2026-08-26 08:59:44 +08:00
|
|
|
|
# 阿里云单机演示部署
|
|
|
|
|
|
|
2026-08-26 22:56:19 +08:00
|
|
|
|
该配置用于单机公网演示，不是生产验收配置。只向公网发布HTTP 80和HTTPS 443；PostgreSQL、Redis、MinIO、Keycloak内部端口以及API/Worker端口均不映射到宿主机。当前阿里云演示机使用Let's Encrypt短期IP证书，`certbot-ip-renew.timer`负责自动续期。单机备份覆盖PostgreSQL、Redis、MinIO对象和当前Keycloak数据目录，并执行数据库级隔离恢复校验；五分钟健康检查覆盖部署模式、公网入口、OIDC、容器、模拟服务、备份、外部告警、证书、定时任务和磁盘。跨故障域备份、真实告警接收器、真实RTC、模型、内容安全和云KMS仍按阶段8验收清单执行。
|
2026-08-26 08:59:44 +08:00
|
|
|
|
|
|
|
|
|
|
服务器至少需要Docker Engine 29与Compose 2.40。首次部署先生成权限为600的服务器专用配置：
|
|
|
|
|
|
|
|
|
|
|
|
```sh
|
|
|
|
|
|
./deploy/server/bootstrap-secrets.sh \
|
2026-08-26 10:04:01 +08:00
|
|
|
|
https://SERVER_IP \
|
2026-08-26 08:59:44 +08:00
|
|
|
|
0.64.0-rc.cloud1 \
|
|
|
|
|
|
FULL_GIT_COMMIT \
|
|
|
|
|
|
2026-08-26T00:00:00Z
|
|
|
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
载入同一候选版本的`data-terminal-cloud-backend`和`data-terminal-cloud-web`镜像后执行：
|
|
|
|
|
|
|
|
|
|
|
|
```sh
|
|
|
|
|
|
docker compose -f compose.yaml -f deploy/server/compose.override.yaml \
|
|
|
|
|
|
--env-file deploy/server/.env up -d --no-build \
|
|
|
|
|
|
postgres redis minio keycloak migrate seed mock-alert-receiver callbacks \
|
|
|
|
|
|
mock-provider api worker web gateway
|
|
|
|
|
|
```
|
|
|
|
|
|
|
2026-08-26 11:19:43 +08:00
|
|
|
|
安全组和主机防火墙只保留TCP 80、443以及受限来源的SSH 22。HTTP 80仅用于跳转到标准HTTPS 443。正式环境仍应配置自有域名、生产OIDC和真实外部服务，并切换到Kubernetes生产覆盖层。
|
2026-08-26 20:34:49 +08:00
|
|
|
|
|
|
|
|
|
|
## 自动备份与恢复校验
|
|
|
|
|
|
|
|
|
|
|
|
首次安装定时任务：
|
|
|
|
|
|
|
|
|
|
|
|
```bash
|
|
|
|
|
|
chmod 0755 deploy/server/backup.sh deploy/server/verify-backup.sh deploy/server/install-backup.sh
|
|
|
|
|
|
sudo deploy/server/install-backup.sh
|
|
|
|
|
|
sudo systemctl start platform-backup.service
|
|
|
|
|
|
sudo systemctl status platform-backup.service --no-pager
|
|
|
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
备份以AES-256-CBC、PBKDF2和独立随机口令加密，默认保存在`/var/backups/data-terminal-cloud`并保留14天。每次定时任务会实际把PostgreSQL恢复到随机隔离数据库，对比迁移状态、客户组织、账号、表和外键计数，再删除临时数据库。Redis RDB、MinIO对象和暂停后的Keycloak数据目录会进入同一加密归档并进行逐文件SHA-256校验；当前单机配置不把这些文件级检查冒充跨故障域生产恢复。
|
|
|
|
|
|
|
|
|
|
|
|
手工验证已有备份：
|
|
|
|
|
|
|
|
|
|
|
|
```bash
|
|
|
|
|
|
sudo deploy/server/verify-backup.sh /var/backups/data-terminal-cloud/platform-YYYYmmddTHHMMSSZ.tar.gz.enc
|
|
|
|
|
|
```
|
|
|
|
|
|
|
|
|
|
|
|
加密口令位于`/etc/data-terminal-cloud/backup-passphrase`且仅root可读。必须把该口令和加密备份复制到不同故障域；口令丢失将无法恢复备份。
|
2026-08-26 20:41:26 +08:00
|
|
|
|
|
|
|
|
|
|
## 健康监测与告警
|
|
|
|
|
|
|
|
|
|
|
|
```bash
|
|
|
|
|
|
chmod 0755 deploy/server/health-monitor.sh deploy/server/install-monitoring.sh
|
|
|
|
|
|
sudo deploy/server/install-monitoring.sh
|
|
|
|
|
|
sudo systemctl start platform-health-monitor.service
|
|
|
|
|
|
sudo systemctl show platform-health-monitor.service -p Result -p ExecMainStatus
|
|
|
|
|
|
python3 -m json.tool /var/lib/data-terminal-cloud-monitor/status.json
|
|
|
|
|
|
```
|
|
|
|
|
|
|
2026-08-26 22:56:19 +08:00
|
|
|
|
监测任务每五分钟执行，正常状态为`healthy`。默认`HOST_DEPLOYMENT_PROFILE=demo`，要求两个模拟服务完整运行；切到`production`后则要求模拟服务全部停止。它还要求宿主机所有非回环TCP监听只能使用22、80和443，避免安全组误放行与错误容器端口映射叠加后暴露数据库或缓存。默认只记录结构化状态和systemd日志；在`/etc/data-terminal-cloud/monitor.env`配置`ALERT_WEBHOOK_URL`后，状态变化会发送带时间戳和HMAC-SHA256签名的JSON通知。完整检查项、签名规则、阈值和失败分支见[《单机云端健康监测与告警手册》](../../docs/server-health-monitoring.md)。
|
|
|
|
|
|
|
2026-08-26 23:30:59 +08:00
|
|
|
|
生产候选不能只修改部署模式。生产验收快照同时要求：`HOST_DEPLOYMENT_PROFILE=production`；API、Callbacks和Worker实际容器`APP_ENV=prod`；Keycloak不使用`start-dev`；OSS异地备份最近一次上传与回读验证成功；真实外部告警接收器已配置；`mock-provider`和`mock-alert-receiver`均不运行。任一条件缺失都会阻断生产基础设施门禁，但不会影响`LAB`或`STAGING`联调。当前Compose覆盖层固定为演示用途，不能通过改标签升级成生产部署。
|
2026-08-26 20:55:35 +08:00
|
|
|
|
|
|
|
|
|
|
## OSS异地备份适配
|
|
|
|
|
|
|
|
|
|
|
|
```bash
|
|
|
|
|
|
chmod 0755 deploy/server/install-ossutil.sh \
|
|
|
|
|
|
deploy/server/install-offsite-backup.sh \
|
|
|
|
|
|
deploy/server/sync-backup-offsite.sh
|
|
|
|
|
|
sudo deploy/server/install-offsite-backup.sh
|
|
|
|
|
|
```
|
|
|
|
|
|
|
2026-08-26 22:27:49 +08:00
|
|
|
|
安装后默认为禁用状态，不会访问OSS。默认认证方式为`ecs_ram_role`，使用`cn-hangzhou`地域端点并强制先通过IMDSv2确认实例角色，不保存长期AccessKey。创建私有Bucket并绑定最小权限ECS RAM角色后，在`/etc/data-terminal-cloud/offsite-backup.env`填写Bucket和前缀、设置`OFFSITE_BACKUP_ENABLED=true`与`OFFSITE_BACKUP_REQUIRED=true`，再手工启动一次`platform-offsite-backup.service`。任务会上传加密归档及摘要、重新下载并复算SHA-256；健康检查在启用后强制要求最新本机归档已有对应远端验证。配置和真实验收步骤见[《阿里云OSS异地备份适配与门禁》](../../docs/offsite-backup.md)。
|
