specsfy-specialist-debian-server

Debian Server

使用する場合

• アプリケーション、コンテナ、または Docker Swarm で使用される Debian ホストのインストール、セキュリティ強化、更新、診断を行う場合に使用します。
• ホスト上の APT、systemd、journald、SSH、nftables、sysctl、ディスク、マウント、ユーザー、グループ、タイムゾーン、NTP、Docker Engine を扱う場合に使用します。
• Debian のバージョンを決めつけないでください。変更を提案する前に、/etc/os-release、アーキテクチャ、カーネル、init、ファイルシステム、容量、サーバーの役割を確認してください。
• 代替アクセス手段と個別の許可がない限り、再起動、ディストリビューションのアップグレード、SSH やリモートファイアウォールの変更を実行しないでください。

手順

1. $specsfy-specialist-deploy のもとで、環境を構成するマシンを確認し、ansible/inventory.yml にエイリアス、アドレス、SSH ポート、初期ユーザー、Swarm での役割を記録します。サーバーを追加するときは、既存のエントリーをすべて保持し、構成する前に新しいホストをテストしてください。
2. バージョン、アーキテクチャ、カーネル、稼働時間、負荷、メモリ、ディスク、マウント、ネットワーク、失敗したユニット、保留中のパッケージを記録します。
3. ホストの役割、公開サービス、メンテナンス時間帯、復旧アクセス手段、Ansible による管理状態を確認します。
4. 運用ユーザー deploy を作成し、公開 SSH キーを追加して、sudo と権限を設定します。2 つ目のセッションをテストする前に、現在のアクセス手段を削除しないでください。
5. APT とセキュリティ更新を設定し、カーネルやライブラリの要件に応じてサービスの再起動とシステムの再起動を計画します。
6. トポロジーに適合するファイアウォールを適用します。Swarm では、許可されたノード間に限り、制御、検出、オーバーレイのトラフィックを許可します。
7. カーネル調整を /etc/sysctl.d/ に永続化し、条件に応じて適用して、変更後のワークロードの動作を測定します。
8. 適切な環境で、systemd、journald、空き容量、inode、時刻、DNS、接続性、制御された再起動を検証します。

規則

• インストール済みリリースに対応するリポジトリを使用し、外部パッケージの入手元を確認します。新しいバージョンを入手するために Debian のスイートを混在させないでください。
• サービスは systemd ユニットまたは公式パッケージで管理し、再起動、依存関係、制限、ログを定義します。SSH セッションに紐づいたプロセスを稼働させないでください。
• 現行の Debian では nftables を優先し、起動時に読み込まれる設定を保存します。既存の接続を閉じる前に、新しい管理者セッションをテストしてください。
• /etc/sysctl.d/ に小さく、名前を付けたファイルを作成し、各パラメーターの目的を記録します。owner のない汎用的な設定ブロックは避けてください。
• 空きディスク容量に応じてログのローテーションと保持期間を設定します。Docker がレイヤーを作成できなくなる前に、ファイルシステムと inode の使用量を警告してください。
• Docker ソケットと docker グループへのアクセスは、ホストへの広範な管理者アクセスとして扱います。

アンチパターン

• サービス、復旧コンソール、アプリケーションの自動復帰を確認せずに apt full-upgrade を実行し、再起動すること。
• 設定を検証して認証済みの 2 つ目のセッションを開く前に、sshd_config を変更して SSH を再起動すること。
• 利用側が同じプライベートネットワークまたはオーバーレイにあるのに、データベース、Redis、管理パネルのポートをホスト上で公開すること。
• /etc/sysctl.d/ にファイルを作成せずに sysctl -w を適用すること。調整値は再起動時に失われ、観測される状態が自動化の状態と一致しなくなります。
• コンテナの永続データを、配置、バックアップ、復元をテストせずにローカルディスクへ保存すること。

検証

• 独自ユニットには systemd-analyze verify を実行し、変更後に systemctl --failed を確認します。
• SSH を再読み込みする前に sshd -t を実行します。変更を適用した接続を終了する前に、新しい認証済みセッションを確認します。
• 再読み込み前に nft --check --file /etc/nftables.conf を実行し、ホストへの到達が許可されているネットワークと許可されていないネットワークの両方からポートをテストします。
• sysctl --system を実行した後にパラメーターを読み取り、再起動後にもう一度テストします。
• apt-get --simulate upgrade を実行し、利用可能な場合は needrestart を確認して、自動更新で使用するタイマーを確認します。
• Docker ホストでは、メンテナンスの前後にデーモン、ログローテーション、ディスク容量、inode、ネットワーク、永続性を確認します。

関連するスキル

• $specsfy-specialist-deploy はサーバーの完全な準備を調整します。このスペシャリストはホストの Debian 状態を定義します。
• $specsfy-specialist-ansible はホストの設定を自動化して繰り返し実行します。このスペシャリストは、自動化によって実現する Debian の状態を定義します。
• $specsfy-specialist-docker はコンテナーのイメージとランタイムを管理します。このスペシャリストは、ホストのデーモン、カーネル、ディスク、Docker サービスを管理します。
• $specsfy-specialist-docker-swarm は、ノードの準備完了後にマネージャー、ワーカー、スタック、オーバーレイネットワークを管理します。

Debian のベースライン、Docker の運用、公式ソースに基づく検査コマンドについては、references/standards.md を参照してください。