シェルスクリプトを使った自動デプロイについて

Question

シェルスクリプトを使って本番環境にSSH接続＆Git Pullを行いたいです。

ただ、プライベートなリポジトリだとgit pull時のパスワード入力でつまずいてしまいます。SSH鍵を本番環境に置きたくない場合、どのように実装したらよいでしょうか。

以下コードです。

#!/bin/bash

deploy_path=./www/
proj_name=dir_name
remote_path=https://github.com/hoge/proj.git
branch=master
usr_at_host=user@host

ssh ${usr_at_host} "
    if ! type 'git' > /dev/null 2>&1; then
        echo 'git not found...'
        exit 1
    fi

    if [ ! -e ${deploy_path} ]; then
        mkdir -p ${deploy_path}
    fi

    cd ${deploy_path}

    if [ ! -e ${proj_name} ]; then
        git clone ${remote_path} ${proj_name}
    else
        cd ${proj_name}
        git pull origin ${branch}
        echo 'deployment success!'
    fi
"

また、これ以外でおすすめの自動デプロイ方法があったら教えて下さいm(_ _)m

Answer 1

SSH の ForwardAgent が利用できると思います。
シェルスクリプトを実行する環境で ssh-agent を起動し、ssh-add で Git 用の秘密鍵を登録しておけば、ssh -A でログインした先から手元の ssh-agent につながり、秘密鍵を利用できます。

Comments

[tk_9]

ありがとうございます。回答通り設定してみたところ、無事自動デプロイすることができました。

ssh-agentを使って鍵を使い回すことができることはとても勉強になりました。これから活用したいと思いますm(_ _)m

Answer 2

そもそもデプロイ環境の秘密鍵が盗まれたら、かなり危機的な状況になるので、そこに至らないようなセキュリティ対策を行うのが望ましいと思いますし、その点を考慮してユーザ・パスワード方式にするのは本末転倒な気がします。

http://muramasa64.fprog.org/diary/?date=20141015
どこまでやるかという話にもなるかと思いますが、sshログインの際に、ワンタイムパスワードを利用する事が比較的安全になるのではないでしょうか。

gitについては、毎回鍵を送付して、処理が終わったら削除するとか、ログイン時に環境変数に設定して、それを参照するようにするとかでしょうか。

Comments

[tk_9]

回答ありがとうございます。

ワンタイムパスワードか、鍵を送付する方法がよさそうなのですね。鍵を送付する場合は、秘密鍵を本番環境に送付して、リモートリポジトリとSSH接続＆git pullということですよね？

自分で実装できそうか処理を考えてみます。ありがとうございます。

もしその他、いいアイディアがある方がいたら回答お願いしますm(_ _)m