⑧AMI

/home/ssm-user/awsmaster/ 配下

  /app/*              -> app=Rubyイメージに展開するファイル
  /containers/        -> 各イメージの設定ファイル
             /app/              -> app=Rubyイメージの設定ファイル
                 /Dockerfile             -> イメージ作成の手順
                 /entrypoint.sh          -> イメージ起動時のスクリプト
             /web/              -> web=Nginxイメージの設定ファイル
                 /Dockerfile             -> イメージ作成の手順
                 /nginx.conf             -> Nginxの共通設定
                 /default.conf.template  -> Nginxで起動するWebサーバの設定
  /docker-compose.yml -> docker-composeの設定

## 1.【途中から再開の場合も毎回実行】コンソール画面からConnectするか、
## AWSCLIでStart Sessionする ※操作前にEC2 [viaelb]を起動させておくこと！
aws ssm start-session --target [i-*** Instance ID] ### [Change Instance ID]

## 【途中から再開の場合も毎回実行】EC2で作業ディレクトリに移動
bash
mkdir -p ~/awsmaster && cd ~/awsmaster

## 2. dockerコマンドをすぐ使えるようにする
sudo usermod -a -G docker $(whoami)

## グループの変更がすぐに反映されないので回避策
exec sudo -i -u $(whoami)
cd ~/awsmaster

## 3. Dockerビルド前の準備
## ディレクトリの作成
mkdir -p app
mkdir -p containers/app
mkdir -p containers/web

## 以下 cat <<EOF > のヒアドキュメント・標準出力の機能を使って、ファイルを作成します
## それぞれ EOF まで複数行まとめてコピペして、エンター(改行)を入力ください！
## \ と $ はその前に \ をつけてエスケープしています
## \ はファイルに出力されない文字なのでご注意ください
##
### [Change] と書かれた箇所は *全て* ご自身のものに置き換えてください
## ↓Secrets　Manager で SecretForRDSAwsmaster-************ を開いてください
## ※YouTube動画では誤って SecretForRDS の方を開いていますが間違いです。申し訳ありません
## Secrets の値は Retrieve secret value ボタンをクリック
## Ref. https://ap-northeast-1.console.aws.amazon.com/secretsmanager/
##
## ※注意 docker-compose.ymlにパスワードなどを書くのはセキュリティ的に望ましくない
## ですが、実際の本番環境ではECSなどを使いますので、今回は勉強のためとご容赦ください
################################

### [Change: SecretForRDSAwsmaster > host]
MYSQL_HOST=awsmaster-prod-rds.cluster-************.ap-northeast-1.rds.amazonaws.com
### [Change: SecretForRDSAwsmaster > database]
MYSQL_DATABASE=awsmaster
### [Change: SecretForRDSAwsmaster > username]
MYSQL_USER=awsmaster
### [Change: SecretForRDSAwsmaster > password]
MYSQL_PASSWORD=********************************
### [Change: Route 53 > HostedZone]
RAILS_CONFIG_HOSTS=awsmaster.jp

cat <<EOF > docker-compose.yml
services:
  app:
    build:
      context: .
      dockerfile: ./containers/app/Dockerfile
    environment:
      MYSQL_HOST: ${MYSQL_HOST}
      MYSQL_DATABASE: ${MYSQL_DATABASE}
      MYSQL_USER: ${MYSQL_USER}
      MYSQL_PASSWORD: ${MYSQL_PASSWORD}
      RAILS_ENV: development
      RAILS_CONFIG_HOSTS: .${RAILS_CONFIG_HOSTS}
    volumes:
      - ./app/:/awsmaster/
    ports:
      - "3000:3000"
    container_name: app
    restart: always
  web:
    build:
      context: .
      dockerfile: ./containers/web/Dockerfile
    command: /bin/bash -c "envsubst '\$\$NGINX_BACKEND' < /etc/nginx/conf.d/default.conf.template > /etc/nginx/conf.d/default.conf && exec nginx -g 'daemon off;'"
    environment:
      NGINX_BACKEND: app
    volumes:
      - ./containers/web/nginx.conf:/etc/nginx/nginx.conf
      - ./containers/web/default.conf.template:/etc/nginx/conf.d/default.conf.template
    ports:
      - "80:80"
    depends_on:
      - app
    container_name: web
    restart: always
EOF

################################
cat <<EOF > app/Gemfile
source 'https://rubygems.org'
gem 'rails', '~> 7.0'
EOF

################################
touch app/Gemfile.lock

################################
cat <<EOF > containers/app/Dockerfile
FROM public.ecr.aws/docker/library/ruby:3.2
RUN apt-get update -qq && \\
    apt-get install -y --no-install-recommends --no-install-suggests default-mysql-client && \\
    apt-get clean && \\
    rm -rf /var/lib/apt/lists/*

WORKDIR /awsmaster
COPY app/Gemfile app/Gemfile.lock /awsmaster/
RUN gem update bundler && \\
    bundle install

COPY app/ /awsmaster/
COPY containers/app/entrypoint.sh /usr/bin/
RUN chmod +x /usr/bin/entrypoint.sh
ENTRYPOINT ["entrypoint.sh"]
EXPOSE 3000
CMD ["rails", "server", "-b", "0.0.0.0"]
EOF

################################
cat <<EOF > containers/app/entrypoint.sh
#!/bin/bash
set -e

# Remove a potentially pre-existing server.pid for Rails.
rm -f /awsmaster/tmp/pids/server.pid

# Then exec the container's main process (what's set as CMD in the Dockerfile).
exec "\$@"
EOF

################################
cat <<EOF > containers/web/Dockerfile
FROM public.ecr.aws/nginx/nginx:1.25
COPY containers/web/nginx.conf /etc/nginx/nginx.conf
COPY containers/web/default.conf.template /etc/nginx/conf.d/default.conf.template
EOF

################################
cat <<EOF > containers/web/nginx.conf
user nginx;
worker_processes 1;

error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

events {
  worker_connections 1024;
}

http {
  server_tokens off;

  map \$http_cloudfront_forwarded_proto \$real_ip_temp {
    ~http?   \$http_x_forwarded_for;
    default '\$http_x_forwarded_for, dummy';
  }

  include /etc/nginx/mime.types;
  default_type application/octet-stream;

  log_format main '\$real_ip - \$remote_user [\$time_local] "\$request" '
                  '\$status \$body_bytes_sent "\$http_referer" '
                  '"\$http_user_agent" "\$forwarded_for"';

  access_log /var/log/nginx/access.log main;

  sendfile on;
  keepalive_timeout 65;

  proxy_buffer_size 32k;
  proxy_buffers 50 32k;
  proxy_busy_buffers_size 32k;

  include /etc/nginx/conf.d/*.conf;
}
EOF

################################
cat <<EOF > containers/web/default.conf.template
upstream backend {
  server \${NGINX_BACKEND}:3000;
}
server {
  listen 80;
  server_name localhost;

  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
  # add_header X-Content-Type-Options nosniff always;
  # add_header X-Frame-Options SAMEORIGIN always;
  # add_header X-XSS-Protection "1; mode=block" always;

  ## Module ngx_http_realip_module
  ## http://nginx.org/en/docs/http/ngx_http_realip_module.html
  set_real_ip_from 10.0.0.0/8;
  real_ip_header X-Forwarded-For;
  set \$real_ip \$realip_remote_addr;
  set \$forwarded_for -;
  if (\$real_ip_temp ~ "([^, ]+) *, *[^, ]+ *\$") {
    set \$real_ip \$1;
    set \$forwarded_for '\$http_x_forwarded_for, \$realip_remote_addr';
  }

  client_max_body_size 30M;

  location ~* ^/ {
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    # add_header X-Content-Type-Options nosniff always;
    # add_header X-Frame-Options SAMEORIGIN always;
    # add_header X-XSS-Protection "1; mode=block" always;

    ## nginx - no resolver defined to resolve s3-eu-west-1.amazonaws.com - Stack Overflow
    ## https://stackoverflow.com/questions/49677656/
    # resolver 169.254.169.253 valid=30s;

    proxy_cookie_path ~^/(.*)\$ "/\$1; Secure";
    proxy_set_header Host \$host;
    proxy_pass http://backend;
  }
}
EOF

################################
## rails new（初期設定）※数分かかります
docker-compose run --no-deps app rails new . --force --database=mysql

## Rubyコンテナに展開するファイルが作られたことを確認
ls -l app/

## パーミッション修正
sudo chown -R $(id -u):$(id -g) app/

## ファイルのバックアップ
mv app/config/database.yml app/config/database.yml.original

################################
cat <<EOF > app/config/database.yml
default: &default
  adapter: mysql2
  encoding: utf8
  pool: 5
  ssl_mode: required
  host: <%= ENV['MYSQL_HOST'] %>
  database: <%= ENV['MYSQL_DATABASE'] %>
  username: <%= ENV['MYSQL_USER'] %>
  password: <%= ENV['MYSQL_PASSWORD'] %>

development:
  <<: *default

test:
  <<: *default

production:
  <<: *default
EOF

################################
## ファイルの修正。doneまでまとめてコピペしてください！
## Rails6から導入されたBlocked hostエラーを回避するための設定を追加します
## .awsmaster.jpのようにドットをドメイン名の前に書くことで「サブドメインを含む」という意味になります
for rb in $( ls app/config/environments/*.rb ); do
  perl -pi -e 's/^end$/\n  # Allow requests from domain ENV.fetch("RAILS_CONFIG_HOSTS").\n  config.hosts << ENV.fetch("RAILS_CONFIG_HOSTS")\n\n  # Allow requests from docker container.\n  config.web_console.whitelisted_ips = "172.16.0.0\/12"\nend/' ${rb}
done

################################
## 4. appのDockerビルド ※数分かかります
docker-compose build app

## 5. appコンテナでDBのセットアップ（ここからappコンテナの中で実行）
docker-compose run --no-deps app /bin/bash

## RDSでユーザー作成 ※操作前にRDSを起動させておくこと！
mysql --ssl -h ${MYSQL_HOST} -u root -p -e \
"DROP USER IF EXISTS '${MYSQL_USER}'@'%'; \
CREATE USER '${MYSQL_USER}'@'%' IDENTIFIED BY '${MYSQL_PASSWORD}'; \
GRANT ALL ON \`%\`.* TO '${MYSQL_USER}'@'%'; \
SHOW GRANTS FOR '${MYSQL_USER}'@'%';"

## Enter password: が表示されたらMaster user(root)のパスワードを入力
## ↓Secrets　Manager で SecretForRDS-************ の password
## ※先ほどは SecretForRDSAwsmaster でした。今回は別の方なのでご注意ください
## Ref. https://ap-northeast-1.console.aws.amazon.com/secretsmanager/
## Secrets の値は Retrieve secret value ボタンをクリック

## 次のように表示されたらOK。awsmasterはご自身の${MYSQL_USER}に置き換わります
## これで全DB(`%`.*)への全権限(ALL PRIVILEGES)が付与されました
## 実際の現場では全DBではなく、実際に使うDBのみに権限を絞った方が良いですね
## +--------------------------------------------------+
## | Grants for awsmaster@%                           |
## +--------------------------------------------------+
## | GRANT USAGE ON *.* TO `awsmaster`@`%`            |
## | GRANT ALL PRIVILEGES ON `%`.* TO `awsmaster`@`%` |
## +--------------------------------------------------+

## RDSでDB作成
## ▼ ①初めて実行する場合
rails db:create
## ▼ ②rails db:create後に全部削除して再度やり直す場合
# rails db:reset

## 次のように表示されたらOK。awsmasterはご自身の${MYSQL_DATABASE}に置き換わります
## Created database 'awsmaster'
## Database 'awsmaster' already exists

## Rubyの動作確認用にscaffoldを実行。Rubyのファイルを編集します
rails generate scaffold user name:string email:string

## RDSでDB更新（DBマイグレーションと呼びます）
rails db:migrate

## 次の内容が表示されたらOK
## CreateUsers: migrated

## appコンテナ終了（ここまでappコンテナの中で実行）
exit

## 6. ファイル編集が終わったところで最後にappとwebのDockerビルド
## パーミッション修正
sudo chown -R $(id -u):$(id -g) app/

## Docker再ビルド ※数分かかります
docker-compose build

## 7. 既存のNginxコンテナを確認して停止
docker container ls

## 上記でNginxコンテナが表示された場合のみ、次の2行を実行する
docker container stop nginx
docker container update --restart=no nginx

## 8. docker-composeでNginxとRubyのコンテナを起動して確認
docker-compose up -d --remove-orphans
docker container update --restart=always app web
docker container ls

## 9. コマンドでテスト（HTTPヘッダーを確認）※初回は応答に時間がかかるので注意
curl -IXGET http://localhost/
curl -IXGET http://localhost/users
curl -IXGET http://elb.[ご自身のドメイン名]/
curl -IXGET https://elb.[ご自身のドメイン名]/
curl -IXGET https://elb.[ご自身のドメイン名]/users

## 10. ブラウザでテスト（ユーザーの作成・変更・削除が可能です）
## https://elb.[ご自身のドメイン名]/