#!/bin/bash


# file: setup.sh

# ----------------------------------------------------


# 安全なシェルスクリプトのヘッダ


# ----------------------------------------------------

set -euo pipefail

# 一時ディレクトリの作成

TMP_DIR=$(mktemp -d -t my-app-deploy-XXXXXX)

# スクリプト終了時に一時ディレクトリを自動削除

trap 'rm -rf "$TMP_DIR"' EXIT HUP INT QUIT TERM

# ログファイル名（JST基準の具体日付 2024年05月15日 を使用）

LOG_FILE="/var/log/my-app-setup_$(date +%Y%m%d_%H%M%S).log"

# 標準出力と標準エラー出力をログファイルとコンソールにリダイレクト

exec > >(tee -a "$LOG_FILE") 2>&1

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 🚀 my-app サービスセットアップ開始..."
echo "一時ディレクトリ: $TMP_DIR"

# ----------------------------------------------------


# root権限の確認と非特権ユーザーの準備


# ----------------------------------------------------

if [[ "$(id -u)" -ne 0 ]]; then
    echo "エラー: このスクリプトはroot権限で実行する必要があります。" >&2
    exit 1
fi

APP_USER="my-app-user"
APP_GROUP="my-app-group"

# ユーザーとグループが存在しない場合のみ作成 (冪等性)

if ! id "$APP_USER" &>/dev/null; then
    echo "ユーザー $APP_USER を作成中..."
    useradd --system --no-create-home --shell /sbin/nologin "$APP_USER"
fi
if ! getent group "$APP_GROUP" &>/dev/null; then
    echo "グループ $APP_GROUP を作成中..."
    groupadd --system "$APP_GROUP"
fi

# ユーザーをグループに追加 (既に存在しても問題なし)

usermod -a -G "$APP_GROUP" "$APP_USER"

# アプリケーションディレクトリの準備 (冪等性)

APP_DIR="/usr/local/bin"
CONFIG_DIR="/etc/my-app"
LOG_DIR="/var/log/my-app"

mkdir -p "$APP_DIR" "$CONFIG_DIR" "$LOG_DIR"
chown "$APP_USER:$APP_GROUP" "$CONFIG_DIR" "$LOG_DIR"
chmod 750 "$CONFIG_DIR" "$LOG_DIR"

# ----------------------------------------------------


# curl と jq を用いた外部API連携の例


# ----------------------------------------------------

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] ⚙️ 設定ファイルを取得・生成中..."

# 外部APIから設定情報を取得する例 (ダミーURL)


# --retry: 5回までリトライ


# --retry-delay: リトライ間隔 (秒)


# --retry-max-time: 最大リトライ時間 (秒)


# --cacert: CA証明書を指定してTLS検証を強化


# --show-error: エラー時に詳細を表示


# -f, --fail: サーバーエラー(4xx, 5xx)でも失敗とみなす


# -s, --silent: 進捗表示を抑制


# -S, --show-error: エラー時にはエラーメッセージを表示

CONFIG_JSON_URL="https://api.example.com/v1/config/my-app" # ダミーURL
APP_BIN_URL="https://downloads.example.com/my-app-v1.0.0.tar.gz" # ダミーURL
CA_CERT_PATH="/etc/ssl/certs/ca-certificates.crt" # システムのCA証明書パス

# 設定を取得し、一部をjqで加工

if curl -fsSL --retry 5 --retry-delay 5 --retry-max-time 60 \
          --cacert "$CA_CERT_PATH" "$CONFIG_JSON_URL" > "$TMP_DIR/raw_config.json"; then
    echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 取得した設定を加工中..."

    # jqを使用して、設定値の一部をデフォルト値に上書きまたは追加する例

    jq '. + { "log_level": "info", "max_connections": 100 }' "$TMP_DIR/raw_config.json" > "$CONFIG_DIR/config.json"
    chown "$APP_USER:$APP_GROUP" "$CONFIG_DIR/config.json"
    chmod 640 "$CONFIG_DIR/config.json"
else
    echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 🚨 エラー: 設定ファイルの取得または加工に失敗しました。" >&2

    # エラー時はデフォルト設定を使用するなどのフォールバック

    echo '{"port": 8080, "log_level": "info", "max_connections": 100}' > "$CONFIG_DIR/config.json"
    chown "$APP_USER:$APP_GROUP" "$CONFIG_DIR/config.json"
    chmod 640 "$CONFIG_DIR/config.json"
fi


echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 📥 アプリケーションバイナリをダウンロード中..."
if curl -fsSL --retry 5 --retry-delay 5 --retry-max-time 60 \
          --cacert "$CA_CERT_PATH" "$APP_BIN_URL" | tar -xz -C "$TMP_DIR"; then
    echo "[$ (date +%Y-%m-%d_%H:%M:%S)] バイナリを配置中..."
    mv "$TMP_DIR/my-app" "$APP_DIR/my-app"
    chown "$APP_USER:$APP_GROUP" "$APP_DIR/my-app"
    chmod 755 "$APP_DIR/my-app"
else
    echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 🚨 エラー: アプリケーションバイナリのダウンロードに失敗しました。" >&2
    exit 1
fi

# ----------------------------------------------------


# systemdユニットファイルの作成と配置


# ----------------------------------------------------

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 📝 systemdサービスユニットファイルを作成中..."

SERVICE_UNIT_PATH="/etc/systemd/system/my-app.service"
TIMER_UNIT_PATH="/etc/systemd/system/my-app-updater.timer"
UPDATER_SERVICE_UNIT_PATH="/etc/systemd/system/my-app-updater.service"

cat <<EOF > "$SERVICE_UNIT_PATH"
[Unit]
Description=My Application Service
After=network.target

[Service]
ExecStart=/usr/local/bin/my-app -config /etc/my-app/config.json
WorkingDirectory=/usr/local/bin
User=$APP_USER
Group=$APP_GROUP
Restart=on-failure
RestartSec=5s
LimitNOFILE=65536
StandardOutput=journal
StandardError=journal
SyslogIdentifier=my-app

# --- セキュリティ強化ディレクティブ ---


# 新しい特権の取得を禁止

NoNewPrivileges=true

# chrootやmountなどの危険なシステムコールを制限

CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_CHOWN CAP_SETUID CAP_SETGID

# /root, /home, /srv, /mediaなどのユーザーディレクトリを保護

ProtectHome=true

# /usr, /boot, /etcへの書き込みを禁止

ProtectSystem=full

# サービス専用の一時ディレクトリ (/tmp, /var/tmp) を提供

PrivateTmp=true

# ファイルシステムの名前空間を分離し、サービスのプロセスから見えるファイルシステムを制限

PrivateDevices=true

# ネットワークインターフェース情報を隠蔽

PrivateNetwork=false # ネットワークアクセスが必要なためfalse

# サービスが実行するプロセスのPID名前空間を分離

PIDFile=/run/my-app.pid # アプリケーションがPIDファイルを生成する場合

# サービスプロセスがアクセスできるリソースを制限

MemoryAccounting=true
CPUAccounting=true
IOAccounting=true
EOF

cat <<EOF > "$UPDATER_SERVICE_UNIT_PATH"
[Unit]
Description=My Application Update Task
Requires=my-app.service
After=my-app.service

[Service]
Type=oneshot
ExecStart=/bin/bash -c "echo 'Running update task...'; /usr/local/bin/my-app --update; echo 'Update task finished.'"
User=$APP_USER
Group=$APP_GROUP
StandardOutput=journal
StandardError=journal
SyslogIdentifier=my-app-updater

# タイマーサービスもセキュリティ強化

NoNewPrivileges=true
ProtectSystem=full
PrivateTmp=true
EOF

cat <<EOF > "$TIMER_UNIT_PATH"
[Unit]
Description=Run My Application Update Task daily
Requires=my-app-updater.service

[Timer]

# 毎日午前3時に実行

OnCalendar=*-*-* 03:00:00

# 起動時に実行されていない場合は、次回のスケジュールで実行

Persistent=true

# 実行精度を1分に設定 (デフォルトは1分)

AccuracySec=1min

[Install]
WantedBy=timers.target
EOF

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] ✅ ユニットファイルの配置が完了しました。"

# ----------------------------------------------------


# systemdデーモンのリロードとサービスの有効化・起動


# ----------------------------------------------------

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 🔄 systemdデーモンをリロード中..."
systemctl daemon-reload

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] 🚀 my-app.service を有効化し、起動中..."
systemctl enable --now my-app.service

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] ⏰ my-app-updater.timer を有効化し、起動中..."
systemctl enable --now my-app-updater.timer

echo "[$ (date +%Y-%m-%d_%H:%M:%S)] ✨ セットアップが完了しました。"

systemctl status my-app.service

systemctl status my-app-updater.timer

journalctl -u my-app.service
journalctl -u my-app-updater.service

journalctl -u my-app.service -f

systemctl stop my-app.service    # 停止
systemctl start my-app.service   # 起動
systemctl restart my-app.service # 再起動

systemctl daemon-reload # systemdデーモンに設定ファイルの変更を通知
systemctl restart my-app.service # サービスを再起動して新しい設定を適用

systemctl enable my-app.service  # 自動起動を有効化
systemctl disable my-app.service # 自動起動を無効化