ISV系统部署规范

文件编号:SA-ISV-系统部署标准-V1.0.docISV版本号V1.7山大版本修订记录版本修改日期修改修订说明编号者1.02023-02-26全部山大创立文档1.12023-03-03大部山大争论，更改1.22023-03-08应用部署参踏空nginx，squid考1.32023-03-11全部山大，踏修改名目等空1.42023-3-23局部山大修改分区，增加安全设置，增加shterm1.52023-4-22局部山大php1.62023-5-12局部山大mysql1.72023-6-10局部山大更改shterm治理及上传版权说明本文件中消灭的任何文字表达、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属淘宝公司所有，受到有关产权及版权法保护。任何个人、机构未经淘宝公司的书面授权许可，不得复制、引用或传播本文件的任何片断，无论通过电子形式或非电子形式。ISV系统部署标准草案名目文档目的：ISV系统商定 RHCE4update7，RHCE5update2，以上6432必需使用32位系统的，内存最多安排4G，原则不使用Windows系统，特别需要请通过PM申请。Mysql，不能使用MSSQL和ORACLE系统分区默认物理机(300G硬盘)分五个区/boot100M启动分区/ 10G根分区，/opt/usr15G系统应用分区/var20G系统日志分区/home默认虚拟机(80G硬盘)分两个区/boot100M启动分区/根分区 剩余大小Ext3,有特别需要分区请和淘宝运维联系系统名目说明：/home用户数据和web/根一般不放用户文件/usr一般系统程序存放/var系统的日志，一般不放用户的日志/opt一些下载的源文件可以放这里系统名目商定RPM源码包编译安装位置(prefix)脚本以及维护程序存放位置备份文件用户脚本的输出日志CrontabCrontab日志输出用户临时文件MySQL程序安装位置MySQLbinlog,errlogApache程序临时文件JbossJbossHomeTomcatTomcatNginxNginx

/opt/taobao/install/home/admin/apps/home/admin/bin/home/admin/backup/home/admin/logs/日志/home/admin/bin/crontab/home/admin/logs/crontab/home/admin/tmp/home/mysql/home/mysql/var/home/admin/apps/d/home/admin/域名或应用名/home/admin/tmp//home/admin/apps/jboss/home/admin/应用名/home/admin/apps/tomcat/home/admin/apps/tomcat/ROOT/home/admin/apps/nginx//home/admin/域名或应用名留意：应用要安装在/home/admin/apps/下面，应用的程序文件要在/home/admin/”应用名”/下账户商定特权账号Root帐号是效劳器的最高权限拥有者，只有在涉及到系统维护治理的时候才需使用，因此作出下述规定：root〔必要已经审批工具除外〕；/root/不允许用root运行任何非系统必需的程序(特别效劳除外)。工作帐号商定使用admin：admin,gid和uid500是生产效劳运行所使用的帐号，此帐号的动作将影响到生产效劳运行的稳定性，因此在工作帐号的名目内，只允许存放以下条件所允许的程序、配置文件、数据文件、日志、脚本、备份文件、crontab；线上效劳所必需的，应用端口尽量不要用1024一下端口，用admin部署。运行维护所必需的。部署时可以拥有ROOT权限,部署完之后应当收回ROOT添加账户groupadd-g500adminuseradd-g500-u500admin进程商定生产效劳的进程需要以admin账户来启动1024以下端口，不需要root特别进程请必需告知淘宝运维7.端口商定应用apache80备注80端口，使用admin起来，赐予d4755mysql33063306端口，使用mysqlmemcache11211jboss9001tomcat8080假设需要直接对外，在LB80Nginx8080假设需要直接对外，在LB80squidNfs,portmap8080假设需要直接对外，在LB80Php-cgi10080snmp161有其他需要的请补充给淘宝运维。文件和名目线上效劳环境的干净、环保与安全；性。留意点：一个名目下面不允很多达6000个文件以上,假设文件数量很多,想方法承受多级名目解决。/home/admin/home/admin//home/admin/││├APPS/│├(d)/│└──bin/│ ├─logs/│ ├─lib/│ ├─conf/│ └─htdocs/└─taobao.abc/……网站数据请独立出来│└─bin/│└─crontab│├─logs/│├─crontab│└─backup/││└─tmp/程序文件或域名作为名目数据安全和备份程序文件备份ISVsvn效劳器上有条件的保存7日的滚动备份，配置文件做7天的滚动备份数据库备份需要热备，mysqlmasterslavedump10G,承受增量备份附件等重要数据文件设计上最好能够分布式机制，保存保存2份，最好3份数据。Nfs，用Rsynciv.日志备份尽量压缩保存文件没必要的日志不需要备份a)b)c)d)e)f)g)h)a)b)c)d)e)

安全留意acls,源地址必需做限制acls应用层：防注入和跨站，扫描后台治理地址，也需要列出来，告知淘宝运维，测试安全性部署安全crontab脚本当中应当输出到具体日志中>/dev/null2>&1脚本放在/home/admin/bin/crontab##addbyshandaforupdatemonitor20230222*/50****/home/admin/bin/crontab/update.sh>/dev/null2>&1#updatebyshanda20230226##addbyshandaforupdatemonitor20230222*/50****/home/admin/bin/crontab/update.sh>/dev/null2>&1#updatebyshanda20230226请向淘宝运维申请效劳器登陆账号需要通过登陆效劳器登陆登陆设置如下：

登陆效劳器IP地址做ACLSSecureCRT—终端-仿真终端改成Xterm.假设用了一段时间突然觉察无法登陆，报密码错误或者帐号被锁定：这是由于系统默认3个月会自动更改一次密码，到期前系统会发一封密码邮件给你，假设没有留意，连续错误5次会账号会自动锁定，锁定后请联系Shterm的治理员来更改密码。感谢！假设手动修改自己的密码：通过s://5用自己的帐号登陆，进入账户设置，再输入一次密码，留意密码更改规章：密码长度不应小于8个字符，不能与前5次的设置一样；最少要包含1个数字字符，1个大写字母，1个小写字母，1个其他字符；CrackLib，请勿设置简洁密码。a)b)c)

文件上传80协议wgetShtermrz,sz,上传可以通过sftp上传设置：登陆效劳器地址，端口22，用你自己的账号，登陆后选择内部效劳器和账号工具可以使用FlashFXP,Filezilla,Winscp,SecureFX等d) Linux机器可以直接scpScpyourname@5://admin/home/admin/www/default.css/home/admin/www/new.cssScp/home/admin/www/new.tgzyourname@5://admin/home/admin/www/new.tgz备注：你的账号@登陆效劳器目标效劳器目标账号目标名目

外部访问外部访问需要通过负载均衡设备的VIP访问需要供给应淘宝运维要访问的域名，映射到的效劳器以及开放的端口经过安全审核和运维审核之后才能开通外部访问。时间同步目前已默认配置时间效劳器/etc/ntp.conf 请不要更改。snmp/etc/snmp/snmpd.conf目前系统安装已经配置系统监控：效劳器的网卡流量，磁盘空间，内存，cpu,load必需监控应用监控：必要的应用监控请提交需求请不要更改snmpd.conf，有需要更改，请和淘宝联系，感谢！系统参数优化Web效劳器优化请把需要优化的参数供给应淘宝。域名的使用ISV应用原则不能使用淘宝域名域名必需要经过备案还能启用Sendmail1sendmail2.不允许利用效劳器发送垃圾邮件3sendmail/var/spool/mqueue应用部署参考〔等待补充〕Apache安装，配置文件，启动，日志轮询，维护，常见问题，优化安装：直接拷贝编译好的文件程序文件/home/admin/apps/d配置文件/home/admin/apps/d/conf/启动文件/home/admin/apps/d/bin/日志文件/home/admin/apps/d/logsWeb文件/home/admin/taobao.abc/日志请安装cronolog按年月日分日志隐蔽banner,conf/d.conf里添加:ServerTokensProductOnlyServerSignatureOffmod_evasive20CC品的具体状况调整:mod_evasive20mod_evasive20<IfModulemod_evasive20.c>DOSHashTableSize10000DOSCount300DOSSiteCount60DOSInterval10DOSSiteInterval10DOSBlockingPeriod300DOSEmailNotify“mailto:shanda@taobao“shanda@taobaoDOSSystemCommand“sudo/sbin/iptables-AINPUT-s%s-jDROP“DOSLogDir“/tmp“DOSWhiteList192.168.*.*</IfModule>Mysql安装，配置文件，启动，日志轮询，维护，常见问题，优化安装：直接拷贝编译好的文件安装：直接拷贝编译好的文件.64位5.1版本mysql程序文件/home/mysql已经安装好选择mysql用户。首先需要安装用mysql用户登录数据库机器，adminsshmysql@localhostMysql账户或直接选择或者通过登录的效劳器的adminsshmysql@目标地址。cp/home/mysql/share/mysql/mysql.server/etc/init.d/mydqldchownmysql:mysql/etc/f配置文件改成mysql用户停顿脚本：/etc/init.d/mysqldstop启动脚本:/etc/init.d/mysqldstart数据文件,binlog,errlog/home/mysql/var/设定强密码mysqladmin password 强密码口令至少8位，必需包含字母(大小写)、数字、特别字符(#$%^&等)编译参数参考:./configure--prefix=/home/mysql/--enable-assembler--with-extra-charsets=complex--enable-thread-safe-client--with-big-tables--with-readline--with-ssl--with-embedded-server--enable-local-infile--with-plugins=innobase&&make&&makeinstall授权参考：GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP,ALERTON dbname.*IDENTIFIEDBY”dbpassword”WITHGRANTOPTION;配置参考[mysqld]skip-networking #制止远程连接数据库TO username@”ip/netmask”local-infile=0 #制止MySQL对本地文件存取删除默认数据库和数据库用户test;mysql>usemysql;mysql>deletefromdb;mysql>deletefromuserwherenot(host=“localhost“anduser=“root“);mysql>flushprivileges;Mysql的配置Mysql的读写复制Mysql的备份Mysql配置：Mysql的配置/etc/f ;owner是mysql：chownmysql/etc/f[mysqld]user=mysqlskip-name-resolveold_passwords=1slow_query_log=/home/mysql/slowquery.loglong_query_time=2log-bin=mysql-binexpire_logs_days=7max_connections=10000default-character-set=utf8key_buffer=32Mmax_allowed_packet=4Mtable_cache=2048ksort_buffer_size=512Mnet_buffer_length=64K#myisam_sort_buffer_size=128Mjoin_buffer_size=64Mread_buffer_size=128Minnodb_max_dirty_s_pct=20innodb_flush_log_at_trx_commit=2innodb_buffer_pool_size=4096Minnodb_additional_mem_pool_size=512Minnodb_log_buffer_size=4Minnodb_log_file_size=500Minnodb_log_files_in_group=4innodb_file_per_tableset-variable=wait_timeout=30set-variable=interactive_timeout=30max_connect_errors=1000thread_cache=24thread_stack=256kopen-files-limit=28196query_cache_type=2query_cache_size=32M#back_log=1000tmp_table_size=1024M[mysqld_safe]log-error=/home/mysql/mysqld.logpid-file=/home/mysql/mysqld.pid~Mysql的备份Mysql读写复制：mysql读写复制设置设置主数据库 从数据库1。在主数据库上开设一个同步账号GRANTREPLICATIONSLAVEON*.*to“mailto:%27slaveuser%27@“”slaveuser”@identifiedby”slave******”WITHGRANTOPTION;2。主效劳器f设置设置配置server-id =1binlog-do-db =wp_cs #多个数据库分开行写binlog-ignore-db =mysqllog-bin=mysql-binmaster-connect-retry=60expire_logs_days7 #设置binlog7天从效劳器配置fserver-id=2#设置从机id标识,假设有多个从机，可以挨次增加ID3,4...master-host=#主机地址master-user =slaveuser #主机mysql数据库用户master-password =slave****** #主机mysql数据库密码replicate-do-db =wp_cs #多个数据库分开行写binlog-ignore-db =mysql#replicate-ignore-db=mysql #不同步的数据库，假设有多个数据库，每个数据库一行log-bin =mysql-bin #日志log-slave-updates #同步方式master-connect-retry=60expire_logs_days7 #设置binlog7天把主数据库导入到从数据库，并设置mysqldump --quick--flush-logs--lock-all-tables-A--default-character-set=utf8-uroot-p”******”>/tmp/mysql.back.sql导入到从数据库/home/mysql/bin/mysql--default-character-set=utf8-uroot-p””</tmp/mysql.back.sql查看主数据库最的binlog,譬如是mysql-bin.000004在从数据库上设置stopslave;changemastertomaster_log_file=“mysql-bin.000004“,master_log_pos=0;startslave;showslavestatus\G; 查看状态有问题留意查看mysql的错误日志，同时检查一下同步状态文件，是否和f里面配置全都。======================================================Mysql的备份：mysql7天轮训备份，最好在从数据库每天凌晨执行/home/mysql/bin/mysqldump --quick--flush-logs--lock-all-tablesyourdatabasename--default-character-set=utf8-uroot-p”******”>/home/admin/backup/mysqlbak/mysql.all.sql.$(date+%w)把命令放到脚本/home/admin/bin/crontab_bin/mysql.backup.shcrontab设置01***/home/admin/bin/crontab_bin/mysql.backup.sh>/dev/null2>&1Php,apache程序/home/admin/apps/php配置/home/admin/apps/php/etc/安全留意：apache建议用nobody起来，不要使用admin起来，避开用户通过apache获得太多的权限web名目建议使用admin755，不允许nobody的用户写入和更改文件，只允许admin更改文件；允许上传的名目，尽量放到一个特定的名目，譬如uploads,attachments,名目权限可以设定为777,同时需要再apache里面设定这个名目不允许执行php,具体设置，避开用户上传执行php文件<Directory“/home/admin/apps/apache/htdocs/uploads“>OptionsFollowSymLinksMultiViewsAllowOverrideNoneOrderallow,denyAllowfromall</Directory>4.php.ini设置disable_functions=exec,passthru,popen,proc_open,shell_exec,system,phpinfo,assertsafe_modeon ;假设影响多可以设成Off,必需告知淘宝缘由。safe_mode_gidoffopen_basedir=[WEBSITE] ;譬如/home/admin/apps/apache/htdocs 可允许apache访问的php的文件名目safe_mode_include_dir=[WEBSITE] ;譬如/home/admin/apps/apache/htdocs/includes可允许包含的文件名目safe_mode_exec_dir=[WEBSITE] ;譬如/home/admin/apps/apache/htdocs/exec可允许执行制止的php函数register_globals=Off;关闭全局变量display_errors=Off;关闭错误信息提示enable_dl=Off;不允许调用dlallow_url_fopen=Off ;关闭远程文件allow_url_include=Off;关闭远程文件session.cookie_only1；only开启，防止script跨站读取session.cookie_secure=0;ssecure开启，假设需要s可以翻开log_errorsOn ;error_log=/home/admin/logs/php.err.log ;错误日志的路径,譬如/home/admin/apps/php/logsmagic_quotes_gpc=On;set_magic_quotes_gpc(0);JbossJDK安装：直接拷贝编译好的文件JDK /home/admin/apps/jdk程序文件/home/admin/apps/jboss配置文件/home/admin/apps/jboss/conf/启动文件nohup/home/admin/apps/jboss/bin/run.shb& 在启动文件里面指定Javahome停顿命令：/home/admin/apps/jboss/bin/shutdown.sh-S日志文件/home/admin/apps/jboss/logsWeb文件/home/admin/apps/jboss/.default/deploy/taobao.abc//home/admin/apps/jboss/.default/deploy/taobao2.abc/Jboss虚拟主机配置：建立应用yourname.war,war下面建立WEB-INF,里面，建jboss-web.xml，里面添加<Host“://yourdomain/“name=“yourdomain“><DefaultContextcookies=“true“crossContext=“true“override=“true“/></Host>JDKTomcat-apache下载:从isvconsole同步相应的版本端口:8080启动和停顿使用admin启动/home/admin/apps/tomcat/bin/startup.sh 在启动文件当中指定Javahome,停顿/home/admin/apps/tomcat/bin/shutdown.shexportPATHUSERLOGNAMEMAILHOSTNAMEHISTSIZEINPUTRCCLASS_PATHJAVA_HOMETOMCAT_HOMEC配置web 更改conf/server.xml<Hostname=““://yourdomain/“yourdomain“appBase=“/home/admin/apps/tomcat/webapps“unpackWARs=“true“autoDeploy=“true“ xmlValidation=“false“xmlNamespaceAware=“false“><ValveclassName=“org.apache.catalina.valves.AccessLogValve“directory=“logs“ suffix=“.txt“pattern=“common“resolveHosts=“false“/><LoggerclassName=“org.apache.catalina.logger.FileLogger“</Host>

directory=“logs“timestamp=“true“/>

prefix=“yourdomain_log.“su