Consolidate data access control backoffice updates
This commit is contained in:
devmrko
@@ -2,12 +2,14 @@
|
||||
|
||||
## 운영 구조
|
||||
|
||||
- 공개 endpoint: `https://<소유 FQDN>` 또는 `https://<고정 public IPv4>`
|
||||
- Caddy: VM의 80/443에서 TLS termination, HTTP redirect, HSTS, 인증서 자동 발급·갱신
|
||||
- Spring Boot: `127.0.0.1:8082`에서만 수신
|
||||
- 외부 `8082/tcp`: OCI NSG와 VM firewalld 모두 deny
|
||||
- 공개 endpoint: `https://kb.cloud-handson.com`
|
||||
- 공개 배포 VM: `opc@161.33.6.45`
|
||||
- Nginx: VM의 80/443에서 TLS termination, HTTP redirect, HSTS
|
||||
- Spring Boot: `127.0.0.1:8080`에서만 수신
|
||||
- 외부 애플리케이션 포트 직접 접근: OCI NSG와 VM firewalld 모두 deny
|
||||
- 인증서: Let’s Encrypt / Certbot Nginx plugin
|
||||
|
||||
FQDN을 쓰면 A 레코드는 VM public IP를 가리켜야 한다. DNS가 없는 고정 public IPv4는 Let’s Encrypt `shortlived` profile 기반 약 6일 인증서를 사용하며 Caddy 자동 갱신이 정상인지 반드시 모니터링한다. 임시 공개 DNS 서비스와 Caddy 로컬 CA 인증서는 운영 endpoint로 사용하지 않는다.
|
||||
FQDN의 A 레코드는 VM public IP `161.33.6.45`를 가리켜야 한다. 현재 운영 경로는 Nginx가 `127.0.0.1:8080`의 `vpd-backoffice.service`로 프록시하는 구조다. `hermes` 또는 `8082` 응답만 보고 운영 반영 완료로 판단하지 않는다.
|
||||
|
||||
## 최초 준비
|
||||
|
||||
@@ -16,15 +18,8 @@ FQDN을 쓰면 A 레코드는 VM public IP를 가리켜야 한다. DNS가 없는
|
||||
1. 소유 FQDN의 A 레코드를 VM public IP로 설정하거나 고정 public IPv4 사용을 확정한다.
|
||||
2. OCI NSG와 VM firewalld에서 80/443 ingress를 허용한다.
|
||||
3. 기존 8082 ingress를 OCI NSG와 firewalld에서 제거한다.
|
||||
4. Oracle Linux/RHEL 계열 VM에 공식 Caddy 패키지를 설치한다.
|
||||
|
||||
```bash
|
||||
sudo dnf install -y dnf-plugins-core
|
||||
sudo dnf copr enable -y @caddy/caddy
|
||||
sudo dnf install -y caddy
|
||||
```
|
||||
|
||||
공식 패키지는 `caddy.service`와 `/etc/caddy/Caddyfile`을 제공한다. 설정 스크립트가 service enable/start를 처리한다.
|
||||
4. Oracle Linux/RHEL 계열 VM에 Nginx와 Certbot Nginx plugin을 설치한다.
|
||||
5. `vpd-backoffice.service`는 `127.0.0.1:8080`에만 바인딩한다.
|
||||
|
||||
## 적용
|
||||
|
||||
@@ -32,78 +27,58 @@ sudo dnf install -y caddy
|
||||
|
||||
```bash
|
||||
mvn test
|
||||
scripts/test-backoffice-https-config.sh
|
||||
scripts/deploy-backoffice-vm.sh --host hermes
|
||||
```
|
||||
|
||||
HTTPS 설정을 dry-run으로 확인한 다음 적용한다.
|
||||
운영 배포는 `161.33.6.45` 대상에 수행한다. SSH alias를 쓴다면 해당 alias가 반드시 `opc@161.33.6.45`를 가리키는지 먼저 확인한다.
|
||||
|
||||
```bash
|
||||
scripts/configure-backoffice-https-vm.sh \
|
||||
--host hermes \
|
||||
--public-host admin.example.com \
|
||||
--tls-email ops@example.com \
|
||||
--expected-address 130.162.134.59 \
|
||||
--dry-run
|
||||
|
||||
scripts/configure-backoffice-https-vm.sh \
|
||||
--host hermes \
|
||||
--public-host admin.example.com \
|
||||
--tls-email ops@example.com \
|
||||
--expected-address 130.162.134.59
|
||||
ssh <운영-alias> 'hostname; hostname -I; systemctl status vpd-backoffice --no-pager'
|
||||
```
|
||||
|
||||
실제 endpoint, 이메일, 주소로 바꿔 실행한다. FQDN 대신 IP를 쓰는 현재 hermes 예시는 `--public-host 130.162.134.59 --expected-address 130.162.134.59`다. 스크립트는 DNS/IP 일치, Caddy/sudo, Caddyfile 문법, service 상태를 확인하고 기존 설정을 `~/apps/vpd-backoffice/caddy-backups`에 저장한다.
|
||||
배포 후에는 systemd 서비스를 재시작하고 공개 URL로 확인한다.
|
||||
|
||||
```bash
|
||||
ssh <운영-alias> 'sudo systemctl restart vpd-backoffice'
|
||||
curl -k -sS https://kb.cloud-handson.com/login
|
||||
```
|
||||
|
||||
## 반복 검증
|
||||
|
||||
설정을 바꾸지 않고 외부 검증만 다시 수행할 수 있다.
|
||||
|
||||
```bash
|
||||
scripts/configure-backoffice-https-vm.sh \
|
||||
--host hermes \
|
||||
--public-host admin.example.com \
|
||||
--tls-email ops@example.com \
|
||||
--expected-address 130.162.134.59 \
|
||||
--verify-only
|
||||
```
|
||||
|
||||
검증 항목:
|
||||
|
||||
- HTTP `/login`이 동일 host의 HTTPS로 전환됨
|
||||
- HTTPS 인증서가 공개 신뢰됨
|
||||
- HSTS 1년
|
||||
- `JSESSIONID`의 Secure/HttpOnly/SameSite=Lax
|
||||
- 외부 `:8082` 직접 연결 실패
|
||||
- 외부 애플리케이션 포트 직접 연결 실패
|
||||
- `https://kb.cloud-handson.com/login`의 HTML이 현재 배포된 jar의 로그인 화면과 일치
|
||||
|
||||
## 인증서 갱신과 모니터링
|
||||
|
||||
Caddy는 공개 DNS 이름의 인증서를 자동 갱신하며, 공식 systemd service의 인증서 상태는 `/var/lib/caddy/.local/share/caddy`에 유지된다. 별도 cron이나 certbot hook을 추가하지 않는다.
|
||||
Certbot timer가 Let’s Encrypt 인증서를 갱신한다. Nginx 설정과 인증서 갱신 상태를 함께 확인한다.
|
||||
|
||||
```bash
|
||||
ssh hermes 'systemctl is-active caddy && systemctl is-enabled caddy'
|
||||
ssh hermes 'sudo journalctl -u caddy --since "24 hours ago" --no-pager'
|
||||
ssh hermes 'sudo caddy validate --config /etc/caddy/Caddyfile --adapter caddyfile'
|
||||
ssh <운영-alias> 'systemctl is-active nginx && systemctl is-enabled nginx'
|
||||
ssh <운영-alias> 'systemctl is-active certbot-renew.timer && systemctl is-enabled certbot-renew.timer'
|
||||
ssh <운영-alias> 'sudo nginx -t'
|
||||
ssh <운영-alias> 'sudo journalctl -u nginx --since "24 hours ago" --no-pager'
|
||||
```
|
||||
|
||||
ACME 오류, 인증서 만료 경고, 반복 reload 실패를 알림 대상으로 삼는다. VM 백업에서 Caddy data directory와 앱의 Caddyfile backup을 함께 보존한다.
|
||||
ACME 오류, 인증서 만료 경고, 반복 reload 실패를 알림 대상으로 삼는다.
|
||||
|
||||
## 장애와 롤백
|
||||
|
||||
1. 앱이 살아 있는지 VM 내부에서 확인한다.
|
||||
|
||||
```bash
|
||||
ssh hermes 'curl -sS -H "X-Forwarded-Proto: https" -H "X-Forwarded-Host: admin.example.com" -o /dev/null -w "%{http_code}\n" http://127.0.0.1:8082/login'
|
||||
ssh <운영-alias> 'curl -sS -H "X-Forwarded-Proto: https" -H "X-Forwarded-Host: kb.cloud-handson.com" -o /dev/null -w "%{http_code}\n" http://127.0.0.1:8080/login'
|
||||
```
|
||||
|
||||
2. Caddy 로그와 설정을 확인한다.
|
||||
3. 설정 변경 직후 장애라면 가장 최근 backup을 복원한다.
|
||||
2. Nginx 로그와 설정을 확인한다.
|
||||
3. 설정 변경 직후 장애라면 가장 최근 Nginx 설정 backup을 복원한다.
|
||||
|
||||
```bash
|
||||
ssh hermes 'ls -1t ~/apps/vpd-backoffice/caddy-backups/Caddyfile.* | head -n 3'
|
||||
ssh hermes 'sudo install -o root -g root -m 644 ~/apps/vpd-backoffice/caddy-backups/Caddyfile.<timestamp> /etc/caddy/Caddyfile && sudo systemctl reload caddy'
|
||||
```
|
||||
4. 앱 jar 롤백이 필요하면 직전 승인된 artifact를 배포하고 앱과 Nginx를 모두 재검증한다.
|
||||
|
||||
4. 앱 jar 롤백이 필요하면 직전 승인된 artifact를 배포하고 앱과 Caddy를 모두 재검증한다.
|
||||
|
||||
장애 우회를 위해 `8082`를 다시 공개하지 않는다. 서비스 중단이나 방화벽/NSG 롤백은 개별 승인을 받는다.
|
||||
장애 우회를 위해 애플리케이션 포트를 직접 공개하지 않는다. 서비스 중단이나 방화벽/NSG 롤백은 개별 승인을 받는다.
|
||||
|
||||
Reference in New Issue
Block a user