Capistrano自動デプロイ時のPermission denied (publickey).

Question

環境

ruby 2.5.1
rails 5.0.7
capistrano 3.11.2
capistrano 5.5.1

実現したいこと

現在ポートフォリオを作成中で、
以下の記事を参考にデプロイまで辿りつきました。
リンク内容

さらにAWSのACM,Route53,ALBを用いて、ドメイン名にHTTPSでアクセスできるまでは実装できたのですが、
そこからcapistranoによる自動デプロイを
こちらの記事
リンク内容
を参考に試してみましたがエラーが起きどうしても前に進みません。

エラー

#bundle exec cap production deploy実行後↓

Caused by:
SSHKit::Command::Failed: git exit status: 128
git stdout: Nothing written
git stderr: Permission denied (publickey).
fatal: Could not read from remote repository.

  INFO [8540a485] Finished in 0.252 seconds with exit status 0 (successful).
  INFO [8ccb5677] Running /usr/bin/env git ls-remote [e-mail]:ユーザー名/リポジトリ名.git HEAD as ユーザー名@IP
 DEBUG [8ccb5677] Command: ( export RBENV_ROOT="$HOME/.rbenv" RBENV_VERSION="2.5.1" GIT_ASKPASS="/bin/echo" GIT_SSH="/tmp/git-ssh-ファイル名-production-ホームディレクトリ.sh" ; /usr/bin/env git ls-remote [e-mail]:gitのユーザー名/ファイル名.git HEAD )
 DEBUG [8ccb5677] 	Permission denied (publickey).
 DEBUG [8ccb5677] 	fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

コード

#capfile
require 'capistrano/setup'
require 'capistrano/deploy'
require 'capistrano/rbenv' 
require 'capistrano/bundler'
require 'capistrano/rails/assets' 
require 'capistrano/rails/migrations' 

Dir.glob('lib/capistrano/tasks/*.rb').each { |r| import r }

#config/deploy.rb
lock '3.11.2'

set :application, 'ファイル名'

set :repo_url,  '[e-mail]:のユーザー名/ファイル名.git'

set :linked_dirs, fetch(:linked_dirs, []).push('log', 'tmp/pids', 'tmp/cache', 'tmp/sockets', 'vendor/bundle', 'public/system', 'public/uploads')

set :linked_files, fetch(:linked_files, []).push('config/settings.yml')

set :deploy_to, '/var/www/projects/ファイル名'

set :rbenv_type, :user

set :rbenv_ruby, '2.5.1'

set :log_level, :debug

set :ssh_options, auth_methods: ['publickey'],
                  keys: ['~/.ssh/key.pem'] 

set :linked_files, %w{ config/secrets.yml }

set :keep_releases, 5

namespace :deploy do
  desc 'Restart application'
  task :restart do
    invoke 'unicorn:restart'
  end

  desc 'Create database'
  task :db_create do
    on roles(:db) do |host|
      with rails_env: fetch(:rails_env) do
        within current_path do
          execute :bundle, :exec, :rake, 'db:create'
        end
      end
    end
  end

  desc 'Run seed'
  task :seed do
    on roles(:app) do
      with rails_env: fetch(:rails_env) do
        within current_path do
          execute :bundle, :exec, :rake, 'db:seed'
        end
      end
    end
  end

  after :publishing, :restart

  after :restart, :clear_cache do
    on roles(:web), in: :groups, limit: 3, wait: 10 do
    end
  end
end

#config/deproy/production.rb
server 'IP', user: 'user名', roles: %w{app db web}

#config/unicorn/production.rb
$worker  = 2
$timeout = 30
$app_dir = "/var/www/projects/ファイル名/current"
$listen  = File.expand_path 'tmp/sockets/.unicorn.sock', $app_dir
$pid     = File.expand_path 'tmp/pids/unicorn.pid', $app_dir
$std_log = File.expand_path 'log/unicorn.log', $app_dir


worker_processes  $worker
working_directory $app_dir
stderr_path $std_log
stdout_path $std_log
timeout $timeout
listen  $listen
pid $pid

preload_app true


before_fork do |server, worker|
  defined?(ActiveRecord::Base) and ActiveRecord::Base.connection.disconnect!
  old_pid = "#{server.config[:pid]}.oldbin"
  if old_pid != server.pid
    begin
      Process.kill "QUIT", File.read(old_pid).to_i
    rescue Errno::ENOENT, Errno::ESRCH
    end
  end
end


after_fork do |server, worker|
  defined?(ActiveRecord::Base) and ActiveRecord::Base.establish_connection
end

#lib/capistrano/tasks/unicorn.rb

#unicornのpidファイル、設定ファイルのディレクトリを指定
namespace :unicorn do
  task :environment do
    set :unicorn_pid,    "#{current_path}/tmp/pids/unicorn.pid"
    set :unicorn_config, "#{current_path}/config/unicorn/production.rb"
  end

#unicornをスタートさせるメソッド
  def start_unicorn
    within current_path do
      execute :bundle, :exec, :unicorn, "-c #{fetch(:unicorn_config)} -E #{fetch(:rails_env)} -D"
    end
  end

#unicornを停止させるメソッド
  def stop_unicorn
    execute :kill, "-s QUIT $(< #{fetch(:unicorn_pid)})"
  end

#unicornを再起動するメソッド
  def reload_unicorn
    execute :kill, "-s USR2 $(< #{fetch(:unicorn_pid)})"
  end

#unicronを強制終了するメソッド
  def force_stop_unicorn
    execute :kill, "$(< #{fetch(:unicorn_pid)})"
  end

#unicornをスタートさせるtask
  desc "Start unicorn server"
  task start: :environment do
    on roles(:app) do
      start_unicorn
    end
  end

#unicornを停止させるtask
  desc "Stop unicorn server gracefully"
  task stop: :environment do
    on roles(:app) do
      stop_unicorn
    end
  end

#既にunicornが起動している場合再起動を、まだの場合起動を行うtask
  desc "Restart unicorn server gracefully"
  task restart: :environment do
    on roles(:app) do
      if test("[ -f #{fetch(:unicorn_pid)} ]")
        reload_unicorn
      else
        start_unicorn
      end
    end
  end

#unicornを強制終了させるtask 
  desc "Stop unicorn server immediately"
  task force_stop: :environment do
    on roles(:app) do
      force_stop_unicorn
    end
  end
end

以上です。
エラー内容などで検索すると
https://qiita.com/ryic/items/24b3abc36f5697c945b2
にあるように

ssh-add ~/.ssh/key

このコマンドで解決するという記事がいくつかヒットするのですが、よく理解できておりません。
どなたかお分かりになる方いらっしゃればぜひ教えてください。

Answer 1

Capistranoでデプロイする仕組みは、ざっくりいうと以下のようになっています。

1. デプロイもと（手元のPCやデプロイサーバー）からEC2にSSHで接続
2. EC2からGitHubにアクセスしてソースコードを取得

今回は、2の段階でエラーが発生しています。
なぜ2でエラーが起こるかというと、おそらくEC2にはGitHubに接続できるSSHキーが無いからだと思います。
ですので、書いていただいたようなエラーメッセージが表示されていると考えられます。

git stderr: Permission denied (publickey).
fatal: Could not read from remote repository.

これを解決するためには、EC2にGitHubにアクセスできるSSHキーを置く方法がありますが、この方法はGitHubに登録したSSHの秘密鍵をEC2に転送することになるので、セキュリティ的におすすめできません。

ではどうするかというと、mattoさんも調べていただいた、ssh-add ~/.ssh/keyを使います。
これはSSHのエージェント転送という機能で、ssh-addを実行した環境にあるSSHキーを、SSHの接続先（今の例ですとEC2）で使用するようにする・引き継ぐやり方です。
この機能を使うと、手元のPCにあるGitHubに登録済みのSSHキーを使って、EC2でもGitHubのソースコードを取得できます。

やることは２つです。
まず、CapistranoでSSHのエージェント転送機能を使えるようにします。

#config/deploy.rb
set :ssh_options, auth_methods: ['publickey'],
                  keys: ['~/.ssh/key_book_cafe_review_app.pem'],
                  forward_agent: true # この行を追加しました。

次に、デプロイもとのサーバーでsshエージェントを起動して、GitHubのデプロイキーを登録します。

eval `ssh-agent`
ssh-add ~/.ssh/github_rsa # GitHubのデプロイキーのパスを指定してください
ssh-add -l # 鍵が登録されていることを確認

この設定をしてからCapistranoでデプロイするとうまくいくと思うですが、いかがでしょうか。

こちらに参考になりそうなサイトのリンクを記載します。

• Capistranoによるデプロイで発生したgithub接続エラーを解決する - 小さな星がほらひとつ
• ssh-agentの基本 Qiita
• How to use git GitHub with Capistrano

Comments

[Shika_Tech]

コメントありがとうございます！どちらも実行してみたのですが、相変わらず同じエラーが出てしまいます。
サーバーからはssh -T [e-mail]で接続できるのですが...

[shgtkshruch]

サーバーからはsshでGitHubに接続できるんですね。
基本的なことで1点確認したいんですが、config/deploy.rbに設定している`repo_url`はあってますよね？
それが適切であれば、GitHub のデプロイキーに~/.ssh/key_book_cafe_review_app.pemを設定して、それをssh-addで追加してデプロイできないでしょうか？
また、ssh-add する前に eval `ssh-agent`などでssh-agentが起動していることも確認していただきたいです。
https://qiita.com/Yarimizu14/items/6a4bab703d67ea766ddc

こちらの記事も同じような設定をされているので、参考になると思います。
https://qiita.com/Takkiii/items/c4f2cfd143e97e061e66

[Shika_Tech]

はい、urlは合っています。
リンクを頂いた記事を試してみたのですが、変わらずエラーが出ました。
質問なのですが、deploy/prodocution.rbにrsa鍵のset :ssh_optionsを追記するという記事をいくつか見つけました。しかしこちらも上手く行きませんでした。、pem鍵の方はサーバーにアクセスする鍵だと思うので、rsa鍵の記述がおかしいのではと思ったのですが、そのあたりがよくわからない状態でして。

自分のPC上に置いているpemはec2にアクセスする鍵、
サーバー上に置いてるrsaはgitにアクセスする鍵、
という認識で間違いないでしょうか。

[shgtkshruch]

mattoさんの既存のコードを生かしてシンプルに解決するという観点では、以下の方法があります。
デプロイ元でssh-addを使う場合は、サーバー上においてあるGitHubにアクセスするための鍵（rsa)は不要になります。
その代わり、EC2にアクセスする際に使う公開鍵をGitHubのデプロイキーに登録します。
この方法でやると、EC2のアクセスとGitHubからのソースコードの取得がこの鍵のみで行なえます。

もう一つは、EC2上で新しくSSH鍵を作成して、それをGitHubのデプロイキーに登録する方法があります。
この場合は、EC2の~./ssh/configにGitHubへのSSH接続の設定を書くと接続できると思います。
https://www.codeofduty.me/2018/01/31/railsapp-aws-deploy/#GitHub%E3%81%A8%E9%80%A3%E6%90%BA%E3%81%99%E3%82%8B

[Shika_Tech]

私がもともとデプロイしたやり方は後者のほうでした。ec2上でrsaとrsa.pubが生成されてadd-sshを行いパスワードを聞かれずgithubにアクセスできていたましたが、自動デプロイコマンドではエラーが出てしまいました。

前者の方にある
「EC２にアクセスする際に使う公開鍵をgithubのデプロイキーに登録」
とはkey_book_cafe_review_app.pemをgithubサイトのセッティングで登録するという事でしょうか？

[Shika_Tech]

shgtkshruchさんのおっしゃる方法でローカルにec2用とgit用の鍵を二つ生成し、ssh-addする事でエラーを回避することができました。この度はアドバイスいただきありがとうございました！

[shgtkshruch]

コメント遅くなりました。
あまりうまくアドバイスできなかったかもですが、解決できてよかったです！