av
0e7300ed0e
- Уход от Yandex Container Registry на роль `app_image`: homepage, transcriber, remembos собираются локально и едут через docker save/load. - Сужение прав секретов: `yc_oauth_token` открывает весь аккаунт ради одного `docker login` — вторая задача зависит от первой.
Pet Project Server
Настройки виртуального сервера для домашних проектов.
В этом проекте не самые оптимальные решения. Но они помогают мне поддерживать сервер для моих личных проектов уже много лет.
История и обоснования значимых решений — в ADR-записях
(docs/adr/): почему приняты те или иные изменения, а не только что сделано.
Требования
Установка
uv sync
cp ansible-vault-password-file.dist ansible-vault-password-file
uv run ansible-galaxy install --role-file requirements.yml
Структура
- Для каждого приложения создается свой пользователь.
- Для доступа используется ssh-ключ.
- Безопасность осуществляется с помощью
ufwиfail2ban. - Докер используется для запуска и изоляции приложений. Для загрузки образов настраивается Yandex Docker Registry.
- Выход во внешнюю сеть через proxy server Caddy.
- Чувствительные данные в secrets.yml зашифрованы с помощью Ansible Vault.
- Для мониторинга за сервером устанавливается netdata.
Настройка DNS
В организации Яндекс: https://admin.yandex.ru/domains/vakhrushev.me?action=set_dns&uid=46045840
Деплой приложений
Деплой приложения через ansible:
uv run ansible-playbook -i production.yml --diff playbook-gitea.yml
Или через таску invoke:
./inv pl -- gitea
Удаление приложения
uv run ansible-playbook -i production.yml --diff playbook-remove-user-and-app.yml --extra-vars user_name=<name>