトを記述した「ス
タートアップスクリプト」を選択することにより、起動時にそれ
らを自動的に実行できます。この機能によりあらかじめ必要なア
プリケーションをインストールや、サーバ設定の自動化も行えま
す。
※スタートアップスクリプト機能は現在、CentOS、ScientificLinux環境のみで動作します。
※ http://cloud.sakura.ad.jp/feature.php より引用

スタートアップスクリプト内で使用できる
特殊タグ

@sacloud-once
シェルスクリプト中のコメントに以下のように記述すると、OS起
動時に1回だけ(OSインストール後初回起動時のみ)実行されます。
記述例
# @sacloud-once
これにより、yumコマンドによるアップデートやrebootコマンドに
よる再起動(kernelやglibcアップデート後の反映)をスタートアップ
スクリプト内にて行うことができます。
※ @sacloud-once の記述を忘れてrebootコマンドをスタートアップスクリプトで実行すると、起動
→再起動→再起動→(以下エンドレス)という地獄を味わってしまいます。。。

@sacloud-desc
以下のように、1行コメントをつけることができます。
# @sacloud-desc これはコメントです
@sacloud-desc-begin / @sacloud-desc-end
以下のように、複数行のコメントをつけることができます。
# @sacloud-desc-begin
# このように
# 複数行のコメントをつけることができます。
# @sacloud-desc-end

コーディングルール

[コーディングルール(非機能要件)]
● rootユーザーでOSインストール直後に1回のみ実
行されるものとする
●外部シェルスクリプトの作成、呼び出しは原則
不可。ただし、一撃スクリプト内で生成して別
ファイルに出力し、一撃スクリプトから呼び出
すことができれば可能。
●対話式コマンドはできるだけ避ける

その他
●そもそも一撃ですべてを終わらせるのと、OSイ
ンストール直後の環境は原則として同一なた
め、ifの条件分岐などはあまり考慮しなくてよい
です
●同様に、再実行を考慮したスクリプト設計は不
要です

機能要件
● http://IPアドレス/ でWordPressのインストール
画面が表示されること
●WordPressインストール後、パーマリンク設定
を変更しても表示に問題がないこと

非機能要件
●WEBサーバは nginx + PHP-FPMとし、nginx は
mainline からインストールする
● PHPは5.5または5.6をインストールする
(php-cli php-common php-mbstring php-pdo php-xml
php-mysqlnd php-pecl-apcu php-xmlrpc php-opcache
php-fpm)

非機能要件
●MySQL Serverは標準リポジトリからインストー
ルする
●MySQLのrootパスワード、WordPress接続用
ユーザのパスワードは自動生成する
●mysql_secure_installation と同等の処理を行う

変数設定
アップデート

#!/bin/bash
# @sacloud-once
DBNAME=wordpress
DBUSER=wpuser
ETH0=$(ip a show eth0 | grep inet | grep -v inet6 | awk '{print $2}' | sed -e "s//[0-9]*//")
HOME=/root
export HOME
USER=root
export USER
################################################################################
# Section1 yum update
yum -y update
################################################################################

fail2ban、iptables設定

fail2ban設定内容
メール宛先と送信元のドメインが example.com
なので、これを localhost に変更する

iptables設定内容
● 受信パケットは一旦破棄する
● 送信パケットはすべて許可する
● パケット転送は許可しない
● localhostからのアクセスをすべて許可する
● 内部から行ったアクセスに対する外部からの返答アクセスを許可
する
● 外部からのTCP22番ポート(SSH)へのアクセスを許可する
● 外部からのTCP80番ポート(HTTP)へのアクセスを許可する

パッケージインストール

[nginx]
●リポジトリ取得
●mainlineからインストールするよう nginx.repo
を変更する
● nginxインストール

nginxのバージョンは3種類
http://nginx.org/en/download.html

[PHP]
● remi-release-6リポジトリ取得
● php-cli php-common php-mbstring php-pdo php-xml
php-mysqlnd php-pecl-apcu php-xmlrpc php-opcache
php-fpm インストール

PHPの歩み
http://www.slideshare.net/hirokawa/php-con2013ub より

http://sourceforge.jp/magazine/14/08/30/084800

[MySQL]
●標準リポジトリより mysql-server をインストー
ル

Let's Coding

回答

fail2ban のメール宛先と送信元を変更する
● cp -p /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.orig
● sed -i
's/you@example.com/root@localhost/g;s/fail2ban@example.com
/fail2ban@localhost/g' /etc/fail2ban/jail.conf

iptables設定
# 初期化のため一旦iptablesを停止する
service iptables stop
# 受信はすべて破棄する
iptables -P INPUT DROP
# 送信はすべて許可する
iptables -P OUTPUT ACCEPT
# パケット転送はすべて破棄する
iptables -P FORWARD DROP

iptables設定
# localhostからのアクセスをすべて許可
iptables -A INPUT -i lo -j ACCEPT
# 内部から行ったアクセスに対する外部からの返答アクセスを許
可iptables -A INPUT -m state --state ESTABLISHED,RELATED -j
ACCEPT
# 外部からのTCP22番ポート(SSH)へのアクセスを許可
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 外部からのTCP80番ポート(HTTP)へのアクセスを許可
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables設定
# 設定を保存
service iptables save
# iptablesを起動
service iptables start
# iptablesをスタートアップ登録する
chkconfig iptables on

nginxインストール
# リポジトリをインストール
yum -y install
http://nginx.org/packages/centos/6/noarch/RPMS/nginx-release-centos-
6-0.el6.ngx.noarch.rpm
# mainlineに向き先変更
cp -p /etc/yum.repos.d/nginx.repo /etc/yum.repos.d/nginx.repo.orig
sed -i 's/centos/mainline/centos/' /etc/yum.repos.d/nginx.repo
# install
yum -y install nginx

phpインストール
# リポジトリをインストール
yum -y install http://rpms.famillecollet.com/enterprise/remi-release-
6.rpm
# install
yum --enablerepo=remi-php56 -y install
php-cli php-common php-mbstring php-pdo php-xml php-mysqlnd
php-pecl-apcu php-xmlrpc php-opcache php-fpm

mysql-serverインストール
# install
yum -y install mysql-server

MySQL設定

ポイント
● rootユーザのパスワードはランダムに生成したい(固定値にし
ちゃうと、漏れたときのリスクが同じスクリプトを使って作った
サーバすべてに及ぶ)
● WordPress接続用のユーザーも、同様にパスワードをランダムに
生成する
● mysqlコマンドに-eオプション

● mysqldを起動し、スタートアップに登録する
● MySQLのrootユーザとパスワードを作成し、パラメーターファ
イルに格納する。書式は user root <Password>
● WordPressのDBに関してパラメーターファイルに格納する。書
式は DBPARAM DB名 DBユーザー名 <Password>
● MySQLのrootユーザーのパスワードを設定する。
● WordPressのデータベースを作成する。
● DBユーザー(WordPressデータベース接続用)のパスワードを変数
PWに格納する。
● DBユーザーを作成する。

● mysql_secure_installation 代替コマンド実行
● 匿名ユーザーの削除
● localhost以外からのrootログイン禁止
● testデータベース削除
なぜmysql_secure_installationを使わないのか？
→ 対話式のコマンドなので、入力待ちで止まってしまうため
● 権限情報の再読込

パラメータファイル
${HOME}/.mysql/MySQLPARAM

PHP設定

やること
● php.iniのタイムゾーン設定
→ 余計なログを出したくないので、東京に合わせておく。
● php-fpmの実行ユーザー設定
→ apacheからnginxへ変更する。
● php-fpmを起動し、スタートアップ登録する

PARAMFILE=${HOME}/.mysql/MySQLPARAM
mkdir ${HOME}/.mysql
chkconfig mysqld on
service mysqld start

# MySQLのrootユーザとパスワードを作成し、パラメーターファ
イルに格納する。
# 書式は user root <Password>
echo "user root $(cat /dev/urandom | tr -dc '[:alnum:]' | head -c 8)"
> ${PARAMFILE}

# WordPressのDBに関してパラメーターファイルに格納する。
# 書式は DBPARAM DB名 DBユーザー名 <Password>
echo "DBPARAM ${DBNAME} ${DBUSER} $(cat /dev/urandom | tr
-dc '[:alnum:]' | head -c 8)" >> ${PARAMFILE}

# MySQLのrootユーザーのパスワードを設定する。
mysqladmin -u root password "$(grep ^user ${PARAMFILE} | awk
'{print $NF}')"

# WordPressのデータベースを作成する。
mysql -u root -p$(grep ^user ${PARAMFILE} | awk '{print $NF}')
-e "create database ${DBNAME} character set utf8;"

# DBユーザー(WordPressデータベース接続用)のパスワードを変
数PWに格納する。
PW=$(grep ^DBPARAM ${PARAMFILE} | awk '{print $NF}')
# DBユーザーを作成する。
-e "GRANT ALL PRIVILEGES on ${DBNAME}.* to $
{DBUSER}@localhost identified by "${PW}";"

mysql_secure_installation 代替コマンド
# 匿名ユーザーの削除
-e "DELETE FROM mysql.user WHERE User='';"

# localhost以外からのrootログイン禁止
-e "DELETE FROM mysql.user WHERE User='root' AND Host
NOT IN ('localhost', '127.0.0.1', '::1');"

# testデータベース削除
-e "DROP DATABASE test;"

# 権限情報の再読込
-e "FLUSH PRIVILEGES;"

PHP設定
# php.iniでタイムゾーン設定
cd /etc
cp -p php.ini php.ini.orig
sed -i 's/;date.timezone =/;##--@--##date.timezone
=ndate.timezone = Asia/Tokyo/' php.ini

PHP設定
# php-fpm設定ファイル (www.conf) 編集
cd /etc/php-fpm.d
cp -p www.conf www.conf.orig
sed -i 's/^user = apache/;user = apachenuser = nginx/'
www.conf
sed -i 's/^group = apache/;group = apachengroup = nginx/'
www.conf

PHP設定
# php-fpm起動、スタートアップ登録
service php-fpm start
chkconfig php-fpm on

休憩

WordPress インストール

● ドキュメントルートは /var/www/IPアドレス
● githubからWordPressダウンローダーを取得する
https://raw.githubusercontent.com/nullpopopo/wpdl/master/bin/wpdl
● WordPress ( latest-ja.tar.gz ) は ${HOME}/src/wordpress/current/
に保存される
● wp-config-sample.php から wp-config.php をコピーし、DB名、
DBのユーザー名、パスワードを設定し、「put your unique
phrase here」を32文字のランダムな文字列に置換する
● ドキュメントルートのユーザー・グループは nginx:root とする

nginx設定

参考URL
http://wpdocs.sourceforge.jp/Nginx
http://wiki.nginx.org/HttpCoreModule

● /etc/nginx/nginx.conf を直接弄るのは
worker_processesの数をコア数に合わせるくら
いで、他は弄らない。
● /etc/nginx/conf.d/000_VHOST.conf にヒアドキュ
メントで設定を流し込む。

# This order might seem weird - this is attempted to match last if rules below
fail.
# http://wiki.nginx.org/HttpCoreModuleJa#try_files
location / {
try_files $uri $uri/ /index.php?$args;
index index.php index.html index.htm;
}
ファイルの存在を順に確認し、最初に確認できたファイルを返却します。$uri /のように末尾にス
ラッシュのついたパスはディレクトリを示します。ファイルが確認できなかった場合は、末尾に指
定したパラメータに対して内部リダイレクトが行われます。末尾のパラメータはフォールバック用
の URI で、必ず存在している必要があります。存在していない場合は内部エラーが発生します。

# Add trailing slash to */wp-admin requests.
rewrite /wp-admin$ $scheme://$host$uri/ permanent;
リクエストURIが http://IPアドレス/wp-admin だったら、末尾にス
ラッシュをつけたURIにリライトする。

# ドキュメントルート作成
mkdir -p /var/www/${ETH0}
# WordPressダウンローダー取得
cd ${HOME}
mkdir bin
cd bin
wget
https://raw.githubusercontent.com/nullpopopo/wpdl/master/bin/wpdl

# WordPressダウンローダー実行
chmod 700 wpdl
cd ${HOME}
bin/wpdl

# WordPress ( latest-ja.tar.gz ) 展開
cd ${HOME}/src/wordpress/current/
tar xzf latest-ja.tar.gz
cd wordpress/
cp -pr * /var/www/${ETH0}

# wp-config.php 編集
cd /var/www/${ETH0}
cp -p wp-config-sample.php wp-config.php
chmod 660 wp-config.php

# wp-config.php 編集 (DB名置換)
sed -i s/database_name_here/$(grep ^DBPARAM ${PARAMFILE} |
awk '{print $2}')/g wp-config.php

# wp-config.php 編集 (ユーザー名置換)
sed -i s/username_here/$(grep ^DBPARAM ${PARAMFILE} | awk
'{print $3}')/g wp-config.php

# wp-config.php 編集 (パスワード置換)
sed -i s/password_here/$(grep ^DBPARAM ${PARAMFILE} | awk
'{print $4}')/g wp-config.php

# wp-config.php 編集 (認証用ユニークキー設定)
sed -i s/'put your unique phrase here'/$(cat /dev/urandom | tr -dc
'[:alnum:]'| head -c 32)/g wp-config.php

# ドキュメントルートオーナー、パーミッション設定
cd /var/www/
chown -R nginx:${USER} ${ETH0}
chmod -R g+w ${ETH0}

nginx設定
# worker_processesの数をコア数に合わせる
cd /etc/nginx/
cp -p nginx.conf nginx.conf.orig
sed -i "s/worker_processes[[:space:]]+[0-9]+/worker_processes $
(cat /proc/cpuinfo | grep processor | wc -l)/g" nginx.conf

nginx設定
# バーチャルホスト設定ファイル作成
cd conf.d
cat << _EOL_ > 000_VHOST.conf
※ 次のページから行番号つきで表示します

1 server {
2 server_name ${ETH0};
3 root /var/www/${ETH0};
4
5 # This order might seem weird - this is attempted to match
last if rules below fail.
6 # http://wiki.nginx.org/HttpCoreModule
7 location / {
8 try_files $uri $uri/ /index.php?$args;
9 index index.php index.html index.htm;
10 }

11
12 # Add trailing slash to */wp-admin requests.
13 rewrite /wp-admin$ $scheme://$host$uri/ permanent;
14
15 # Directives to send expires headers and turn off 404 error
logging.
16 location ~* .(js|css|png|jpg|jpeg|gif|ico)$ {
17 expires 24h;
18 log_not_found off;
19 }
20

21 # Pass all .php files onto a php-fpm/php-fcgi server.
22 location ~ .php$ {
23 try_files $uri =404;
24 fastcgi_split_path_info ^(.+.php)(/.+)$;
25 include fastcgi_params;
26 fastcgi_index index.php;
27 fastcgi_param SCRIPT_FILENAME $document_root
$fastcgi_script_name;
28 fastcgi_pass 127.0.0.1:9000;
29 }
30 }
31 _EOL_

service nginx start
chkconfig nginx on

reboot

お疲れ様でした！

第1回 一撃サーバー構築シェルスクリプト勉強会

More Related Content

What's hot

Viewers also liked

Similar to 第1回 一撃サーバー構築シェルスクリプト勉強会

More from Yasutaka Hamada