feat(observe): 生产部署(单机)—— 硬化 compose + nginx 反代 + README(SSH隧道/保留期/专用账号)
- docker-compose.prod.yml: 只绑 127.0.0.1、命名卷、mem 1g、密码走 .env(:? 守卫) - nginx/observe.shaguabijia.com.conf: 子域名反代 + IP白名单 + TLS + WS 透传 - .gitignore: 忽略 prod 密码 .env - README: 生产部署步骤 + UI 访问两方案(SSH隧道推荐) Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
This commit is contained in:
guke
@@ -0,0 +1,47 @@
|
||||
# OpenObserve 监控台反代(单独子域名)。前提:
|
||||
# - DNS: observe.shaguabijia.com A 记录 → 本机公网 IP
|
||||
# - 证书: /etc/nginx/ssl/observe.shaguabijia.com.pem|.key(同现有域名放法)
|
||||
# - OpenObserve 只绑 127.0.0.1:5080(见 docker-compose.prod.yml)
|
||||
# 三重防护:IP 白名单 + nginx TLS + OpenObserve 自身登录。
|
||||
# 只你/少数人看的话,更省事的是 SSH 隧道(README「UI 访问」方案 A),不用域名/证书。
|
||||
|
||||
# 80 → 301 → 443
|
||||
server {
|
||||
listen 80;
|
||||
listen [::]:80;
|
||||
server_name observe.shaguabijia.com;
|
||||
return 301 https://$host$request_uri;
|
||||
}
|
||||
|
||||
# 443 SSL 反代到本地 OpenObserve (127.0.0.1:5080)
|
||||
server {
|
||||
listen 443 ssl http2;
|
||||
listen [::]:443 ssl http2;
|
||||
server_name observe.shaguabijia.com;
|
||||
|
||||
ssl_certificate /etc/nginx/ssl/observe.shaguabijia.com.pem;
|
||||
ssl_certificate_key /etc/nginx/ssl/observe.shaguabijia.com.key;
|
||||
|
||||
ssl_protocols TLSv1.2 TLSv1.3;
|
||||
ssl_ciphers HIGH:!aNULL:!MD5;
|
||||
ssl_session_cache shared:SSL:10m;
|
||||
|
||||
# ★ 只放行你的固定出口 IP(办公/家宽)。监控台不必对全网开。
|
||||
allow 1.2.3.4; # ← 换成真实 IP,可多行
|
||||
deny all;
|
||||
|
||||
client_max_body_size 10m;
|
||||
|
||||
location / {
|
||||
proxy_pass http://127.0.0.1:5080;
|
||||
proxy_http_version 1.1;
|
||||
proxy_set_header Host $host;
|
||||
proxy_set_header X-Real-IP $remote_addr;
|
||||
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
||||
proxy_set_header X-Forwarded-Proto $scheme;
|
||||
# OpenObserve 有实时/流式,需透传 WebSocket
|
||||
proxy_set_header Upgrade $http_upgrade;
|
||||
proxy_set_header Connection "upgrade";
|
||||
proxy_read_timeout 300s;
|
||||
}
|
||||
}
|
||||
@@ -1,2 +1,4 @@
|
||||
# OpenObserve 落盘数据(parquet/索引/元数据),运行时产生,不入库。
|
||||
data/
|
||||
# 生产 compose 的密码文件(OO_ROOT_PASSWORD),含机密,不入库。
|
||||
.env
|
||||
|
||||
@@ -79,4 +79,48 @@ docker compose down # 停止(保留数据)
|
||||
docker compose down -v && rm -rf data # 停止并清空数据
|
||||
```
|
||||
|
||||
> 生产部署（持久化规格、独立 ingest 账号、鉴权收紧）见 spec 第 9 节，本期不做。
|
||||
## 生产部署（单机）+ UI 访问
|
||||
|
||||
前提:app-server 与 OpenObserve **同机**,app→OO 走 localhost(`127.0.0.1:5080`)、不出网、无需 TLS。
|
||||
唯一要防的是**别把 :5080 裸暴露公网**。硬化版编排见 [docker-compose.prod.yml](docker-compose.prod.yml)。
|
||||
|
||||
### 部署步骤
|
||||
|
||||
```bash
|
||||
# 1) 密码文件(本目录,已 gitignore)
|
||||
echo "OO_ROOT_PASSWORD=$(python -c 'import secrets;print(secrets.token_urlsafe(24))')" > deploy/openobserve/.env
|
||||
|
||||
# 2) 起 OpenObserve(只绑 127.0.0.1、命名卷持久化、mem 1g)
|
||||
cd deploy/openobserve && docker compose -f docker-compose.prod.yml up -d
|
||||
sudo systemctl enable docker # 开机自起
|
||||
```
|
||||
|
||||
3) app-server 的 `.env` 打开观测并**重启**(用非 root 的专用 ingest 账号):
|
||||
```dotenv
|
||||
OBSERVE_ENABLED=true
|
||||
OBSERVE_ENDPOINT=http://127.0.0.1:5080
|
||||
OBSERVE_ORG=default
|
||||
OBSERVE_STREAM=app_requests
|
||||
OBSERVE_USER=ingest@shaguabijia.com # UI → Users 建的非 root 账号
|
||||
OBSERVE_PASSWORD=<该账号密码>
|
||||
```
|
||||
```bash
|
||||
sudo systemctl restart shaguabijia-app-server # 日志出现 "observe worker started" 即生效
|
||||
```
|
||||
|
||||
4) 两个必做收口(磁盘/安全):
|
||||
- **保留期**:UI → Streams → `app_requests` → Data Retention 设 14/30 天(一请求一行,不封顶迟早撑爆盘)。
|
||||
- **专用账号**:UI → Users 建非 root 账号给 app 上报,root 只留人工登 UI。
|
||||
|
||||
### UI 访问(二选一)
|
||||
|
||||
**A. SSH 隧道(推荐,零暴露、不用域名/证书):**
|
||||
```bash
|
||||
ssh -L 5080:127.0.0.1:5080 用户@服务器IP
|
||||
# 然后本机浏览器开 http://localhost:5080
|
||||
```
|
||||
|
||||
**B. nginx 子域名反代(要固定 URL / 团队常看):** 见 [../nginx/observe.shaguabijia.com.conf](../nginx/observe.shaguabijia.com.conf)。
|
||||
需 DNS `observe.shaguabijia.com` → 本机 + 证书放 `/etc/nginx/ssl/`;含 IP 白名单 + TLS + WebSocket 透传。
|
||||
|
||||
> ⚠️ prod compose 必须保持 `127.0.0.1:5080:5080`;写成 `5080:5080`(绑 0.0.0.0)= 裸暴露公网,这是唯一真正的坑。
|
||||
|
||||
@@ -0,0 +1,27 @@
|
||||
# 生产用 OpenObserve(单机)。相对本地版 docker-compose.yml 的区别:
|
||||
# - 端口只绑 127.0.0.1 → 公网/外网都到不了(UI 访问走 SSH 隧道或 nginx 反代,见 README)
|
||||
# - root 密码走环境变量(放同目录 .env,已 gitignore,勿提交)
|
||||
# - 数据用 docker 命名卷(免 bind-mount 权限坑)+ 内存上限(与 app/PG 共存防抢内存)
|
||||
#
|
||||
# 用法:
|
||||
# 1) 本目录建 .env(已 gitignore):
|
||||
# OO_ROOT_PASSWORD=<强随机串> # 生成: python -c "import secrets;print(secrets.token_urlsafe(24))"
|
||||
# 2) docker compose -f docker-compose.prod.yml up -d
|
||||
# 3) 开机自起: sudo systemctl enable docker
|
||||
services:
|
||||
openobserve:
|
||||
image: public.ecr.aws/zinclabs/openobserve:latest
|
||||
container_name: openobserve
|
||||
ports:
|
||||
- "127.0.0.1:5080:5080" # ★只绑本机;写成 5080:5080 = 裸暴露公网,别这么干
|
||||
environment:
|
||||
ZO_ROOT_USER_EMAIL: "admin@shaguabijia.com"
|
||||
ZO_ROOT_USER_PASSWORD: "${OO_ROOT_PASSWORD:?请先在 deploy/openobserve/.env 里设 OO_ROOT_PASSWORD}"
|
||||
ZO_DATA_DIR: "/data"
|
||||
volumes:
|
||||
- openobserve_data:/data # docker 命名卷;想固定到某块盘改成 bind: /your/disk:/data
|
||||
restart: unless-stopped
|
||||
mem_limit: 1g # 按机器内存调;查询重可给 2g
|
||||
|
||||
volumes:
|
||||
openobserve_data:
|
||||
Reference in New Issue
Block a user