7

サーバ管理用に使う、スクリプトや設定ファイルは、どのように変更管理してますか。
共用アカウントを使い、本番サーバしか無い状態で、変更管理をする場合は、みなさんはどのように管理されていますか?

私は、社内向けに提供するデータ分析用のサーバの管理及びデータ解析を任される事になりました。
ただ、規模が小さいので、開発-ステージング-本番といったアプリ開発の様な構成も取れず、
直接本番サーバのスクリプトや設定を弄っている状態です。

現状の管理方法としては、同一フォルダにディレクトリを用意して、「~.pl.r1」の様にして過去分を管理しているのですが、これはさすがに色々マズ過ぎと考えています。

また、簡単な構成は下記の様になります。

ログの集約サーバがあり、そこのログで必要な分を、機能ごとに分けた分析用サーバ(複数)はマウントして使用する(どちらのサーバもすべて仮想マシン)。

また、ログの集約サーバには分析用サーバ用の共有ライブラリ(perl、sh)もあり、
各分析サーバはそこをマウントして共用する。

と言った状態です。

私なりの答えとしては、
ログの集約サーバにリポジトリを作成して、各分析サーバはそれをチェックアウトして使用する。
と言うものですが、アプリ屋あがりなので、インフラ管理という視点ではどうなのか検討がつきません。

さらに、githubの様な外部のホスティングサービスは、上司の許可が下りないので、
使えるとしても、subversionやGitLab、GitBucketあたりのオンプレミスなバージョン管理ツールしか使用出来ません。

また、個人情報を扱うログデータもある為、それを加工するスクリプトには、一部の人しか触れないようにロール管理も必要です。

みなさんならどう対応しますか?

4
  • ログデータ自体ではなくてスクリプトにロール管理が必要な理由がよくわからないです。
    – h2so5
    Commented 2015年6月6日 5:57
  • あなた以外にもスクリプトの開発や設定の変更、解析の実行を行う人がいるのでしょうか。
    – unarist
    Commented 2015年6月6日 6:21
  • @h2so5 スクリプトにログデータのパスやスクリプトの内容からどんなデータがあるのか知られたくないという方針らしいです。その為、個人情報を扱うようなログデータがからむスクリプトには、担当者以外見せたくないそうです。
    – yassan
    Commented 2015年6月6日 15:41
  • @unarist います。とは言え、10人にも満たないですが。。。ただ、個人情報を扱えるのは、そのうち、3人程度です。
    – yassan
    Commented 2015年6月6日 15:42

2 件の回答 2

1

私ならですが、
まず共有アカウントの運用をやめ、個別アカウントの運用に変えます。
root の直接ログインを全面的に禁止して sudo などを使うようにします。

ロール管理はファイルパーミッション、sudoers、などで制御します。
これられではロール管理が不十分であれば selinux を使います。

/etc 以下のファイルであれば etckeeper を使いバージョン管理を行います。
etckeeper は VCS のラッパーで Git/SVN などが使えます。
/etc 以外のファイルは Git/SVN でローカルリポジトリで管理する感じです。

3
  • 遅レスで申し訳無いです…。 etckeeper は知らなかったので、参考します!ありがとうございます。 おっしゃるとおり、共有アカウントを止めたいのですが、上長の意向なのでかなりそれを覆すのは、かなり難しいです。個別アカウントつくると、自分のでは動いていたのに、実行アカウントで動かなくなるとか多発するからイヤとの事…。そうならないようにするだけの話なのですが、なかなか、OKくれないので、それを説得する良い案があれば良いのですが…。
    – yassan
    Commented 2015年7月16日 12:42
  • 少なくとも、スクリプトのロール管理を実現するには、必要なロールごとにアカウントを作る必要があると感じました(他に方法が思いつかない…)。ですので、ロール管理の要求レベルがどの程度か?によるかもしれません。例えば実行アカウントへのsudoする権限があれば個別アカウントでもいいのでしょうか?
    – take88
    Commented 2015年7月17日 8:06
  • 説得材料としては、個別アカウント化を主に話すのではなく、分析用サーバーが今後増える場合を想定したシナリオ(あり得るのか分かりませんが…)で、セキュア化、変更管理、監査証跡、ロール管理、パスワード統合、などをセットにしてお話するのが良いんじゃないでしょうかね。
    – take88
    Commented 2015年7月17日 8:24
1

何が課題であるか、説明ごとに論点がズレているようにも感じます。
例えば過去分をリネームで管理していることが課題なのかと思えば、分散サーバにチェックアウト…という話が挙がってくるので、なぜチェックアウトが必要なのか、という疑問が生じてしまうのです。
リポジトリ管理とデプロイは別の話です。

「インフラ管理という視点ではどうなのか」と言われても、共用アカウントで開発環境すら用意できないという前提では、制約の中でしか考えられません(つまりベターですらない)。

読み解ける情報からだけ判断すれば、サーバにリポジトリを作るというのは、「過去分を管理」という観点では正しいと思います。
もし、共有ライブラリ以外のスクリプトも、分散サーバに「コピー」しないといけないと言うのであれば、タグからしてLinuxをお使いのようですから、rsyncでデプロイしてもよいのではないでしょうか。

ロール管理も、現時点でサーバへアクセス権がない人には、引き続きアクセス権がないので問題ありませんし、今は正しくないアクセス権があって困っているというのなら(そうは書いてありませんが)、まずはアクセス権を正しく設定するところから始めないと意味がありません。

gitで履歴を管理するだけであれば、リモートサーバを置く必要はありません。ローカルリポジトリを他と共有するために置く場所ですから、共有する必要がなければ必要ないと思います。
オンプレミスで置くのであれば、今はGitLabが一番容易だと思いますが、サーバは丸一台仮想で用意した方がよいです。Javaを動かすことができるウェブサーバ(tomcatなど)があるのであれば、GitBucketも容易です。jarファイルの設置だけで使えます。

ただし、本番サーバに乗せよう…というなら、いずれにしてもお勧めはしません。
「インフラの観点」からいえば、一つのサーバに何でもてんこ盛りにするのはリスクです。仮想化で運用されているのなら、新しいサーバを立てます。

6
  • 論点がズレてしまい、申し訳無いです。分散サーバの件に関しては、自分が思いつく解決方法の1つとして書いたのですが、おっしゃる通り、不要な課題が挙がって逆に議論にならないですね(・_・;) 課題としたいのは、「過去分をリネームで管理していること」です。 さらに過去分はリネームのみで、更新理由についてはどこにも一切残っていない状態です。 また、状況としては、本番構成の開発環境が用意出来ない状態で、 出来たとしても、共用アカウントをやめる事は不可能では無いです(これだけでも結構なハードルです)。 そして、仮想サーバを追加出来たとしても、1つかせいぜい2つ程度で、本番と同じ数のサーバを用意する事が出来ない状態です。 ベターでは無い状態(むしろワースト…)で、何か打開策は無いかとても悩んでいます。もし、何かあれば、ご教授頂ければ幸いです。
    – yassan
    Commented 2015年6月8日 16:13
  • 2
    コメントを拝見する限り、gitで管理するというのは、やはりよい方法だと思います。開発環境が用意できない分、速やかにロールバックが必要という点もあるでしょうし。 前述の通り、gitは必ずしもリモートリポジトリを必要としません。この点がSubversionと大きな違いです。ローカルでリポジトリ管理し、他のサーバへ差分を送りつけ合うイメージです。サーバで管理するにはサーバにgitをインストールするだけでできます。 スキルが推測できないので失礼かもしれませんが、まずローカルのPCで実験してみるのがよいと思います。リモートサーバは後からでもちゃんと全ての履歴を管理できるので大丈夫です。 直接本番サーバで書き換えていると伺ったのでコマンドラインを想定していますが、もしソースをPCからでもマウントできるなら、SourceTreeなどで(ローカル)管理もできます。まずは事故らないように、PCにSourceTreeを入れてローカルリポジトリ(リモートは作成しない)で、試してみてはどうでしょうか。
    – macchaka
    Commented 2015年6月9日 3:41
  • 補足しますが、ローカルリポジトリは.gitというディレクトリで管理されます。これを読み込めさえすればいいので、マウントできるなら云々…は、PCにSourceTreeをインストールし、マウントしたディレクトリを「新規リポジトリ→既存のローカルリポジトリを追加」でGUIで管理できるようになりますよ、の意味です。もちろんコマンドライン覚えた方が楽だと思いますが、履歴をGUIで見たいならそういう方法もあるかと。
    – macchaka
    Commented 2015年6月9日 3:50
  • gitってローカルリポジトリ作成出来るのですね。知りませんでした。ローカルVM立ち上げて試してみます!ありがとうございます。 ただ、svnでもローカルリポジトリの作成は可能です。 * リポジトリの作成     $ mkdir -p /home/hoge/local_repos     $ cd /home/hoge/local_repos     $ svnadmin create repo1 上記で、/home/hoge/local_repos/repo1 にリポジトリを作成する * 上記で作成したローカルリポジトリを /home/hoge/script1へチェックアウト     $ cd /home/hoge/     $ svn co file:///home/hoge/local_repos/repo1 script1 後は、いつも通り、svnコマンドで更新。 ただ、これから始めるならgitの方がマージが賢そうなので、gitを使って試してみます。
    – yassan
    Commented 2015年6月9日 17:34
  • コードブロックが効かない…。何度も通知が行っていたら本当に申し訳無いです…。
    – yassan
    Commented 2015年6月9日 17:41

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。