Add CryptoPro license update and service restart scripts
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
This commit is contained in:
a.gritsenko
Claude Opus 5
+10
@@ -0,0 +1,10 @@
|
||||
# логи выполнения
|
||||
*.log
|
||||
|
||||
# рабочие конфиги с реальными хостами/серийниками (в репо только *.example)
|
||||
*.csv
|
||||
*.сsv
|
||||
!licenses.conf.example
|
||||
|
||||
# сборка для переноса
|
||||
pack/
|
||||
@@ -0,0 +1,572 @@
|
||||
#!/bin/bash
|
||||
|
||||
set -u
|
||||
set -o pipefail
|
||||
|
||||
LOG_FILE="./license_update.log"
|
||||
|
||||
SSH_USER=""
|
||||
CONFIG_FILE=""
|
||||
|
||||
TOTAL=0
|
||||
SUCCESS=0
|
||||
ERRORS=0
|
||||
|
||||
log() {
|
||||
local level="$1"
|
||||
shift
|
||||
echo "[$(date '+%Y-%m-%d %H:%M:%S')] [$level] $*" | tee -a "$LOG_FILE"
|
||||
}
|
||||
|
||||
usage() {
|
||||
echo "Использование:"
|
||||
echo " $0 -u SSH_USER -c CONFIG_FILE"
|
||||
exit 1
|
||||
}
|
||||
|
||||
while getopts "u:c:" opt; do
|
||||
case "$opt" in
|
||||
u) SSH_USER="$OPTARG" ;;
|
||||
c) CONFIG_FILE="$OPTARG" ;;
|
||||
*) usage ;;
|
||||
esac
|
||||
done
|
||||
|
||||
[[ -z "$SSH_USER" ]] && usage
|
||||
[[ -z "$CONFIG_FILE" ]] && usage
|
||||
|
||||
if [[ ! -f "$CONFIG_FILE" ]]; then
|
||||
echo "Ошибка: конфигурационный файл не найден: $CONFIG_FILE"
|
||||
exit 1
|
||||
fi
|
||||
|
||||
for cmd in ssh base64 mktemp date tee grep sed; do
|
||||
if ! command -v "$cmd" >/dev/null 2>&1; then
|
||||
echo "Ошибка: не найдена команда '$cmd'" >&2
|
||||
exit 1
|
||||
fi
|
||||
done
|
||||
|
||||
# ------------------------------------------------------------
|
||||
# Временные файлы (удалённый скрипт, вывод хоста)
|
||||
# ------------------------------------------------------------
|
||||
|
||||
TMP_DIR="$(mktemp -d)"
|
||||
|
||||
cleanup() {
|
||||
rm -rf "$TMP_DIR"
|
||||
}
|
||||
|
||||
trap cleanup EXIT
|
||||
|
||||
: > "$LOG_FILE"
|
||||
|
||||
log INFO "=============================================="
|
||||
log INFO "Запуск license_update.sh"
|
||||
log INFO "SSH user: $SSH_USER"
|
||||
log INFO "Config: $CONFIG_FILE"
|
||||
log INFO "=============================================="
|
||||
|
||||
# ------------------------------------------------------------
|
||||
# Формируем список хостов и операций.
|
||||
#
|
||||
# Формат:
|
||||
# host;file;company;serial
|
||||
#
|
||||
# Для file=csp:
|
||||
# host;csp;;serial
|
||||
# ------------------------------------------------------------
|
||||
|
||||
declare -A HOST_OPERATIONS
|
||||
declare -A HOST_OPS_COUNT
|
||||
declare -A HOST_SEEN
|
||||
HOST_ORDER=()
|
||||
|
||||
while IFS=';' read -r host file company serial extra || [[ -n "$host" ]]; do
|
||||
|
||||
# Убираем BOM из первой строки
|
||||
host="${host#$'\xef\xbb\xbf'}"
|
||||
|
||||
# Убираем CR от Windows-файлов
|
||||
host="${host//$'\r'/}"
|
||||
file="${file//$'\r'/}"
|
||||
company="${company//$'\r'/}"
|
||||
serial="${serial//$'\r'/}"
|
||||
|
||||
# Пропускаем пустые строки
|
||||
[[ -z "${host//[[:space:]]/}" ]] && continue
|
||||
|
||||
# Пропускаем комментарии
|
||||
[[ "$host" =~ ^[[:space:]]*# ]] && continue
|
||||
|
||||
# Проверяем количество полей
|
||||
if [[ -z "$file" || -z "$serial" ]]; then
|
||||
log ERROR "Некорректная строка конфигурации: $host;$file;$company;$serial"
|
||||
((ERRORS++))
|
||||
((TOTAL++))
|
||||
continue
|
||||
fi
|
||||
|
||||
# Для JSON-файла компания обязательна
|
||||
if [[ "$file" != "csp" && -z "$company" ]]; then
|
||||
log ERROR "Не указана компания для JSON-файла: $host;$file;$company;$serial"
|
||||
((ERRORS++))
|
||||
((TOTAL++))
|
||||
continue
|
||||
fi
|
||||
|
||||
if [[ -z "${HOST_SEEN[$host]+x}" ]]; then
|
||||
HOST_SEEN["$host"]=1
|
||||
HOST_ORDER+=("$host")
|
||||
HOST_OPS_COUNT["$host"]=0
|
||||
fi
|
||||
|
||||
# Используем разделитель TAB между полями одной операции
|
||||
HOST_OPERATIONS["$host"]+="${file}"$'\t'"${company}"$'\t'"${serial}"$'\n'
|
||||
HOST_OPS_COUNT["$host"]=$(( HOST_OPS_COUNT["$host"] + 1 ))
|
||||
|
||||
((TOTAL++))
|
||||
|
||||
done < "$CONFIG_FILE"
|
||||
|
||||
|
||||
# ------------------------------------------------------------
|
||||
# SSH
|
||||
#
|
||||
# -tt обязательно: sudo на удалённом хосте запрашивает пароль
|
||||
# через настоящий TTY. Пароль SSH спрашивает сам ssh.
|
||||
#
|
||||
# Локальный stdin остаётся терминалом и используется только
|
||||
# для ввода паролей. Удалённый скрипт передаётся в командной
|
||||
# строке (base64) и не занимает stdin.
|
||||
# ------------------------------------------------------------
|
||||
|
||||
SSH_OPTS=(
|
||||
-tt
|
||||
-o ConnectTimeout=15
|
||||
-o ServerAliveInterval=30
|
||||
-o ServerAliveCountMax=3
|
||||
)
|
||||
|
||||
# run_remote_script HOST LOCAL_SCRIPT
|
||||
# Выполняет локальный файл скрипта на хосте под "sudo bash".
|
||||
run_remote_script() {
|
||||
local host="$1"
|
||||
local script="$2"
|
||||
local b64
|
||||
|
||||
b64=$(base64 -w0 "$script")
|
||||
|
||||
ssh "${SSH_OPTS[@]}" "$SSH_USER@$host" \
|
||||
"t=\$(mktemp) && printf '%s' '$b64' | base64 -d > \"\$t\" && sudo bash \"\$t\"; rc=\$?; rm -f \"\$t\"; exit \$rc"
|
||||
}
|
||||
|
||||
|
||||
# ------------------------------------------------------------
|
||||
# Выполнение операций на одном хосте
|
||||
# ------------------------------------------------------------
|
||||
|
||||
process_host() {
|
||||
|
||||
local host="$1"
|
||||
local operations="${HOST_OPERATIONS[$host]}"
|
||||
local host_ops="${HOST_OPS_COUNT[$host]}"
|
||||
|
||||
log INFO "----------------------------------------------"
|
||||
log INFO "Host: $host"
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Генерируем удалённый скрипт.
|
||||
#
|
||||
# Скрипт выполняется на хосте под "sudo bash", поэтому
|
||||
# внутри sudo не нужен. Список операций встраивается
|
||||
# в конец скрипта как heredoc (stdin не используется).
|
||||
# --------------------------------------------------------
|
||||
|
||||
local remote_script="$TMP_DIR/remote_$$.sh"
|
||||
local host_out="$TMP_DIR/out_$$.log"
|
||||
|
||||
cat > "$remote_script" <<'REMOTE_SCRIPT'
|
||||
#!/bin/bash
|
||||
|
||||
set -u
|
||||
|
||||
if [[ "$EUID" -ne 0 ]]; then
|
||||
echo "[REMOTE] ERROR: скрипт должен выполняться от root (sudo)"
|
||||
exit 10
|
||||
fi
|
||||
|
||||
echo "[REMOTE] sudo authentication successful"
|
||||
|
||||
RESULT=0
|
||||
|
||||
op_result() {
|
||||
echo "[REMOTE] OP_RESULT $1 $2"
|
||||
}
|
||||
|
||||
while IFS=$'\t' read -r FILE COMPANY SERIAL; do
|
||||
|
||||
[[ -z "$FILE" ]] && continue
|
||||
|
||||
echo
|
||||
echo "[REMOTE] =============================================="
|
||||
echo "[REMOTE] File: $FILE"
|
||||
echo "[REMOTE] SerialNumber: $SERIAL"
|
||||
|
||||
# ========================================================
|
||||
# CryptoPro CSP
|
||||
# ========================================================
|
||||
|
||||
if [[ "$FILE" == "csp" ]]; then
|
||||
|
||||
echo "[REMOTE] Установка лицензии CryptoPro CSP"
|
||||
|
||||
if /opt/cprocsp/sbin/amd64/cpconfig \
|
||||
-license \
|
||||
-set "$SERIAL" </dev/null
|
||||
then
|
||||
echo "[REMOTE] CSP license installed successfully"
|
||||
else
|
||||
echo "[REMOTE] ERROR: Ошибка установки CSP лицензии"
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
echo "[REMOTE] Перезапуск cprocsp"
|
||||
|
||||
if systemctl restart cprocsp </dev/null; then
|
||||
sleep 2
|
||||
|
||||
if systemctl is-active --quiet cprocsp; then
|
||||
echo "[REMOTE] cprocsp is active"
|
||||
op_result OK "$FILE"
|
||||
else
|
||||
echo "[REMOTE] ERROR: cprocsp is not active"
|
||||
|
||||
systemctl status cprocsp \
|
||||
--no-pager \
|
||||
--full </dev/null || true
|
||||
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
fi
|
||||
else
|
||||
echo "[REMOTE] ERROR: Не удалось перезапустить cprocsp"
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
fi
|
||||
|
||||
continue
|
||||
fi
|
||||
|
||||
|
||||
# ========================================================
|
||||
# JSON configuration
|
||||
# ========================================================
|
||||
|
||||
if [[ ! -f "$FILE" ]]; then
|
||||
echo "[REMOTE] ERROR: Файл не найден: $FILE"
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
echo "[REMOTE] Обновление JSON"
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Сохраняем owner и mode исходного файла
|
||||
# --------------------------------------------------------
|
||||
|
||||
OWNER=$(stat -c '%u:%g' "$FILE")
|
||||
MODE=$(stat -c '%a' "$FILE")
|
||||
|
||||
echo "[REMOTE] Owner: $OWNER"
|
||||
echo "[REMOTE] Mode : $MODE"
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Backup
|
||||
# --------------------------------------------------------
|
||||
|
||||
BACKUP="${FILE}.license_backup_$(date '+%Y%m%d_%H%M%S')_$$"
|
||||
|
||||
if ! cp -p "$FILE" "$BACKUP"; then
|
||||
echo "[REMOTE] ERROR: Не удалось создать backup"
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
echo "[REMOTE] Backup: $BACKUP"
|
||||
|
||||
TMP="${FILE}.tmp.$$"
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Изменяем только:
|
||||
#
|
||||
# License.SerialNumber
|
||||
# License.Company
|
||||
#
|
||||
# Остальной JSON не трогаем.
|
||||
# --------------------------------------------------------
|
||||
|
||||
# Экранируем значения для JSON-строки (\ и ").
|
||||
# Передаём через окружение: awk -v обрабатывает backslash-последовательности.
|
||||
COMPANY_JSON="${COMPANY//\\/\\\\}"
|
||||
COMPANY_JSON="${COMPANY_JSON//\"/\\\"}"
|
||||
SERIAL_JSON="${SERIAL//\\/\\\\}"
|
||||
SERIAL_JSON="${SERIAL_JSON//\"/\\\"}"
|
||||
|
||||
if ! company="$COMPANY_JSON" serial="$SERIAL_JSON" awk '
|
||||
BEGIN {
|
||||
in_license = 0
|
||||
depth = 0
|
||||
serial_found = 0
|
||||
company_found = 0
|
||||
|
||||
company = ENVIRON["company"]
|
||||
serial = ENVIRON["serial"]
|
||||
}
|
||||
|
||||
{
|
||||
line = $0
|
||||
|
||||
# Строка "License": { сама содержит открывающую скобку,
|
||||
# она будет учтена счётчиком ниже, поэтому depth = 0.
|
||||
if (!in_license &&
|
||||
line ~ /^[ ]*"License"[ ]*:[ ]*\{/) {
|
||||
|
||||
in_license = 1
|
||||
depth = 0
|
||||
}
|
||||
|
||||
if (in_license &&
|
||||
line ~ /^[ ]*"SerialNumber"[ ]*:/) {
|
||||
|
||||
indent = ""
|
||||
if (match(line, /^[ ]*/))
|
||||
indent = substr(line, RSTART, RLENGTH)
|
||||
|
||||
comma = ""
|
||||
if (line ~ /,[ ]*$/)
|
||||
comma = ","
|
||||
|
||||
line = indent "\"SerialNumber\": \"" serial "\"" comma
|
||||
serial_found = 1
|
||||
}
|
||||
|
||||
if (in_license &&
|
||||
line ~ /^[ ]*"Company"[ ]*:/) {
|
||||
|
||||
indent = ""
|
||||
if (match(line, /^[ ]*/))
|
||||
indent = substr(line, RSTART, RLENGTH)
|
||||
|
||||
comma = ""
|
||||
if (line ~ /,[ ]*$/)
|
||||
comma = ","
|
||||
|
||||
line = indent "\"Company\": \"" company "\"" comma
|
||||
company_found = 1
|
||||
}
|
||||
|
||||
print line
|
||||
|
||||
if (in_license) {
|
||||
opens = gsub(/\{/, "{", line)
|
||||
closes = gsub(/\}/, "}", line)
|
||||
|
||||
depth += opens
|
||||
depth -= closes
|
||||
|
||||
if (depth <= 0)
|
||||
in_license = 0
|
||||
}
|
||||
}
|
||||
|
||||
END {
|
||||
if (!serial_found)
|
||||
exit 20
|
||||
|
||||
if (!company_found)
|
||||
exit 21
|
||||
}
|
||||
' "$FILE" > "$TMP"
|
||||
then
|
||||
|
||||
echo "[REMOTE] ERROR: Не удалось изменить JSON (блок License / SerialNumber / Company не найден)"
|
||||
|
||||
rm -f "$TMP"
|
||||
|
||||
# Восстанавливаем backup
|
||||
cp -p "$BACKUP" "$FILE"
|
||||
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Устанавливаем новый файл
|
||||
# --------------------------------------------------------
|
||||
|
||||
if ! mv "$TMP" "$FILE"; then
|
||||
echo "[REMOTE] ERROR: Не удалось заменить исходный файл"
|
||||
|
||||
rm -f "$TMP"
|
||||
cp -p "$BACKUP" "$FILE"
|
||||
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Восстанавливаем owner/mode
|
||||
# --------------------------------------------------------
|
||||
|
||||
OP_OK=1
|
||||
|
||||
if ! chown "$OWNER" "$FILE"; then
|
||||
echo "[REMOTE] ERROR: Не удалось восстановить owner"
|
||||
RESULT=1
|
||||
OP_OK=0
|
||||
fi
|
||||
|
||||
if ! chmod "$MODE" "$FILE"; then
|
||||
echo "[REMOTE] ERROR: Не удалось восстановить mode"
|
||||
RESULT=1
|
||||
OP_OK=0
|
||||
fi
|
||||
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Проверка результата
|
||||
# --------------------------------------------------------
|
||||
|
||||
CHECK=$(awk '
|
||||
!in_license && /^[ ]*"License"[ ]*:[ ]*\{/ {
|
||||
in_license = 1
|
||||
depth = 0
|
||||
}
|
||||
|
||||
in_license && /^[ ]*"SerialNumber"[ ]*:/ {
|
||||
print
|
||||
}
|
||||
|
||||
in_license && /^[ ]*"Company"[ ]*:/ {
|
||||
print
|
||||
}
|
||||
|
||||
in_license {
|
||||
opens = gsub(/\{/, "{")
|
||||
closes = gsub(/\}/, "}")
|
||||
|
||||
depth += opens
|
||||
depth -= closes
|
||||
|
||||
if (depth <= 0)
|
||||
in_license = 0
|
||||
}
|
||||
' "$FILE")
|
||||
|
||||
|
||||
if ! grep -Fq "\"SerialNumber\": \"$SERIAL_JSON\"" <<< "$CHECK"; then
|
||||
echo "[REMOTE] ERROR: SerialNumber не прошёл проверку"
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
if ! grep -Fq "\"Company\": \"$COMPANY_JSON\"" <<< "$CHECK"; then
|
||||
echo "[REMOTE] ERROR: Company не прошёл проверку"
|
||||
RESULT=1
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
if [[ "$OP_OK" -ne 1 ]]; then
|
||||
op_result FAIL "$FILE"
|
||||
continue
|
||||
fi
|
||||
|
||||
echo "[REMOTE] JSON успешно обновлён"
|
||||
op_result OK "$FILE"
|
||||
|
||||
done <<'OPERATIONS'
|
||||
REMOTE_SCRIPT
|
||||
|
||||
# Добавляем операции (heredoc) и завершаем удалённый скрипт
|
||||
printf '%s' "$operations" >> "$remote_script"
|
||||
printf 'OPERATIONS\n\nexit $RESULT\n' >> "$remote_script"
|
||||
|
||||
# --------------------------------------------------------
|
||||
# Выполнение.
|
||||
#
|
||||
# Вывод удалённого скрипта идёт через tee одновременно
|
||||
# в лог и во временный файл (для подсчёта результатов).
|
||||
# tee не буферизует вывод, поэтому приглашение sudo
|
||||
# (без перевода строки) видно сразу.
|
||||
# --------------------------------------------------------
|
||||
|
||||
log INFO "[$host] Подключение по SSH..."
|
||||
|
||||
: > "$host_out"
|
||||
|
||||
local rc=0
|
||||
run_remote_script "$host" "$remote_script" 2>&1 | tee -a "$LOG_FILE" "$host_out" || rc=$?
|
||||
|
||||
# pty на удалённой стороне добавляет CR
|
||||
sed -i 's/\r$//' "$host_out"
|
||||
|
||||
local ok
|
||||
ok=$(grep -c '^\[REMOTE\] OP_RESULT OK ' "$host_out")
|
||||
ok=${ok:-0}
|
||||
|
||||
local failed=$(( host_ops - ok ))
|
||||
|
||||
SUCCESS=$(( SUCCESS + ok ))
|
||||
ERRORS=$(( ERRORS + failed ))
|
||||
|
||||
if [[ "$rc" -eq 0 && "$failed" -eq 0 ]]; then
|
||||
log INFO "[$host] Операции выполнены успешно ($ok из $host_ops)"
|
||||
elif [[ "$rc" -eq 255 ]]; then
|
||||
log ERROR "[$host] Ошибка SSH-соединения (операций с ошибкой: $failed из $host_ops)"
|
||||
else
|
||||
log ERROR "[$host] Ошибка выполнения операций (rc=$rc, успешно: $ok из $host_ops)"
|
||||
fi
|
||||
|
||||
rm -f "$remote_script" "$host_out"
|
||||
}
|
||||
|
||||
|
||||
# ------------------------------------------------------------
|
||||
# Обработка всех хостов
|
||||
# ------------------------------------------------------------
|
||||
|
||||
for host in ${HOST_ORDER[@]+"${HOST_ORDER[@]}"}; do
|
||||
process_host "$host"
|
||||
done
|
||||
|
||||
|
||||
# ------------------------------------------------------------
|
||||
# Итог
|
||||
# ------------------------------------------------------------
|
||||
|
||||
log INFO "=============================================="
|
||||
log INFO "Результат выполнения"
|
||||
log INFO "Всего операций : $TOTAL"
|
||||
log INFO "Успешно : $SUCCESS"
|
||||
log INFO "Ошибок : $ERRORS"
|
||||
log INFO "Log : $LOG_FILE"
|
||||
log INFO "=============================================="
|
||||
|
||||
# Убираем CR, попавшие в лог из удалённого TTY
|
||||
sed -i 's/\r$//' "$LOG_FILE"
|
||||
|
||||
if (( ERRORS > 0 )); then
|
||||
exit 1
|
||||
fi
|
||||
|
||||
exit 0
|
||||
@@ -0,0 +1,6 @@
|
||||
# host;file;company;serial_number
|
||||
|
||||
10.10.10.11;/opt/app/config.json;ООО Ромашка и Ко;R123H-12345-12LG4-WR6NU-1234W
|
||||
10.10.10.12;/etc/myapp/config.json;АО Научно Производственный Центр;A111B-22222-33CC4-DD5EE-6666F
|
||||
10.10.10.13;/opt/license/config.json;Загуглинск;R555X-55555-55ZZ5-AA5BB-5555Z
|
||||
10.10.10.13;csp;;50500-03010-03MCZ-921DC-HGLK4
|
||||
@@ -0,0 +1,744 @@
|
||||
# Скрипты управления лицензиями и службами CryptoPro
|
||||
|
||||
## 1. Назначение
|
||||
|
||||
Набор Bash-скриптов предназначен для централизованного выполнения операций на удалённых Linux/Astra Linux-серверах:
|
||||
|
||||
* установки лицензий CryptoPro CSP;
|
||||
* изменения параметров лицензии в JSON-конфигурациях приложений;
|
||||
* перезапуска служб после изменения лицензии;
|
||||
* проверки успешности выполненных операций;
|
||||
* создания резервных копий изменяемых конфигурационных файлов;
|
||||
* ведения локального журнала выполнения.
|
||||
|
||||
Работа выполняется по SSH под указанной учётной записью.
|
||||
|
||||
Для выполнения административных операций используется `sudo`.
|
||||
|
||||
Пароли не хранятся в конфигурационных файлах, не передаются в параметрах командной строки и не записываются в журнал.
|
||||
|
||||
---
|
||||
|
||||
# 2. Формат конфигурационного файла
|
||||
|
||||
Основной конфигурационный файл использует формат:
|
||||
|
||||
```text
|
||||
host;file;company;serial_number
|
||||
```
|
||||
|
||||
Пример:
|
||||
|
||||
```text
|
||||
# host;file;company;serial_number
|
||||
|
||||
10.11.1.11;csp;;50500-03010-03MCZ-921DC-HGLK4
|
||||
|
||||
10.11.1.12;/etc/cprocsp/app/appsettings.json;ООО Ромашка;50500-03010-03MCZ-921DC-HGLK5
|
||||
```
|
||||
|
||||
Поля:
|
||||
|
||||
| Поле | Описание |
|
||||
| --------------- | ------------------------------------------------- |
|
||||
| `host` | IP-адрес или DNS-имя удалённого сервера |
|
||||
| `file` | Специальное значение `csp` либо путь к JSON-файлу |
|
||||
| `company` | Наименование организации для JSON-конфигурации |
|
||||
| `serial_number` | Серийный номер лицензии |
|
||||
|
||||
Разделителем является символ `;`.
|
||||
|
||||
Для строк с JSON-файлом поле `company` обязательно; для `csp` оно игнорируется.
|
||||
Файл может быть с окончаниями строк CRLF (Windows) и BOM.
|
||||
|
||||
Компания может содержать пробелы:
|
||||
|
||||
```text
|
||||
10.11.1.12;/etc/app/appsettings.json;ООО Тестовая Организация;50500-03010-03MCZ-921DC-HGLK5
|
||||
```
|
||||
|
||||
Символ `;` внутри значения компании использовать нельзя, поскольку он является разделителем полей.
|
||||
|
||||
---
|
||||
|
||||
# 3. Комментарии и пустые строки
|
||||
|
||||
В конфигурационном файле разрешены пустые строки.
|
||||
|
||||
Также разрешены комментарии, начинающиеся с `#`:
|
||||
|
||||
```text
|
||||
# Серверы УЦ
|
||||
|
||||
10.11.1.11;csp;;50500-03010-03MCZ-921DC-HGLK4
|
||||
|
||||
### Сервер приложений
|
||||
|
||||
10.11.1.12;/etc/app/appsettings.json;ООО Ромашка;50500-03010-03MCZ-HGLK5
|
||||
```
|
||||
|
||||
Комментарии и пустые строки не обрабатываются.
|
||||
|
||||
---
|
||||
|
||||
# 4. Скрипт `license_update.sh`
|
||||
|
||||
## 4.1. Назначение
|
||||
|
||||
`license_update.sh` выполняет установку или изменение лицензии на удалённых серверах.
|
||||
|
||||
Запуск:
|
||||
|
||||
```bash
|
||||
./license_update.sh -u administrator -c ./licenses_local_test.csv
|
||||
```
|
||||
|
||||
где:
|
||||
|
||||
* `-u` — SSH-пользователь;
|
||||
* `-c` — путь к конфигурационному файлу.
|
||||
|
||||
Например:
|
||||
|
||||
```bash
|
||||
./license_update.sh \
|
||||
-u administrator \
|
||||
-c ./licenses_local_test.csv
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
# 5. Подключение к серверу
|
||||
|
||||
Для каждого сервера скрипт устанавливает SSH-соединение:
|
||||
|
||||
```text
|
||||
administrator@10.11.1.11's password:
|
||||
```
|
||||
|
||||
Пароль SSH вводится интерактивно.
|
||||
|
||||
Пароль не передаётся в командной строке:
|
||||
|
||||
```text
|
||||
НЕ используется:
|
||||
sshpass
|
||||
-p password
|
||||
```
|
||||
|
||||
и не записывается в лог.
|
||||
|
||||
---
|
||||
|
||||
# 6. Авторизация sudo
|
||||
|
||||
После успешного подключения сформированный скрипт операций передаётся на сервер
|
||||
(в командной строке ssh, в кодировке base64, без использования stdin) и запускается:
|
||||
|
||||
```bash
|
||||
sudo bash /tmp/tmp.XXXXXX
|
||||
```
|
||||
|
||||
Пароль `sudo` запрашивается непосредственно на удалённом сервере, один раз на хост:
|
||||
|
||||
```text
|
||||
[sudo] password for administrator:
|
||||
```
|
||||
|
||||
Для этого SSH-соединение создаётся с TTY (`ssh -tt`), а локальный stdin остаётся
|
||||
терминалом и используется только для ввода паролей SSH и `sudo`.
|
||||
|
||||
После успешной авторизации выполняются все административные операции текущего сеанса.
|
||||
|
||||
При первом подключении к серверу ssh стандартно спросит подтверждение ключа хоста
|
||||
(`Are you sure you want to continue connecting (yes/no)?`).
|
||||
|
||||
Пароль `sudo`:
|
||||
|
||||
* не передаётся через stdin;
|
||||
* не хранится в переменной Bash;
|
||||
* не записывается в лог;
|
||||
* не находится в конфигурационном файле.
|
||||
|
||||
---
|
||||
|
||||
# 7. Обработка `file=csp`
|
||||
|
||||
Если в конфигурации указано:
|
||||
|
||||
```text
|
||||
10.11.1.11;csp;;50500-03010-03MCZ-921DC-HGLK4
|
||||
```
|
||||
|
||||
скрипт не изменяет JSON-файлы.
|
||||
|
||||
Выполняется:
|
||||
|
||||
```bash
|
||||
/opt/cprocsp/sbin/amd64/cpconfig \
|
||||
-license \
|
||||
-set "50500-03010-03MCZ-921DC-HGLK4"
|
||||
```
|
||||
|
||||
Команда выполняется с правами `sudo`.
|
||||
|
||||
При успешной установке лицензии выполняется перезапуск службы:
|
||||
|
||||
```bash
|
||||
systemctl restart cprocsp
|
||||
```
|
||||
|
||||
После перезапуска проверяется состояние службы:
|
||||
|
||||
```bash
|
||||
systemctl is-active --quiet cprocsp
|
||||
```
|
||||
|
||||
Ожидаемый результат:
|
||||
|
||||
```text
|
||||
cprocsp is active
|
||||
```
|
||||
|
||||
Если служба не перешла в состояние `active`, в журнал дополнительно выводится:
|
||||
|
||||
```bash
|
||||
systemctl status cprocsp --no-pager --full
|
||||
```
|
||||
|
||||
Операция считается ошибочной.
|
||||
|
||||
---
|
||||
|
||||
# 8. Обработка JSON-файлов
|
||||
|
||||
Если вместо `csp` указан путь к JSON:
|
||||
|
||||
```text
|
||||
10.11.1.12;/etc/app/appsettings.json;ООО Ромашка;50500-03010-03MCZ-HGLK5
|
||||
```
|
||||
|
||||
скрипт выполняет следующие операции.
|
||||
|
||||
## 8.1. Проверка файла
|
||||
|
||||
Проверяется существование файла:
|
||||
|
||||
```bash
|
||||
test -f "$FILE"
|
||||
```
|
||||
|
||||
Если файл отсутствует, операция завершается ошибкой.
|
||||
|
||||
---
|
||||
|
||||
## 8.2. Сохранение атрибутов
|
||||
|
||||
До изменения файла сохраняются:
|
||||
|
||||
* UID владельца;
|
||||
* GID владельца;
|
||||
* права доступа.
|
||||
|
||||
Например:
|
||||
|
||||
```text
|
||||
Owner: 1000:1000
|
||||
Mode : 640
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 8.3. Создание резервной копии
|
||||
|
||||
Перед изменением создаётся backup:
|
||||
|
||||
```text
|
||||
/etc/app/appsettings.json.license_backup_20260918_123456_12345
|
||||
```
|
||||
|
||||
Резервная копия создаётся с сохранением исходных атрибутов:
|
||||
|
||||
```bash
|
||||
cp -p
|
||||
```
|
||||
|
||||
Путь к backup записывается в журнал.
|
||||
|
||||
---
|
||||
|
||||
# 9. Изменение JSON
|
||||
|
||||
Скрипт изменяет только два параметра внутри объекта:
|
||||
|
||||
```json
|
||||
"License": {
|
||||
"SerialNumber": "...",
|
||||
"Company": "..."
|
||||
}
|
||||
```
|
||||
|
||||
Изменяются:
|
||||
|
||||
```text
|
||||
License.SerialNumber
|
||||
License.Company
|
||||
```
|
||||
|
||||
Например, было:
|
||||
|
||||
```json
|
||||
"License": {
|
||||
"SerialNumber": "OLD-LICENSE",
|
||||
"Company": "Старая организация"
|
||||
}
|
||||
```
|
||||
|
||||
становится:
|
||||
|
||||
```json
|
||||
"License": {
|
||||
"SerialNumber": "50500-03010-03MCZ-921DC-HGLK5",
|
||||
"Company": "ООО Ромашка"
|
||||
}
|
||||
```
|
||||
|
||||
Остальные параметры JSON не должны изменяться скриптом.
|
||||
|
||||
---
|
||||
|
||||
# 10. Временный файл
|
||||
|
||||
Изменение выполняется через временный файл:
|
||||
|
||||
```text
|
||||
appsettings.json.tmp.<PID>
|
||||
```
|
||||
|
||||
Сначала формируется новая версия файла, после чего она заменяет исходный.
|
||||
|
||||
Это позволяет не изменять исходный файл непосредственно во время обработки.
|
||||
|
||||
---
|
||||
|
||||
# 11. Восстановление атрибутов
|
||||
|
||||
После замены файла восстанавливаются исходные:
|
||||
|
||||
```text
|
||||
owner
|
||||
permissions
|
||||
```
|
||||
|
||||
Используются:
|
||||
|
||||
```bash
|
||||
chown
|
||||
chmod
|
||||
```
|
||||
|
||||
Таким образом, изменение содержимого файла не должно приводить к изменению его владельца или прав доступа.
|
||||
|
||||
---
|
||||
|
||||
# 12. Проверка результата
|
||||
|
||||
После изменения выполняется повторная проверка параметров:
|
||||
|
||||
```text
|
||||
License.SerialNumber
|
||||
License.Company
|
||||
```
|
||||
|
||||
Проверяется наличие установленных значений.
|
||||
|
||||
Если проверка не пройдена, операция считается ошибочной.
|
||||
|
||||
При ошибке изменения JSON скрипт пытается восстановить исходный файл из backup.
|
||||
|
||||
Итог по каждой операции выводится строкой:
|
||||
|
||||
```text
|
||||
[REMOTE] OP_RESULT OK /opt/app/appsettings.json
|
||||
[REMOTE] OP_RESULT FAIL csp
|
||||
```
|
||||
|
||||
По этим строкам формируется итоговая статистика (успешно / ошибок).
|
||||
|
||||
---
|
||||
|
||||
# 13. Обработка нескольких записей одного сервера
|
||||
|
||||
Если один сервер встречается в конфигурации несколько раз:
|
||||
|
||||
```text
|
||||
10.11.1.11;csp;;LICENSE-001
|
||||
|
||||
10.11.1.11;/etc/app/appsettings.json;ООО Ромашка;LICENSE-002
|
||||
```
|
||||
|
||||
операции группируются по хосту.
|
||||
|
||||
Для одного хоста используется один SSH-сеанс.
|
||||
|
||||
После подключения выполняется авторизация `sudo`, затем последовательно обрабатываются все операции этого сервера.
|
||||
|
||||
Это позволяет не выполнять повторное подключение для каждой строки конфигурации.
|
||||
|
||||
---
|
||||
|
||||
# 14. Журнал работы
|
||||
|
||||
Основной журнал:
|
||||
|
||||
```text
|
||||
license_update.log
|
||||
```
|
||||
|
||||
Пример:
|
||||
|
||||
```text
|
||||
[2026-09-18 09:23:08] [INFO] Запуск license_update.sh
|
||||
[2026-09-18 09:23:08] [INFO] SSH user: administrator
|
||||
[2026-09-18 09:23:08] [INFO] Config: ./licenses_local_test.csv
|
||||
|
||||
[2026-09-18 09:23:08] [INFO] Host: 10.11.1.11
|
||||
```
|
||||
|
||||
В журнале фиксируются:
|
||||
|
||||
* начало выполнения;
|
||||
* используемый SSH-пользователь;
|
||||
* конфигурационный файл;
|
||||
* обрабатываемые серверы;
|
||||
* результаты операций;
|
||||
* ошибки;
|
||||
* путь к backup;
|
||||
* итоговая статистика.
|
||||
|
||||
Пароли в журнал не записываются.
|
||||
|
||||
---
|
||||
|
||||
# 15. Итоговая статистика
|
||||
|
||||
В конце выполнения выводится:
|
||||
|
||||
```text
|
||||
==============================================
|
||||
Результат выполнения
|
||||
Всего операций : 10
|
||||
Успешно : 9
|
||||
Ошибок : 1
|
||||
Log : ./license_update.log
|
||||
==============================================
|
||||
```
|
||||
|
||||
Если хотя бы одна операция завершилась ошибкой, скрипт возвращает код:
|
||||
|
||||
```text
|
||||
1
|
||||
```
|
||||
|
||||
При полном успешном выполнении:
|
||||
|
||||
```text
|
||||
0
|
||||
```
|
||||
|
||||
Это позволяет использовать скрипт в других Bash-скриптах или системах автоматизации.
|
||||
|
||||
---
|
||||
|
||||
# 16. Скрипт `restart_services.sh`
|
||||
|
||||
`restart_services.sh` предназначен для централизованного перезапуска служб на серверах.
|
||||
|
||||
Формат конфигурации:
|
||||
|
||||
```text
|
||||
host;services
|
||||
```
|
||||
|
||||
Пример:
|
||||
|
||||
```text
|
||||
# host;services
|
||||
|
||||
ip_ca_tech;cp.ca-tech
|
||||
ip_ca_tls;cp.ca-tls
|
||||
ip_ca_digrub;cp.ca-digrub
|
||||
|
||||
ip_ra_tech;cp.ra-tech,cp.ra-web-tech
|
||||
ip_ra_tls;cp.ra-tls,cp.ra-web-tls,cp.cr-tls,cp.cr-web.tls
|
||||
ip_ra_digrub;cp.ra-digrub,cp.ra-web-digrub,cp.cr-digrub,cp.cr-web.digrub
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
# 17. Запуск `restart_services.sh`
|
||||
|
||||
Пример:
|
||||
|
||||
```bash
|
||||
./restart_services.sh \
|
||||
-u administrator \
|
||||
-c ./services.csv
|
||||
```
|
||||
|
||||
Подключение и авторизация `sudo` выполняются так же, как в `license_update.sh`
|
||||
(см. разделы 5 и 6): пароль SSH спрашивает ssh, пароль `sudo` запрашивается
|
||||
на удалённом сервере через TTY, один раз на хост. Пароль в переменных скрипта не хранится.
|
||||
|
||||
Затем службы перезапускаются последовательно.
|
||||
|
||||
---
|
||||
|
||||
# 18. Перезапуск службы
|
||||
|
||||
Для каждой службы выполняется:
|
||||
|
||||
```bash
|
||||
systemctl restart SERVICE
|
||||
```
|
||||
|
||||
Например:
|
||||
|
||||
```bash
|
||||
systemctl restart cp.ca-tech
|
||||
```
|
||||
|
||||
После перезапуска выполняется небольшая пауза и проверяется состояние:
|
||||
|
||||
```bash
|
||||
systemctl is-active --quiet cp.ca-tech
|
||||
```
|
||||
|
||||
Если служба успешно запущена:
|
||||
|
||||
```text
|
||||
cp.ca-tech is active
|
||||
```
|
||||
|
||||
Если запуск не удался, выводится подробная информация:
|
||||
|
||||
```bash
|
||||
systemctl status cp.ca-tech --no-pager --full
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
# 19. Несколько служб на одном сервере
|
||||
|
||||
Службы разделяются запятыми:
|
||||
|
||||
```text
|
||||
ip_ra_tech;cp.ra-tech,cp.ra-web-tech
|
||||
```
|
||||
|
||||
Скрипт преобразует эту запись в две операции:
|
||||
|
||||
```bash
|
||||
systemctl restart cp.ra-tech
|
||||
systemctl restart cp.ra-web-tech
|
||||
```
|
||||
|
||||
Службы перезапускаются последовательно.
|
||||
|
||||
---
|
||||
|
||||
# 20. Журнал `restart_services.sh`
|
||||
|
||||
Для отдельного скрипта используется собственный журнал:
|
||||
|
||||
```text
|
||||
restart_services.log
|
||||
```
|
||||
|
||||
В журнале фиксируются:
|
||||
|
||||
* сервер;
|
||||
* служба;
|
||||
* результат `systemctl restart`;
|
||||
* состояние службы после перезапуска;
|
||||
* диагностический вывод при ошибке;
|
||||
* итоговая статистика.
|
||||
|
||||
---
|
||||
|
||||
# 21. Общая схема работы
|
||||
|
||||
Общая последовательность для удалённого сервера:
|
||||
|
||||
```text
|
||||
┌──────────────────────┐
|
||||
│ Конфигурационный │
|
||||
│ файл │
|
||||
└──────────┬───────────┘
|
||||
│
|
||||
▼
|
||||
┌──────────────────────┐
|
||||
│ Группировка по host │
|
||||
└──────────┬───────────┘
|
||||
│
|
||||
▼
|
||||
┌──────────────────────┐
|
||||
│ SSH connection │
|
||||
└──────────┬───────────┘
|
||||
│
|
||||
▼
|
||||
┌──────────────────────┐
|
||||
│ sudo -v │
|
||||
│ интерактивный пароль │
|
||||
└──────────┬───────────┘
|
||||
│
|
||||
┌─────────┴─────────┐
|
||||
│ │
|
||||
▼ ▼
|
||||
file = csp JSON-файл
|
||||
│ │
|
||||
▼ ▼
|
||||
cpconfig -license backup
|
||||
│ │
|
||||
▼ ▼
|
||||
restart cprocsp изменение
|
||||
│ │
|
||||
▼ ▼
|
||||
проверка active проверка
|
||||
│
|
||||
▼
|
||||
восстановление
|
||||
owner/mode
|
||||
│
|
||||
┌───────────────────┘
|
||||
▼
|
||||
Результат
|
||||
│
|
||||
▼
|
||||
Локальный log
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
# 22. Требования
|
||||
|
||||
Для работы скриптов необходимы:
|
||||
|
||||
### На управляющей машине
|
||||
|
||||
* Bash;
|
||||
* OpenSSH client;
|
||||
* стандартные Unix-утилиты (coreutils):
|
||||
|
||||
* `base64`;
|
||||
* `grep`;
|
||||
* `sed`;
|
||||
* `mktemp`;
|
||||
* `date`;
|
||||
* `tee`.
|
||||
|
||||
### На удалённых серверах
|
||||
|
||||
* SSH-сервер;
|
||||
* `sudo`;
|
||||
* `systemd`;
|
||||
* `bash`, `awk` (gawk или mawk), `base64`, `mktemp`;
|
||||
* для установки CSP-лицензии:
|
||||
`/opt/cprocsp/sbin/amd64/cpconfig`;
|
||||
* для JSON-конфигураций:
|
||||
доступ к указанному файлу.
|
||||
|
||||
Пользователь SSH должен иметь возможность выполнять соответствующие команды через `sudo`.
|
||||
|
||||
---
|
||||
|
||||
# 23. Безопасность
|
||||
|
||||
Скрипты не должны содержать пароли в конфигурации.
|
||||
|
||||
Не рекомендуется использовать:
|
||||
|
||||
```bash
|
||||
./license_update.sh -u administrator -p password
|
||||
```
|
||||
|
||||
Пароль SSH вводится стандартным механизмом OpenSSH.
|
||||
|
||||
Пароль `sudo` вводится стандартным механизмом `sudo`.
|
||||
|
||||
Пароли не должны попадать:
|
||||
|
||||
* в командную строку;
|
||||
* в конфигурационные файлы;
|
||||
* в переменные скрипта;
|
||||
* в `license_update.log`;
|
||||
* в `restart_services.log`.
|
||||
|
||||
---
|
||||
|
||||
# 24. Рекомендации по эксплуатации
|
||||
|
||||
Перед массовым запуском рекомендуется:
|
||||
|
||||
1. Проверить подключение по SSH:
|
||||
|
||||
```bash
|
||||
ssh administrator@10.11.1.11
|
||||
```
|
||||
|
||||
2. Проверить возможность выполнения `sudo`:
|
||||
|
||||
```bash
|
||||
ssh -tt administrator@10.11.1.11 'sudo -v'
|
||||
```
|
||||
|
||||
3. Проверить наличие CryptoPro:
|
||||
|
||||
```bash
|
||||
ssh -tt administrator@10.11.1.11 \
|
||||
'sudo /opt/cprocsp/sbin/amd64/cpconfig -license -view'
|
||||
```
|
||||
|
||||
4. Проверить конфигурационный файл.
|
||||
|
||||
5. Сначала выполнить скрипт на одном тестовом сервере.
|
||||
|
||||
6. Проверить backup и журнал.
|
||||
|
||||
7. После успешной проверки выполнить обработку остальных серверов.
|
||||
|
||||
---
|
||||
|
||||
# 25. Коды завершения
|
||||
|
||||
| Код | Значение |
|
||||
| --: | ----------------------------------------------- |
|
||||
| `0` | Все операции выполнены успешно |
|
||||
| `1` | Одна или несколько операций завершились ошибкой |
|
||||
|
||||
Пример использования в другом скрипте:
|
||||
|
||||
```bash
|
||||
./license_update.sh -u administrator -c licenses.csv
|
||||
|
||||
if [[ $? -eq 0 ]]; then
|
||||
echo "Лицензии успешно обновлены"
|
||||
else
|
||||
echo "При обновлении лицензий произошли ошибки"
|
||||
fi
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
# 26. Результат
|
||||
|
||||
В результате работы:
|
||||
|
||||
* лицензии CryptoPro CSP устанавливаются централизованно;
|
||||
* JSON-конфигурации изменяются только в части параметров `License.SerialNumber` и `License.Company`;
|
||||
* перед изменением JSON создаётся резервная копия;
|
||||
* исходные права и владелец файла сохраняются;
|
||||
* службы после необходимых изменений проверяются;
|
||||
* операции выполняются с административными правами через `sudo`;
|
||||
* пароли не сохраняются и не попадают в журналы;
|
||||
* все результаты доступны в локальных log-файлах.
|
||||
@@ -0,0 +1,366 @@
|
||||
#!/usr/bin/env bash
|
||||
|
||||
set -u
|
||||
set -o pipefail
|
||||
|
||||
SCRIPT_NAME="$(basename "$0")"
|
||||
LOG_FILE="./restart_services.log"
|
||||
|
||||
SSH_USER=""
|
||||
CONFIG_FILE=""
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Logging
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
log() {
|
||||
local level="$1"
|
||||
shift
|
||||
|
||||
printf '[%s] [%s] %s\n' \
|
||||
"$(date '+%Y-%m-%d %H:%M:%S')" \
|
||||
"$level" \
|
||||
"$*" | tee -a "$LOG_FILE"
|
||||
}
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Usage
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
usage() {
|
||||
cat <<EOF
|
||||
Использование:
|
||||
|
||||
$SCRIPT_NAME -u USER -c CONFIG
|
||||
|
||||
Параметры:
|
||||
|
||||
-u USER SSH пользователь
|
||||
-c CONFIG файл конфигурации (host;service1,service2,...)
|
||||
|
||||
Пример:
|
||||
|
||||
$SCRIPT_NAME -u admin -c ./services.csv
|
||||
|
||||
EOF
|
||||
}
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Arguments
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
while getopts ":u:c:h" opt; do
|
||||
case "$opt" in
|
||||
u)
|
||||
SSH_USER="$OPTARG"
|
||||
;;
|
||||
c)
|
||||
CONFIG_FILE="$OPTARG"
|
||||
;;
|
||||
h)
|
||||
usage
|
||||
exit 0
|
||||
;;
|
||||
\?)
|
||||
echo "Неизвестный параметр: -$OPTARG" >&2
|
||||
usage
|
||||
exit 1
|
||||
;;
|
||||
:)
|
||||
echo "Для параметра -$OPTARG требуется значение." >&2
|
||||
usage
|
||||
exit 1
|
||||
;;
|
||||
esac
|
||||
done
|
||||
|
||||
if [[ -z "$SSH_USER" || -z "$CONFIG_FILE" ]]; then
|
||||
usage
|
||||
exit 1
|
||||
fi
|
||||
|
||||
if [[ ! -f "$CONFIG_FILE" ]]; then
|
||||
echo "Ошибка: файл конфигурации не найден: $CONFIG_FILE" >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Dependencies
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
for cmd in ssh base64 mktemp date tee grep sed; do
|
||||
if ! command -v "$cmd" >/dev/null 2>&1; then
|
||||
echo "Ошибка: не найдена команда '$cmd'" >&2
|
||||
exit 1
|
||||
fi
|
||||
done
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Temp files / cleanup
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
TMP_DIR="$(mktemp -d)"
|
||||
|
||||
cleanup() {
|
||||
rm -rf "$TMP_DIR"
|
||||
}
|
||||
|
||||
trap cleanup EXIT
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# SSH
|
||||
#
|
||||
# -tt обязательно: sudo на удалённом хосте запрашивает пароль
|
||||
# через настоящий TTY. Пароль SSH спрашивает сам ssh.
|
||||
#
|
||||
# Локальный stdin остаётся терминалом и используется только
|
||||
# для ввода паролей. Удалённый скрипт передаётся в командной
|
||||
# строке (base64) и не занимает stdin.
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
SSH_OPTS=(
|
||||
-tt
|
||||
-o ConnectTimeout=15
|
||||
-o ServerAliveInterval=30
|
||||
-o ServerAliveCountMax=3
|
||||
)
|
||||
|
||||
# run_remote_script HOST LOCAL_SCRIPT
|
||||
# Выполняет локальный файл скрипта на хосте под "sudo bash".
|
||||
run_remote_script() {
|
||||
local host="$1"
|
||||
local script="$2"
|
||||
local b64
|
||||
|
||||
b64=$(base64 -w0 "$script")
|
||||
|
||||
ssh "${SSH_OPTS[@]}" "$SSH_USER@$host" \
|
||||
"t=\$(mktemp) && printf '%s' '$b64' | base64 -d > \"\$t\" && sudo bash \"\$t\"; rc=\$?; rm -f \"\$t\"; exit \$rc"
|
||||
}
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Helpers
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
trim() {
|
||||
local value="$1"
|
||||
|
||||
value="${value#"${value%%[![:space:]]*}"}"
|
||||
value="${value%"${value##*[![:space:]]}"}"
|
||||
|
||||
printf '%s' "$value"
|
||||
}
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Restart services
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
restart_services() {
|
||||
local host="$1"
|
||||
local services="$2"
|
||||
|
||||
log INFO "[$host] Подготовка к перезапуску служб"
|
||||
|
||||
local remote_script="$TMP_DIR/remote_$$.sh"
|
||||
local host_out="$TMP_DIR/out_$$.log"
|
||||
|
||||
# Список служб встраивается в скрипт (heredoc), stdin не используется
|
||||
{
|
||||
cat <<'REMOTE_SCRIPT'
|
||||
#!/bin/bash
|
||||
|
||||
set -u
|
||||
set -o pipefail
|
||||
|
||||
if [[ "$EUID" -ne 0 ]]; then
|
||||
echo "ERROR: скрипт должен выполняться от root (sudo)"
|
||||
exit 10
|
||||
fi
|
||||
|
||||
SERVICES=$(cat <<'SERVICES_LIST'
|
||||
REMOTE_SCRIPT
|
||||
|
||||
printf '%s\n' "$services"
|
||||
|
||||
cat <<'REMOTE_SCRIPT'
|
||||
SERVICES_LIST
|
||||
)
|
||||
|
||||
FAILED=0
|
||||
|
||||
IFS="," read -ra SERVICE_LIST <<< "$SERVICES"
|
||||
|
||||
for SERVICE in "${SERVICE_LIST[@]}"; do
|
||||
|
||||
# Убираем пробелы
|
||||
SERVICE="${SERVICE#"${SERVICE%%[![:space:]]*}"}"
|
||||
SERVICE="${SERVICE%"${SERVICE##*[![:space:]]}"}"
|
||||
|
||||
if [[ -z "$SERVICE" ]]; then
|
||||
continue
|
||||
fi
|
||||
|
||||
echo "--------------------------------------------------"
|
||||
echo "Service: $SERVICE"
|
||||
|
||||
# Проверяем наличие unit
|
||||
if ! systemctl cat "$SERVICE" >/dev/null 2>&1 </dev/null; then
|
||||
echo "ERROR: systemd unit not found: $SERVICE"
|
||||
FAILED=1
|
||||
continue
|
||||
fi
|
||||
|
||||
echo "Restarting $SERVICE..."
|
||||
|
||||
if ! systemctl restart "$SERVICE" </dev/null; then
|
||||
echo "ERROR: failed to restart $SERVICE"
|
||||
FAILED=1
|
||||
continue
|
||||
fi
|
||||
|
||||
# Небольшая пауза перед проверкой
|
||||
sleep 2
|
||||
|
||||
if systemctl is-active --quiet "$SERVICE"; then
|
||||
echo "SUCCESS: $SERVICE is active"
|
||||
else
|
||||
echo "ERROR: $SERVICE is not active after restart"
|
||||
|
||||
systemctl status "$SERVICE" \
|
||||
--no-pager \
|
||||
--full </dev/null 2>&1 || true
|
||||
|
||||
FAILED=1
|
||||
fi
|
||||
|
||||
done
|
||||
|
||||
echo "--------------------------------------------------"
|
||||
|
||||
if [[ "$FAILED" -ne 0 ]]; then
|
||||
echo "RESULT=FAILED"
|
||||
exit 1
|
||||
fi
|
||||
|
||||
echo "RESULT=SUCCESS"
|
||||
exit 0
|
||||
REMOTE_SCRIPT
|
||||
} > "$remote_script"
|
||||
|
||||
# ------------------------------------------------------------------
|
||||
# Выполнение.
|
||||
#
|
||||
# Вывод удалённого скрипта идёт через tee одновременно в лог
|
||||
# и во временный файл (для проверки результата). tee не буферизует
|
||||
# вывод, поэтому приглашение sudo (без перевода строки) видно сразу.
|
||||
# ------------------------------------------------------------------
|
||||
|
||||
: > "$host_out"
|
||||
|
||||
local rc=0
|
||||
run_remote_script "$host" "$remote_script" 2>&1 | tee -a "$LOG_FILE" "$host_out" || rc=$?
|
||||
|
||||
# pty на удалённой стороне добавляет CR
|
||||
sed -i 's/\r$//' "$host_out"
|
||||
|
||||
rm -f "$remote_script"
|
||||
|
||||
if [[ "$rc" -eq 255 ]]; then
|
||||
log ERROR "[$host] Ошибка SSH-соединения"
|
||||
return 1
|
||||
fi
|
||||
|
||||
if [[ "$rc" -eq 0 ]] && grep -q '^RESULT=SUCCESS$' "$host_out"; then
|
||||
log INFO "[$host] Все службы успешно перезапущены"
|
||||
return 0
|
||||
fi
|
||||
|
||||
log ERROR "[$host] Не все службы были успешно перезапущены (rc=$rc)"
|
||||
return 1
|
||||
}
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Main
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
log INFO "=============================================="
|
||||
log INFO "Запуск $SCRIPT_NAME"
|
||||
log INFO "SSH user: $SSH_USER"
|
||||
log INFO "Config: $CONFIG_FILE"
|
||||
log INFO "=============================================="
|
||||
|
||||
TOTAL=0
|
||||
SUCCESS=0
|
||||
FAILED=0
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Читаем конфигурацию в массивы заранее: во время ssh stdin должен
|
||||
# оставаться терминалом (ввод паролей), а не файлом конфигурации.
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
HOSTS=()
|
||||
HOST_SERVICES=()
|
||||
|
||||
while IFS=';' read -r host services || [[ -n "$host" ]]; do
|
||||
|
||||
# Убираем BOM из первой строки
|
||||
host="${host#$'\xef\xbb\xbf'}"
|
||||
|
||||
host="$(trim "$host")"
|
||||
services="$(trim "$services")"
|
||||
|
||||
# Пустая строка
|
||||
[[ -z "$host" ]] && continue
|
||||
|
||||
# Комментарий
|
||||
[[ "$host" == \#* ]] && continue
|
||||
|
||||
# Проверяем конфигурацию
|
||||
if [[ -z "$services" ]]; then
|
||||
log ERROR "[$host] Не указан список служб"
|
||||
((FAILED++))
|
||||
((TOTAL++))
|
||||
continue
|
||||
fi
|
||||
|
||||
HOSTS+=("$host")
|
||||
HOST_SERVICES+=("$services")
|
||||
((TOTAL++))
|
||||
|
||||
done < "$CONFIG_FILE"
|
||||
|
||||
for i in ${HOSTS[@]+"${!HOSTS[@]}"}; do
|
||||
host="${HOSTS[$i]}"
|
||||
services="${HOST_SERVICES[$i]}"
|
||||
|
||||
log INFO "----------------------------------------------"
|
||||
log INFO "Host: $host"
|
||||
log INFO "Services: $services"
|
||||
|
||||
if restart_services "$host" "$services"; then
|
||||
((SUCCESS++))
|
||||
else
|
||||
((FAILED++))
|
||||
fi
|
||||
done
|
||||
|
||||
# ----------------------------------------------------------------------
|
||||
# Summary
|
||||
# ----------------------------------------------------------------------
|
||||
|
||||
log INFO "=============================================="
|
||||
log INFO "Результат выполнения"
|
||||
log INFO "Всего хостов : $TOTAL"
|
||||
log INFO "Успешно : $SUCCESS"
|
||||
log INFO "Ошибок : $FAILED"
|
||||
log INFO "Log : $LOG_FILE"
|
||||
log INFO "=============================================="
|
||||
|
||||
# Убираем CR, попавшие в лог из удалённого TTY
|
||||
sed -i 's/\r$//' "$LOG_FILE"
|
||||
|
||||
if [[ $FAILED -gt 0 ]]; then
|
||||
exit 1
|
||||
fi
|
||||
|
||||
exit 0
|
||||
Reference in New Issue
Block a user