#!/bin/bash


# スクリプト名: process_api_data.sh

# エラー発生時にスクリプトを即座に終了させる


# -e: コマンドが失敗した場合に終了


# -u: 未定義の変数を使用した場合に終了


# -o pipefail: パイプライン中のコマンドが失敗した場合に終了

set -euo pipefail

# エラーハンドリング: ERRシグナル（コマンドが非ゼロ終了した時）で実行

trap 'echo "ERROR: Script failed at line $LINENO with exit code $?" >&2; exit 1' ERR

# 一時ディレクトリの作成と終了時の自動削除

TMP_DIR=$(mktemp -d -t json_processor_XXXXXX)

# mktempが失敗した場合に備えて、TMP_DIRが設定されているか確認

if [[ -z "$TMP_DIR" || ! -d "$TMP_DIR" ]]; then
    echo "ERROR: Failed to create temporary directory." >&2
    exit 1
fi

# スクリプト終了時に一時ディレクトリを削除

trap 'rm -rf "$TMP_DIR" || echo "WARNING: Failed to remove temporary directory $TMP_DIR" >&2' EXIT

echo "一時ディレクトリ: $TMP_DIR"

# ここに処理本体を記述


# 例: curlでJSONを取得し、jqで処理

API_ENDPOINT="https://api.example.com/data" # 実際のAPIエンドポイントに置き換える
API_KEY="your_api_key" # 環境変数などで安全に管理することを推奨
OUTPUT_FILE="${TMP_DIR}/processed_data_$(date +%Y%m%d%H%M%S).json"

# curlコマンドでAPIからJSONデータを安全に取得


# --fail: HTTPステータスコードが400以上の場合にエラー終了


# --silent: 進捗表示を抑制


# --show-error: エラー発生時にエラーメッセージを表示


# --retry 5: 最大5回リトライ


# --retry-delay 5: 最初のリトライまで5秒待機


# --retry-max-time 60: リトライを含めた合計時間を60秒に制限


# --cacert /etc/ssl/certs/ca-certificates.crt: サーバー証明書の検証 (システムデフォルトCAを使用)


# -H "Authorization: Bearer $API_KEY": 認証ヘッダー

if ! curl --fail --silent --show-error \
          --retry 5 --retry-delay 5 --retry-max-time 60 \
          --cacert /etc/ssl/certs/ca-certificates.crt \
          -H "Content-Type: application/json" \
          -H "Authorization: Bearer $API_KEY" \
          "$API_ENDPOINT" > "${TMP_DIR}/raw_data.json"; then
    echo "ERROR: Failed to fetch data from API." >&2
    exit 1
fi

echo "APIからデータ取得成功: ${TMP_DIR}/raw_data.json"

# jqコマンドによる複雑なJSONデータ操作


# 前提: raw_data.json は以下のような構造を持つ


# {


#   "status": "success",


#   "timestamp": 1678886400,


#   "records": [


#     { "id": "A001", "name": "Item A", "value": 100, "active": true, "tags": ["alpha", "beta"] },


#     { "id": "B002", "name": "Item B", "value": 250, "active": false, "tags": ["gamma"] },


#     { "id": "C003", "name": "Item C", "value": 150, "active": true, "tags": ["alpha"] }


#   ]


# }

#


# 操作例:


# 1. statusが"success"であることを確認


# 2. records配列からactiveがtrueの項目のみを抽出


# 3. 各項目のid, name, valueに加えて、valueを2倍にした'doubled_value'を追加


# 4. tags配列に"processed"タグを追加


# 5. 結果を新しいJSON配列として出力

jq_filter='
    . as $input | # 入力全体を$input変数に格納
    if $input.status == "success" then # statusが"success"の場合のみ処理
        $input.records |                 # records配列を選択
        map(
            select(.active == true) |     # activeがtrueの項目をフィルタリング
            . + {                         # オブジェクトに新しいフィールドを追加
                doubled_value: (.value * 2),
                tags: (.tags + ["processed"]) # tags配列に"processed"を追加
            } |
            {id, name, value, doubled_value, tags} # 必要なフィールドのみを選択し順序を整形
        )
    else
        empty # statusが"success"でない場合は何も出力しない
    end
'

if ! jq "$jq_filter" "${TMP_DIR}/raw_data.json" > "$OUTPUT_FILE"; then
    echo "ERROR: Failed to process JSON data with jq." >&2
    exit 1
fi

echo "JSONデータ処理成功。結果は $OUTPUT_FILE に保存されました。"
cat "$OUTPUT_FILE"

# rootユーザーで実行

sudo useradd --system --no-create-home --shell /sbin/nologin jsonprocuser
sudo mkdir -p /var/log/json_processor
sudo chown jsonprocuser:jsonprocuser /var/log/json_processor

# スクリプトを適切な場所に配置

sudo install -o jsonprocuser -g jsonprocuser -m 0750 ./process_api_data.sh /usr/local/bin/process_api_data.sh

[Unit]
Description=JSON Data Processor Service
Documentation=https://example.com/docs/json_processor
After=network.target

[Service]

# スクリプトを実行するユーザーとグループ

User=jsonprocuser
Group=jsonprocuser

# 実行可能なコマンドと引数

ExecStart=/usr/local/bin/process_api_data.sh

# 作業ディレクトリ

WorkingDirectory=/var/log/json_processor

# サービスタイプ: oneshotはコマンド実行後に終了するタイプ

Type=oneshot

# 標準出力と標準エラーをjournalにリダイレクト

StandardOutput=journal
StandardError=journal

# セキュリティ強化設定


# PrivateTmp=true: サービス専用の一時ファイルシステムを作成し、他のプロセスから隔離

PrivateTmp=true

# ProtectSystem=full: /usr, /boot などのシステムディレクトリへの書き込みを禁止

ProtectSystem=full

# ProtectHome=true: /home, /root ディレクトリへの書き込みを禁止

ProtectHome=true

# NoNewPrivileges=true: プロセスが追加の特権を取得するのを禁止

NoNewPrivileges=true

# ReadWritePaths: 書き込みを許可するパスを明示

ReadWritePaths=/var/log/json_processor

# UMask: 作成するファイルのデフォルト権限 (0027は所有者RWX, グループR, その他-を意味)

UMask=0027

# CapabilityBoundingSet: プロセスが持つカーネル機能の集合を制限


# 例: CAP_NET_ADMIN, CAP_SYS_RAWIO などの危険な機能を無効化

CapabilityBoundingSet=~CAP_NET_ADMIN CAP_SYS_RAWIO CAP_SYS_CHROOT

# プロセスの再起動ポリシー


# OnFailure: 失敗した場合のみ再起動


# RestartSec: 再起動までの待機時間

Restart=on-failure
RestartSec=5s

[Unit]
Description=Run JSON Data Processor daily

[Timer]

# スクリプトの実行スケジュールを設定


# 例: 毎日午前3時 (JST) に実行

OnCalendar=*-*-* 03:00:00

# Persistent=true: タイマーがシステム停止中に期限切れになった場合、次回起動時に即座に実行

Persistent=true

# RandomSec: 指定された秒数内でランダムな遅延を追加し、同時実行による負荷スパイクを軽減

RandomSec=300 # 0～300秒 (5分) の間でランダムな遅延

# どのサービスユニットを起動するか

Unit=process_api_data.service

[Install]

# systemdタイマーの有効化時に、timers.targetの起動対象に含める

WantedBy=timers.target

# systemdデーモンをリロードして新しいユニットを認識させる

sudo systemctl daemon-reload

# タイマーユニットを有効化し、すぐに起動する

sudo systemctl enable --now process_api_data.timer

# サービスとタイマーのステータスを確認

systemctl status process_api_data.timer process_api_data.service

# ログの確認


# -u: 特定のユニットのログを表示


# -f: リアルタイムでログを追跡 (tail -f のような動作)

journalctl -u process_api_data.service -f