Oracle Linux 8 (arm64) 서버에 mariadb 10.7 설치

Oracle Cloud Infrastructure (https://www.oracle.com/kr/cloud/free/)

에서 무료로 제공 되고 있는 서버중 Ampere 를 이용한 인스턴스(VM.Standard.A1.Flex)를 확보 하게 되었다 ‘ㅅ’a (평생 무료)

2코어 12GB 램을 가지고 있어서 활용 방법을 구상 하다가 개인의 DB 서버를 구축을 해서 운용 하면 좋을것으로 판단되어서 mariadb 10.7을 설치 하고

현재 웹사이트인 www.enteroa.com 의 데이터베이스 서버로 활용을 하기로 하였다.

서버 확보가 쉽지 않았지만… (무료 인스턴스 제공 갯수 제한이 있어 Out of host capacity 오류로 생성이 잘 되지 않는다.)

먼저 서버의 시간을 지정 하고 OS 업데이트를 진행 한뒤 재부팅 및 기본 적인 설정을 한다.

# 타임존 설정

~]# ln -sf /usr/share/zoneinfo/Asia/Seoul /etc/localtime

# oracle-epel-release 활성화 (이부분은 oracle-epel-ol8.repo 에서 enabled=0 처리가 되어 있어서 하는 부분..)

~]# yum-config-manager --enable ol8_developer_EPEL ol8_developer_EPEL_modular

# OS 업그레이드

~]# dnf -y upgrade

# 업그레이드 후 재부팅

~]# reboot

# 필수 프로그램 설치(sealert, htop, pstree)

~]# dnf install psmisc htop setools-console setroubleshoot-server

# vim 사용 설정

~]# echo "alias vi=vim" >> /etc/bashrc

이후 mariadb.org 에서 현재 상황에 맞게 설치를 진행 한다. (https://mariadb.org/download/?t=repo-config&d=Red+Hat+EL+8+%28ARM64%29&v=10.7&r_m=yongbok)

2022-04-27_101422

오라클 리눅스는 기본적으로 RHEL 8 의 복제판 이기 때문에 RHEL 8(ARM64)을 선택하고 RC 가 아닌 최신 10.7 버전을 선택 하였다.

이후 안내 되는 내용에 따라 /etc/yum.repos.d/MariaDB.repo 파일을 생성 하여 아래와 같이 입력 한다.

# MariaDB 10.7 RedHat repository list - created UTC

# https://mariadb.org/download/

[mariadb]

name = MariaDB

baseurl = https://mirror.yongbok.net/mariadb/yum/10.7/rhel8-aarch64

module_hotfixes=1

gpgkey=https://mirror.yongbok.net/mariadb/yum/RPM-GPG-KEY-MariaDB

gpgcheck=1

dnf 명령어를 이용하여 설치를 하고 서비스 활성화 및 데몬을 실행 시킨다.

~]# dnf install -y MariaDB-server MariaDB-client

~]# systemctl enable --now mariadb.service

AWS 의 경우 방화벽이 서버 밖에 테이블 형태로 제어 되지만 오라클 클라우드 의 경우 서버내의 firewalld 으로 제어 되기 때문에 방화벽에서 mysql 서비스를 외부 접근을 허용 한다.

1 2	~]# firewall-cmd --add-service=mysql --permanent ~]# firewall-cmd --reload

데이터베이스 서버에 불필요한 일부 데몬(atd, gssproxy, rpcbind)을 정지 한다. (메모리 절감)

1	~]# systemctl disable --now atd.service gssproxy.service rpcbind.service

기본 인코딩을 설정하고 및 로깅을 위해 /etc/my.cnf.d/mysql-clients.cnf 파일을 수정 한다. (mariadb 10.7 은 기본 캐릭터셋이 utf8mb3 이다.)

[client]

default-character-set = utf8mb3

[mariadb]

character-set-server = utf8mb3

collation-server = utf8mb3_general_ci

skip-name-resolve

[mysqld]

log-error = /var/log/mariadb/mariadb.log

max-connect-error = 10000

slow-query-log = 1

slow_query_log_file = /var/log/mariadb/slow-query.log

long_query_time = 5.0

[mysql]

default-character-set = utf8mb3

[mysql_upgrade]

[mysqladmin]

[mysqlbinlog]

[mysqlcheck]

[mysqldump]

default-character-set = utf8mb3

[mysqlimport]

[mysqlshow]

[mysqlslap]

지정한 error 및 slow 로그 생성을 위해서 로그 저장 위치에 폴더를 생성해 준다.

1 2	~]# mkdir -m 700 /var/log/mariadb ~]# chown mysql /var/log/mariadb

수정한 설정 파일을 적용 하기 위해 mariadb 를 재시작 한다.

1	~]# systemctl restart mariadb.service

mysql 로그인을 한뒤 변경된 내용을 확인 한다.

~]# mysql

MariaDB [(none)]> show variables like 'c%';

+----------------------------------+----------------------------+

| Variable_name | Value |

+----------------------------------+----------------------------+

| character_set_client | utf8mb3 |

| character_set_connection | utf8mb3 |

| character_set_database | utf8mb3 |

| character_set_filesystem | binary |

| character_set_results | utf8mb3 |

| character_set_server | utf8mb3 |

| character_set_system | utf8mb3 |

| character_sets_dir | /usr/share/mysql/charsets/ |

| check_constraint_checks | ON |

| collation_connection | utf8mb3_general_ci |

| collation_database | utf8mb3_general_ci |

| collation_server | utf8mb3_general_ci |

| column_compression_threshold | 100 |

| column_compression_zlib_level | 6 |

| column_compression_zlib_strategy | DEFAULT_STRATEGY |

| column_compression_zlib_wrap | OFF |

| completion_type | NO_CHAIN |

| concurrent_insert | AUTO |

| connect_timeout | 10 |

| core_file | OFF |

+----------------------------------+----------------------------+

불피요한 데이터 베이스인 test 를 삭제 하고 필요한 database 및 로그인 권한을 생성 한다.

MariaDB [(none)]> drop database test;

MariaDB [(none)]> create database enteroa;

MariaDB [(none)]> CREATE USER enteroa@'%' IDENTIFIED BY '비밀번호';

MariaDB [(none)]> GRANT ALL privileges ON enteroa.* TO enteroa@'%';

이제 이용하면 된다 ‘ ㅅ’a

git 명령어 사용법

git 은 가능하면 일반 유져 권한으로 하자 ‘ㅅ’a (apache 에서 엑세스가 잘 되려면.)

기본적으로 git 은 암호 를 저장하는 store 방식으로 설정을 할 경우 ~/.git-credentials 파일에

https://[아이디]:[패스워드]@깃호스트주소 형태로 평문 저장을 한다. 때문에 보안상 좋지 않다.

다만 별도의 config 없이 git 명령어 를 사용할 때 마다 아이디, 패스워드를 입력을 요구 하기 때문에

아래와 같은 명령어로 cache 를 1시간 설정 값을 지정해서 일정 시간 인증을 유지하는 편이 정신건강에 좋다.

~]$ git config credential.helper 'cache --timeout=3600'

## 정보 등록

~]$ git config --gloabal user.name "ABC"

~]$ git config --gloabal user.email "abc@test.com"

## 정보 삭제

~]$ git config --unset --global user.name

~]$ git config --unset --global user.email

git을 이용해서 remote 서버인 origin에 쓰기가 필요한 경우 사용자 정보를 입력 해준다 ‘ㅅ’a

더 많은 사용 방법이 있겠지만 대부분 툴을 쓰는 부분이기도 하고 이정도만 알면 shell 에서 사용하는데 무리가 없을듯 하다 ‘ㅅ’a

## 받기

~]$ git clone <깃주소>/<레파지토리이름> # 레파지토리 최신 내용을 다운받는다.

~]$ git fetch # 레파지토리 최신 정보를 가져온다. 병합 안함.

~]$ git pull # 레파지토리 최신 정보를 가져와 병합 한다.

## 사용 하기

~]$ git checkout <브렌치> # 지정한 브렌치로 변경한다.

~]$ git checkout -b <브렌치> # 브렌치를 생성 하며 변경 한다.

~]$ git branch -d <브렌치> # 브렌치를 삭제 한다.

~]$ git branch -a # 모든 브렌치 리스트를 본다.

## 쓰기

~]$ git add . # 현재 디렉토리의 변경사항을 스테이지에 올린다.

~]$ git commit -m "<내용>" # 버전을 정의 한다.

~]$ git push origin <브렌치> # origin 리모트 서버의 master 브랜치로 푸쉬 한다.

다른 방법으로는 ssh-key 를 만들어서 ssh 방식으로 사용하는 방법이 있다.

1. rsa key 생성

~]$ ssh-keygen -t rsa -P "" -f ~/.ssh/git_id_rsa

~]$ cat ~/.ssh/git_id_rsa.pub

ssh-rsa AAAA......................................Qs= id@hostname

cat 을 통해 확인된 공개 키를 git 서비스를 제공 하는 사이트에 ssh key 등록을 한다.

AWS CodeCommit 의경우 IAM – 사용자 – 보안 자격 증명 에 codecommit 용 ssh-key 등록 메뉴가 존재 한다.

2. config 파일 생성 (키등록후 나온 ssh 키 ID 가 User 값으로 사용 된다.)

~]$ touch ~/.ssh/config

~]$ chmod 600 ~/.ssh/config

~]$ vi ~/.ssh/config

### AWS codecommit us-west-1 에서 사용하는 인증

Host git-codecommit.us-west-1.amazonaws.com

User AAAAAAAAAAAAAAAAAAAA

IdentityFile ~/.ssh/other_id_rsa

### AWS codecommit 그외 모든 리전에서 사용하는 인증

Host git-codecommit.*.amazonaws.com

User BBBBBBBBBBBBBBBBBBBB

IdentityFile ~/.ssh/git_id_rsa

3. git 을 사용한다 ‘ㅅ’b (ssh 키로 등록해서 사용할 경우 git 주소의 시작이 https 에서 ssh 으로 변경되어야 한다.)

1	~]$ git clone ssh://<깃주소>/<레파지토리이름>

AWS 서버 발생 로그의 분리 보관 (amazon-cloudwatch-agent)

서버내 dbus -> rsyslogd 에 의해 수집된 시스템 로그는 /var/log 아래에 파일 형태로 저장 된다.

이는 /etc/logrotate.conf 설정에 따라 서버내에 보관이 된다.

다만 보관된 파일의 파일 형태로 저장되어 있기 때문에 구조만 알고 있다면 파일을 삭제 하거나 변조 할 수 있으므로

추후 추적을 용의 하게 하기 위해, 데이터 무결성을 보장하기 위해, 혹은 다중의 서버의 데이터를 모아서 보관 하기위해 log 콜렉팅을 하는것이 일반적인 보안 방법 이다.

단순한 rsyslogd 를 이용한 udp 푸시 및 graylog collecting 은 기존에 설명을 했지만

AWS 상에서는 CloudWatch Log 라는 기능을 제공 한다 이를 통해 지표 형태로 보거나 알람 설정등을 할 수 있다.

서버에서는 CloudWatch log 쪽으로 데이터를 넣어주는 프로그램을 설치해서 운용 하며 이후

Log 파일의 안전한 분리 보관, 보관 주기 설정, 알람 설정 등을 웹 콘솔상에서 편하게 진행할 수 있다.

기존에 centos 7 에서는 yum 을 이용하여 awslogs 라는 프로그램을 설치하여 같은 기능을 사용하고 있었으나

Rockylinux 8 에서는 dnf 패키지가 없는 관계로 RPM 설치를 필요로 한다.

AWS 웹콘솔 에서 IAM 메뉴의 Role (역할) 을 생성 하고 권한을 부여 한다. (중간에 권한은 지정하지 않고 생성 하고 추후 인라인 정책으로 생성 한다.)

인라인 정책을 생성 한다. (생성한 정책이 다른 계정 이나 역할에 공통으로 부여할 필요하 있으면 일반 정책 생성 후 연결 한다.)

{

"Version": "2012-10-17",

"Statement": [

{

"Sid": "VisualEditor0",

"Effect": "Allow",

"Action": [

"logs:CreateLogStream",

"logs:DescribeLogStreams",

"logs:PutLogEvents"

"Resource": [

"arn:aws:logs:ap-northeast-2:*:log-group:*"

]

{

"Sid": "VisualEditor1",

"Effect": "Allow",

"Action": "logs:PutLogEvents",

"Resource": [

"arn:aws:logs:ap-northeast-2:*:log-group:*:*:*"

]

{

"Sid": "VisualEditor2",

"Effect": "Allow",

"Action": "logs:CreateLogGroup",

"Resource": "*"

}

]

}

위 json 정책은 ap-northeast-2 (서울) 리전에 로그 를 쌓는 기능만 허용 하는것으로 제한 하였다.

생성된 Role (역할) 을 필요한 EC2에 연결 한다.

위에서 이야기 했지만 yum(dnf) 설치가 RockyLinux 8 에서 되지 않는다. 때문에 AWS 에서 배포 하는 rpm 파일을 가지고 설치를 진행 한다. (amazon-cloudwatch-agent 설치 메뉴얼)

~]$ sudo -i

~]# cd /opt

~]# curl https://s3.amazonaws.com/amazoncloudwatch-agent/redhat/amd64/latest/amazon-cloudwatch-agent.rpm -O

~]# rpm -U ./amazon-cloudwatch-agent.rpm

편리하게 사용하라고 대화식 명령어를 실행 하도록 되어 있다.
/opt/aws/amazon-cloudwatch-agent/bin/amazon-cloudwatch-agent-config-wizard

하지만 문답 형식의 영어를 읽기도 귀찮고(어렵고) Role (정책)을 부여하여 키없이 로그를 쌓게 하고자 했으나

스크립트에서는 필수적으로 Access Key/Secret Key 를 입력 해야 하는 부분이 있기 때문에 스크립트로 진행이 어렵다.

때문에 /opt/aws/amazon-cloudwatch-agent/bin/config.json 파일을 직접 수정 해 준다. (amazon-cloudwatch-agent 설정 메뉴얼)

{

"agent": {

"metrics_collection_interval": 30,

"run_as_user": "root",

"logfile": "/var/log/aws-cw-agent.logs"

"logs": {

"logs_collected": {

"files": {

"collect_list": [

{

"file_path": "/var/log/messages",

"log_group_name": "XXXX-syslog",

"log_stream_name": "XXXXXXXXXXXX-01_{instance_id}_messages",

"timestamp_format": "%b %d %H:%M:%S"

{

"file_path": "/var/log/secure",

"log_group_name": "XXXX-syslog",

"log_stream_name": "XXXXXXXXXXXX-01_{instance_id}_secure",

"timestamp_format": "%b %d %H:%M:%S"

{

"file_path": "/var/log/httpd/access_log",