199 lines
9.2 KiB
Markdown
199 lines
9.2 KiB
Markdown
# NODE.DC Synology deploy
|
||
|
||
Эта папка фиксирует текущий воспроизводимый NAS-deploy для `nodedc-platform` на Synology RS1221RP+.
|
||
|
||
## Правила
|
||
|
||
- Не выполнять `docker stop`, `docker restart`, `docker compose down`, `docker system prune` для старых проектов.
|
||
- Новый compose project: `nodedc-platform`.
|
||
- Новая папка на NAS: `/volume1/docker/nodedc-platform`.
|
||
- Внутренний HTTP edge использует `18080`, Tasker upstream — `18090`, Ops Agents Gateway upstream — `18190`.
|
||
- Старые порты `9000` и `5678` заняты старым `nodedc-demo` и не используются.
|
||
|
||
## Текущие внешние домены
|
||
|
||
```text
|
||
https://id.nodedc.ru -> Authentik
|
||
https://hub.nodedc.ru -> Launcher / Hub
|
||
https://ops.nodedc.ru -> Tasker / Operational Core
|
||
https://ops-agents.nodedc.ru -> Ops Agents Gateway / MCP
|
||
```
|
||
|
||
В `Caddyfile.http` эти домены проксируются через локальный HTTP edge, но upstream получает `X-Forwarded-Proto: https` и `X-Forwarded-Port: 443`.
|
||
|
||
## Локальные домены для первичной проверки
|
||
|
||
На Mac для первичной проверки добавить в `/etc/hosts`:
|
||
|
||
```text
|
||
172.22.0.222 auth.nas.nodedc
|
||
172.22.0.222 launcher.nas.nodedc
|
||
172.22.0.222 task.nas.nodedc
|
||
```
|
||
|
||
Первичные URL:
|
||
|
||
```text
|
||
http://auth.nas.nodedc:18080
|
||
http://launcher.nas.nodedc:18080
|
||
http://task.nas.nodedc:18080
|
||
http://task.nas.nodedc:18090
|
||
```
|
||
|
||
## Что входит
|
||
|
||
- `docker-compose.platform-http.yml` поднимает новый Authentik, Launcher и Caddy edge.
|
||
- `Caddyfile.http` маршрутизирует локальные `auth/launcher/task.nas.nodedc` и внешние `id/hub/ops.nodedc.ru`.
|
||
- `deploy-current.sh` синхронизирует compose, Caddyfile, Authentik templates и опционально Launcher source в NAS mount.
|
||
- `backup-current.sh` делает snapshot Launcher runtime/uploads/Auth templates/config и готовит команду `pg_dump` для Authentik Postgres.
|
||
- Tasker поднимается отдельным compose из `NODEDC_TASKMANAGER/plane-app/docker-compose.yaml` на порту `18090`.
|
||
- Ops Agents Gateway поднимается отдельным compose из `NODEDC_TASKMANAGER_CODEXAPI/docker-compose.synology.yml` на `172.22.0.222:18190`; Synology reverse proxy должен вести `ops-agents.nodedc.ru` на этот порт, а не на `18090`.
|
||
|
||
## Внутренний Authentik API для Launcher
|
||
|
||
Launcher подключен и к platform identity-сети, и к engine-сети. В engine-сети тоже может быть сервис с DNS-именем `authentik-server`, поэтому это имя нельзя использовать для `NODEDC_AUTHENTIK_BASE_URL`: Docker DNS может отдать не тот Authentik, и platform API-token будет получать `403 Token invalid/expired`.
|
||
|
||
Для platform Authentik зафиксирован отдельный alias:
|
||
|
||
```text
|
||
http://nodedc-platform-authentik-server:9000
|
||
```
|
||
|
||
Live `/volume1/docker/nodedc-platform/platform/.env.synology` должен содержать:
|
||
|
||
```env
|
||
NODEDC_AUTHENTIK_BASE_URL=http://nodedc-platform-authentik-server:9000
|
||
AUTHENTIK_BASE_URL=http://nodedc-platform-authentik-server:9000
|
||
NODEDC_AUTHENTIK_SERVICE_TOKEN=<server Authentik API token>
|
||
AUTHENTIK_SERVICE_TOKEN=<same token>
|
||
```
|
||
|
||
Быстрая проверка из launcher-контейнера:
|
||
|
||
```bash
|
||
sudo /usr/local/bin/docker exec nodedc-platform-launcher-1 sh -lc '
|
||
echo "$NODEDC_AUTHENTIK_BASE_URL"
|
||
getent hosts nodedc-platform-authentik-server
|
||
for attempt in 1 2 3 4 5 6 7 8 9 10; do
|
||
wget -qSO- \
|
||
--header "Authorization: Bearer $NODEDC_AUTHENTIK_SERVICE_TOKEN" \
|
||
"$NODEDC_AUTHENTIK_BASE_URL/api/v3/core/groups/?search=nodedc_admin" \
|
||
2>&1 | head -n 25 && exit 0
|
||
echo "authentik-api-not-ready attempt=$attempt"
|
||
sleep 10
|
||
done
|
||
exit 1
|
||
'
|
||
```
|
||
|
||
Ожидаемый результат: `HTTP/1.1 200 OK`.
|
||
|
||
После изменения platform Authentik alias пересоздавать нужно `authentik-server`, `authentik-worker` и `launcher`. Один `authentik-server` может временно отдавать `503 Service Unavailable`, пока worker и bootstrap не готовы.
|
||
|
||
## Синхронизация текущего состояния
|
||
|
||
С Mac, при смонтированном `/Volumes/docker`:
|
||
|
||
```bash
|
||
cd /Users/dcconstructions/Downloads/mnt/NODEDC/platform
|
||
NAS_ROOT=/Volumes/docker/nodedc-platform \
|
||
LAUNCHER_REPO=/Users/dcconstructions/Downloads/mnt/data/nodedc_launcher \
|
||
TASKER_REPO=/Users/dcconstructions/Downloads/mnt/data/dc_taskmanager/NODEDC_TASKMANAGER \
|
||
TASKER_CHANGED_BASE=533f8c6 \
|
||
GATEWAY_REPO=/Users/dcconstructions/Downloads/mnt/data/NODEDC_TASKMANAGER_CODEXAPI \
|
||
./infra/synology/deploy-current.sh
|
||
```
|
||
|
||
Скрипт не запускает Docker сам: на NAS `sudo` интерактивный, поэтому команды применения печатаются в конце.
|
||
|
||
Что синхронизируется:
|
||
|
||
- Platform compose/Caddy/Auth templates.
|
||
- Launcher source в `/volume1/docker/nodedc-platform/launcher/source`.
|
||
- Tasker `plane-app/docker-compose.yaml` и, если задан `TASKER_CHANGED_BASE`, только изменённые source-файлы из диапазона `TASKER_CHANGED_BASE..HEAD`.
|
||
- Ops Agents Gateway source в `/volume1/docker/nodedc-platform/ops-agents`.
|
||
|
||
Полный sync Tasker source по SMB тяжёлый для Plane fork. Использовать его только осознанно:
|
||
|
||
```bash
|
||
TASKER_SYNC_SOURCE=1 ./infra/synology/deploy-current.sh
|
||
```
|
||
|
||
Секретные runtime env-файлы не перетираются:
|
||
|
||
- `/volume1/docker/nodedc-platform/platform/.env.synology`
|
||
- `/volume1/docker/nodedc-platform/tasker/plane-app/.env.synology`
|
||
- `/volume1/docker/nodedc-platform/ops-agents/.env`
|
||
|
||
Если emergency-fix был сделан прямо на Synology в этих env-файлах, перенести sanitized-значение в `.env.synology.example`/docs, а секрет оставить только в live env.
|
||
|
||
## Backup текущего состояния
|
||
|
||
С Mac, при смонтированном `/Volumes/docker`:
|
||
|
||
```bash
|
||
cd /Users/dcconstructions/Downloads/mnt/NODEDC/platform
|
||
NAS_ROOT=/Volumes/docker/nodedc-platform ./infra/synology/backup-current.sh
|
||
```
|
||
|
||
Файловый backup создаётся в `/Volumes/docker/nodedc-platform/backups/platform-current-*`.
|
||
|
||
Для Authentik Postgres dump нужно выполнить напечатанную команду на Synology, потому что Docker доступен через интерактивный `sudo`:
|
||
|
||
```bash
|
||
bash /volume1/docker/nodedc-platform/backups/platform-current-YYYYMMDD-HHMMSS/run-authentik-db-dump-on-synology.sh
|
||
```
|
||
|
||
Если планируются изменения Tasker backend/schema, дополнительно выполнить:
|
||
|
||
```bash
|
||
bash /volume1/docker/nodedc-platform/backups/platform-current-YYYYMMDD-HHMMSS/run-tasker-db-dump-on-synology.sh
|
||
```
|
||
|
||
Если Ops Agents Gateway уже был запущен и там есть production tokens/grants/audit, дополнительно выполнить:
|
||
|
||
```bash
|
||
bash /volume1/docker/nodedc-platform/backups/platform-current-YYYYMMDD-HHMMSS/run-ops-agents-db-dump-on-synology.sh
|
||
```
|
||
|
||
## Что нужно перед запуском
|
||
|
||
- Собрать или загрузить `linux/amd64` images:
|
||
- `nodedc/launcher:local`
|
||
- `nodedc/plane-frontend:ru`
|
||
- `nodedc/plane-admin:ru`
|
||
- `nodedc/plane-space:ru`
|
||
- `nodedc/plane-live:local`
|
||
- `nodedc/plane-backend:local`
|
||
- `nodedc/plane-proxy:ru`
|
||
- Для Ops Agents Gateway отдельный registry image пока не обязателен: deploy из source repo выполняется через `docker compose --env-file .env -f docker-compose.synology.yml up -d --build`.
|
||
- Создать `.env.synology` из `.env.synology.example` и заменить все `replace-with-*`.
|
||
- Создать `plane.env.synology` для Tasker из `plane.env.staging.example`, но с HTTP URL на `*.nas.nodedc:18080` и портами `18090/18490`.
|
||
|
||
## Обязательные runtime-права
|
||
|
||
Launcher пишет runtime snapshot и uploads под пользователем `node` (`uid=1000`). После создания NAS-папок:
|
||
|
||
```bash
|
||
cd /volume1/docker/nodedc-platform/platform
|
||
sudo mkdir -p ../launcher/server-storage ../launcher/uploads
|
||
sudo chown -R 1000:1000 ../launcher/server-storage ../launcher/uploads
|
||
sudo chmod -R u+rwX,g+rwX ../launcher/server-storage ../launcher/uploads
|
||
```
|
||
|
||
Проверка внутри контейнера:
|
||
|
||
```bash
|
||
sudo /usr/local/bin/docker exec nodedc-platform-launcher-1 sh -lc \
|
||
'touch /app/server/storage/.write-test /app/server/storage/uploads/.write-test && rm /app/server/storage/.write-test /app/server/storage/uploads/.write-test && echo storage-ok'
|
||
```
|
||
|
||
## Проверки после деплоя
|
||
|
||
```bash
|
||
curl -k -sS --compressed https://id.nodedc.ru/if/flow/default-authentication-flow/ \
|
||
| grep -aE 'hub.nodedc.ru|launcher.local|getLauncherBaseUrl|Запросить доступ'
|
||
```
|
||
|
||
В выводе должны быть `id.nodedc.ru -> hub.nodedc.ru` и не должно быть `launcher.local`.
|