Махровый fullstack

Секреты, которые лучше не трогать… но это не точно

Нет ничего лучше (и более стимулируещего), что бы познакомиться с чем-то новым, как неработающий прод...ведь, да?

------------

Тележка пикнула бодрым: "Привет, у нас сайт недоступен из-за сертификата".

Быстренько глянул на проблемный сертификат. Убедился, что это let's encrypt и, лихо отрапортовав: "Давай рута, там делов на 5 минут", приступил к задачке на 5 минут.

Там делов на 5 минут
Там делов на 5 минут
Там делов на 5 минут
ТАМ ДЕЛОВ НА 5 МИНУТ

Все же знают эту магическую фразу, да?
Да, ожидаемо, там оказалось делов не на 5 минут.

------------

На сервере, не особо задумываясь, делаю привычное движение руками - certbot --nginx renew и получаю первый отлуп. Не могу, говорит certbot, обновить сертификат - 80 порт занят каким-то супостатом.

Выяснив, что супостат этот docker, да ещё и в режиме swarm, что для меня совсем новьё, откладываю мысль о том, что бы полазить в докере на потом. Не то что бы не могу, но это прод, а черного пояса по devops у меня нет, да он ещё и в режиме роя. Ну его нахер. 😰

Решаю, что сначала надо получить сертификат.

Пробую certbot с различными флагами - херушки-воробушки. Нужен 80 порт.

Тут меня посещает отличная мысль - надо сгенерировать сертификат на другой машине - изи-пизи!
Но и тут ждало разочаровнаие. А что бы убедиться, что ситуация усугубляется, я спросил у гугола, я спросил у яндекса, я спросил у знающих человеков - а можно ли сгенерировать сертификат на чужой машине? И, надо сказать, что гуголы/яндексы сказали правду - сгенерировать сертификат на чужой машине, без прямого доступа к DNS - нельзя, а вот человек, который меня уверял, что "да это фигня, я так тыщу раз делал", оказался не прав. 🤌

Тут стоит отметить, что раньше не задумывался как работает утилита, но оказалось, что для обновления сертификатов ей нужен 80 порт или доступ к зоне DNS. 🫠

И тут приходит осознание, что назревает вызов.
В голове вырисовывается план, которого, разумеется, будем придерживаться:
- положить веб-сервер и высвободить 80 порт;
- сгенерировать новый сертификат;
- заменить сертификат;
- запустить веб-сервер с новыми сертификатами;

Всё бы хорошо, но пугающие docker swarm и прод заставляют много думать, потеть и грызть ногти.

Хотя, с другой стороны, что я прод ни разу не клал что ли...
И на этой оптимистичной ноте я полез в docker с немытими руками...

В итоге всё оказалось не так страшно, как думалось. А думалось сначала в сторону killall -9 docker

🤪

И шаг за шагом к цели:
- снял с публикации порты 80/443

docker service update --publish-rm 80:80 service_name

docker service update --publish-rm 443:443 service_name

- сгенерировал новый сертификат

certbot certonly -d example.ru -d example.ru

- вернул порты на место

docker service update --publish-add published=80,target=80 service_name

docker service update --publish-add published=443,target=443 service_name

- сгенерировал новые секреты для docker

docker secret create fullchain-2025-12 fullchain.pem

docker secret create privkey-2025-12 privkey.pem

- заменил секреты

docker service update \
  --secret-rm fullchain \
  --secret-rm privkey \
  --secret-add source=fullchain-2025-12,target=fullchain \
  --secret-add source=privkey-2025-12,target=privkey \
  service_name

Ииии...чуда не произошло. Таргеты для секретов, брал из конфига docker-compose, который лежал рядышком, но оказалось, что конфиг не актуальный 😮, а для деплоя используется ansible, к которым доступа нет.

Пришлось копнуть глубже и поизучать секреты:

docker service inspect service_name --format '
{{range .Spec.TaskTemplate.ContainerSpec.Secrets}}
secret: {{.SecretName}}
target: {{.File.Name}}
---
{{end}}'

И уже, наконец, сделал правильные апдейты новых секретов.

К чему я это всё - а что б не забыть! 💪

#backend #devops #docker #docker_swarm #разработка

Please open Telegram to view this post

VIEW IN TELEGRAM

👍3

87 viewsedited 05:33