改札サービスを建て直し、運用へ引き渡す 🎓

# db01 → app01 → app02 → front01 の順で 1 台ずつ接続し、各 VM 内で共通ブロックを実行する
ssh deployer@db01
# 完了後に exit し、app01、app02、front01 で繰り返す

# ここからが各 VM 共通の取得経路ブロック（既存 source には触れず、章専用ディレクトリだけを使う）
REPO_URI='http://172.16.10.22/ubuntu'
curl --fail --show-error --head "$REPO_URI/dists/noble/InRelease"
curl --fail --show-error "$REPO_URI/infra-study-archive-keyring.asc" \
  -o /tmp/infra-study-archive-keyring.asc

GPG_HOME="$(mktemp -d)"
chmod 700 "$GPG_HOME"
EXPECTED_FINGERPRINT='089E07BDFFA26DB7C7203016297FAD1317CA1DC4'
ACTUAL_FINGERPRINT="$(gpg --homedir "$GPG_HOME" --show-keys --with-colons \
  /tmp/infra-study-archive-keyring.asc | awk -F: '$1=="fpr" {print $10; exit}')"
test "$ACTUAL_FINGERPRINT" = "$EXPECTED_FINGERPRINT"
fingerprint_status=$?
rm -rf -- "$GPG_HOME"
echo "fingerprint match=$fingerprint_status"
test "$fingerprint_status" -eq 0

sudo install -d -m 0755 /etc/apt/keyrings /etc/apt/sources.list.d.part4
sudo install -o root -g root -m 0644 \
  /tmp/infra-study-archive-keyring.asc \
  /etc/apt/keyrings/infra-study-archive-keyring.asc

sudo tee /etc/apt/sources.list.d.part4/infra-study.sources > /dev/null <<EOF
Types: deb
URIs: $REPO_URI
Suites: noble
Components: part4
Architectures: amd64
Signed-By: /etc/apt/keyrings/infra-study-archive-keyring.asc
EOF

sudo chmod 0644 /etc/apt/sources.list.d.part4/infra-study.sources
grep -nHE '^(Types|URIs|Suites|Components|Signed-By):' /etc/apt/sources.list.d.part4/*.sources 2>/dev/null || true
APT_ONLY_PART4=(
  -o Dir::Etc::sourcelist=/dev/null
  -o Dir::Etc::sourceparts=/etc/apt/sources.list.d.part4
  -o APT::Get::List-Cleanup=0
)
sudo env LC_ALL=C apt-get "${APT_ONLY_PART4[@]}" update 2>&1 | tee /tmp/apt-update-part4.log
grep -E '^(Get|Hit):' /tmp/apt-update-part4.log
# 取得経路ブロックここまで

🔴 実機で採り直しが必要（章専用の取得経路へ変更後は未検証）。以下は 2026-09-02 実測の byte 数・package 版数はそのまま、パスだけを新しい章専用ディレクトリへ機械的に置き換えた参考値。4 台とも同一になる想定。
fingerprint match=0
/etc/apt/sources.list.d.part4/infra-study.sources:1:Types: deb
/etc/apt/sources.list.d.part4/infra-study.sources:2:URIs: http://172.16.10.22/ubuntu
/etc/apt/sources.list.d.part4/infra-study.sources:3:Suites: noble
/etc/apt/sources.list.d.part4/infra-study.sources:4:Components: part4
/etc/apt/sources.list.d.part4/infra-study.sources:6:Signed-By: /etc/apt/keyrings/infra-study-archive-keyring.asc

Get:1 http://172.16.10.22/ubuntu noble InRelease [2699 B]
Get:2 http://172.16.10.22/ubuntu noble/part4 amd64 Packages [14.5 kB]

APT_ONLY_PART4=(
  -o Dir::Etc::sourcelist=/dev/null
  -o Dir::Etc::sourceparts=/etc/apt/sources.list.d.part4
  -o APT::Get::List-Cleanup=0
)
sudo DEBIAN_FRONTEND=noninteractive apt-get "${APT_ONLY_PART4[@]}" install -y <このVMに必要なpackage名>

（2026-09-02 実測）　`apt-cache policy` で取得元まで確認します。
--- db01 ---
postgresql:
  Installed: 16+257build1.1
  Candidate: 16+257build1.1
        500 http://172.16.10.22/ubuntu noble/part4 amd64 Packages
postgresql-client:
  Installed: 16+257build1.1

--- app01 / app02 ---
python3-psycopg2:
  Installed: 2.9.9-1build1
        500 http://172.16.10.22/ubuntu noble/part4 amd64 Packages

--- front01 ---
nginx:
  Installed: 1.24.0-2ubuntu7.15
        500 http://172.16.10.22/ubuntu noble/part4 amd64 Packages

sudo systemctl start <DB service名>
systemctl status <DB service名> --no-pager
ss -lntp
sudo -u <DB管理ユーザ> psql -Atc "SELECT current_database();"

（2026-09-02 実測）
=== service ===
* postgresql.service - PostgreSQL RDBMS
     Loaded: loaded (/usr/lib/systemd/system/postgresql.service; enabled; preset: enabled)
     Active: active (exited) since Wed 2026-09-02 02:10:11 UTC; 50s ago

=== socket（起動直後・設定を入れる前）===
LISTEN 0  200   127.0.0.1:5432   0.0.0.0:*
LISTEN 0  200       [::1]:5432      [::]:*

=== ローカル接続 ===
postgres

172.16.10.24
LISTEN 0  200   172.16.10.24:5432   0.0.0.0:*   users:(("postgres",...))

TAPAPI_ARCHIVE=/tmp/tapapi-1.1.tar.gz
TAPAPI_SHA256=8a4e518211fc661f6fdcc0b2dd45be50eb1a199b36eaeb8db1b0a985a4eb2a9e
curl --fail --show-error --location \
  --output "$TAPAPI_ARCHIVE" \
  "http://172.16.10.22/assets/part4/tapapi-1.1.tar.gz"
if printf '%s  %s\n' "$TAPAPI_SHA256" "$TAPAPI_ARCHIVE" | sha256sum --check - \
  && test "$(stat -c %s "$TAPAPI_ARCHIVE")" -eq 2728; then
  tar -tzf "$TAPAPI_ARCHIVE"
  TAPAPI_TMP="$(mktemp -d)"
  tar -xzf "$TAPAPI_ARCHIVE" -C "$TAPAPI_TMP"
  INITIAL_SQL="$TAPAPI_TMP/tapapi/schema.sql"
  test -f "$INITIAL_SQL"
  sed -n '1,240p' "$INITIAL_SQL"
else
  echo 'SHA-256 が一致しません。展開せずに止めます（SSH 接続は維持されます）' >&2
fi

sudo -u <DB管理ユーザ> psql -d <演習DB名> < "$INITIAL_SQL"
sudo -u <DB管理ユーザ> psql -d <演習DB名> -c "\dt"
sudo -u <DB管理ユーザ> psql -d <演習DB名> -c "\d+ <残高表名>"
sudo -u <DB管理ユーザ> psql -d <演習DB名> -c "\d+ <event表名>"

# 一時展開はここで消す（あとから場所を追えなくなるため）
rm -rf "$TAPAPI_TMP"
test ! -e "$TAPAPI_TMP" && echo "tmp: removed"

（2026-09-02 実測）
=== schema.sql の内容 ===
CREATE TABLE cards (
  card_id TEXT PRIMARY KEY,
  balance INTEGER NOT NULL CHECK (balance >= 0)
);

CREATE TABLE tap_events (
  event_id TEXT PRIMARY KEY,
  card_id  TEXT NOT NULL REFERENCES cards(card_id),
  amount   INTEGER NOT NULL CHECK (amount > 0),
  created_at TIMESTAMPTZ NOT NULL DEFAULT now()
);

INSERT INTO cards (card_id, balance) VALUES ('card-demo', 1000);

=== 実行結果 ===
CREATE TABLE
CREATE TABLE
INSERT 0 1

=== \dt ===
 Schema |    Name    | Type  |  Owner
--------+------------+-------+----------
 public | cards      | table | postgres
 public | tap_events | table | postgres
(2 rows)

=== 残高が負にならない制約 ===
Check constraints:
    "cards_balance_check" CHECK (balance >= 0)

=== event ID の一意制約 ===
Indexes:
    "tap_events_pkey" PRIMARY KEY, btree (event_id)

tmp: removed

# db01 で実行する（App の応答に依存しない観測）
sudo -u <DB管理ユーザ> psql -d <演習DB名> -c \
  "SELECT usename, client_addr, application_name, state
     FROM pg_stat_activity
    WHERE datname = '<演習DB名>';"

 usename | client_addr  | application_name |        state
---------+--------------+------------------+---------------------
 tap_app | 172.16.10.20 | app01            | idle in transaction
 tap_app | 172.16.10.21 | app02            | idle in transaction
(2 rows)

# app01 と app02 のそれぞれで実行する
curl --fail --show-error "http://localhost:<Appの待受port>/health"

（2026-09-02 実測）
[app01] {"status":"ok","db":"ok","node":"app01"}
[app02] {"status":"ok","db":"ok","node":"app02"}

# app01 と app02 で同じ配置手順を実行する
sudo install -d -o root -g root -m 0755 <教材アプリの配置先>
<教材で指定された配置コマンド>
sudo install -m 0644 <service定義の元ファイル> <service定義の配置先>
sudo systemctl daemon-reload
sudo systemctl start <App service名>

systemctl status <App service名> --no-pager
ss -lntp
journalctl -u <App service名> --since "<演習開始時刻>" --no-pager
diff -u <app01の秘密情報を除いた設定> <app02の秘密情報を除いた設定>

（2026-09-02 実測）
=== service ===
app01: active（MainPID 2599） / app02: active（MainPID 3410）

=== socket ===
LISTEN 0  5   0.0.0.0:8080   0.0.0.0:*     ← 2 台とも同じ

=== journal ===
Sep 02 11:11:30 learner01 systemd[1]: Started tapapi.service - Part 4 transit-card tap API.
Sep 02 11:11:32 learner01 python3[2599]: {"event_id":"-","card_id":"-","amount":"-","node":"app01","status":200,"result":"ok"}

=== 設定差（2 台で違うのは 1 項目だけ）===
TAPAPI_NODE=app01     ← app02 では app02
PGHOST=172.16.10.24
PGPORT=5432
PGDATABASE=transit_lab
PGUSER=tap_app
/etc/tapapi/tapapi.env owner=root group=tapapi mode=640

# app01 と app02 のそれぞれで実行する
curl --fail --show-error --include "http://localhost:<Appの待受port>/health"

（2026-09-02 実測）
[app01] {"status":"ok","db":"ok","node":"app01"}
[app02] {"status":"ok","db":"ok","node":"app02"}

sudo install -m 0644 <入口設定の元ファイル> <入口設定の配置先>
sudo <入口serviceの構文確認コマンド>
sudo systemctl restart <入口service名>
systemctl status <入口service名> --no-pager
ss -lntp

（2026-09-02 実測）
=== 構文 ===
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

=== service ===
active

=== socket ===
LISTEN 0  511   0.0.0.0:8443   0.0.0.0:*   users:(("nginx",...))
LISTEN 0  511   0.0.0.0:8080   0.0.0.0:*   users:(("nginx",...))

sudo openssl x509 -in <server-certificateの配置先> -noout -subject -issuer -dates -ext subjectAltName
sudo openssl s_client -connect "<入口の接続名>:<TLSのport>" -servername <入口の接続名> -CAfile <演習用CAの配置先> </dev/null

（2026-09-02 実測）
=== certificate ===
subject=CN = front01
issuer=CN = infra-study-lab-ca
notBefore=Sep  2 02:12:27 2026 GMT
notAfter=Sep  9 02:12:27 2026 GMT
X509v3 Subject Alternative Name:
    DNS:front01

=== TLS 検証成功 ===
Verify return code: 0 (ok)

（2026-09-02 実測）
=== 各ルール適用後の管理接続（9 ルールすべて）===
  front01: SSH許可+有効化    mgmt-ok host=front01
  app01:   SSH許可+有効化    mgmt-ok host=app01
  app02:   SSH許可+有効化    mgmt-ok host=app02
  db01:    SSH許可+有効化    mgmt-ok host=db01
  front01: HTTPS許可         mgmt-ok host=front01
  app01:   App許可           mgmt-ok host=app01
  app02:   App許可           mgmt-ok host=app02
  db01:    app01からDB許可   mgmt-ok host=db01
  db01:    app02からDB許可   mgmt-ok host=db01

=== 完成した到達性の表 ===
workstation01  front-https ALLOW / app01-svc DENY  / app02-svc DENY  / db-svc DENY
front01        front-https ALLOW / app01-svc ALLOW / app02-svc ALLOW / db-svc DENY
app01          front-https DENY  / app01-svc ALLOW / app02-svc DENY  / db-svc ALLOW
app02          front-https DENY  / app01-svc DENY  / app02-svc ALLOW / db-svc ALLOW
db01           front-https DENY  / app01-svc DENY  / app02-svc DENY  / db-svc DENY

curl --fail --show-error --include \
  --cacert <演習用CAの配置先> \
  -H "X-Event-ID: <この試験のevent ID>"   -H 'Content-Type: application/json' \
  --data '<教材指定の正常タップ要求>' \
  "https://<入口の接続名>:<TLSのport>/<タップAPIのpath>"

（2026-09-02 実測）
（事前）balance=1000 events=0

=== 応答 ===
HTTP/1.1 200 OK
{"ok":true,"card_id":"card-demo","balance":900,"event_id":"at1-normal","node":"app01"}

=== 入口ログ ===
POST /tap HTTP/1.1 status=200 event_id=at1-normal upstream=<app01のアドレス>:8080 upstream_status=200

=== App journal（app01）===
{"event_id":"at1-normal","card_id":"card-demo","amount":100,"node":"app01","status":200,"result":"ok"}

=== DB の event 行と確定後残高 ===
  event_id  |  card_id  | amount
------------+-----------+--------
 at1-normal | card-demo |    100
(1 row)
  card_id  | balance
-----------+---------
 card-demo |     900

curl --show-error --include \
  --cacert <演習用CAの配置先> \
  -H "X-Event-ID: <この試験のevent ID>"   -H 'Content-Type: application/json' \
  --data '<教材指定の残高不足要求>' \
  "https://<入口の接続名>:<TLSのport>/<タップAPIのpath>"

（2026-09-02 実測）
（事前）balance=900 events=1

=== 拒否応答 ===
HTTP/1.1 402 Payment Required
{"ok":false,"error":"insufficient_balance","balance":900,"node":"app02"}

=== App journal（制約由来と分かる）===
{"event_id":"at2-insufficient","card_id":"card-demo","amount":999999,"node":"app02","status":402,"result":"insufficient_balance"}

=== DB の制約定義 ===
cards_balance_check|CHECK ((balance >= 0))

（事後）balance=900 events=1     ← 残高も件数も変わっていない

# 同じ要求を 2 回送る
curl --show-error --include --cacert <演習用CAの配置先> \
  -H "X-Event-ID: <この試験のevent ID>"   -H "X-Event-ID: <この試験のevent ID>"   -H 'Content-Type: application/json' --data '<同一event IDの要求>' \
  "https://<入口の接続名>:<TLSのport>/<タップAPIのpath>"
curl --show-error --include --cacert <演習用CAの配置先> \
  -H "X-Event-ID: <この試験のevent ID>"   -H "X-Event-ID: <この試験のevent ID>"   -H 'Content-Type: application/json' --data '<同一event IDの要求>' \
  "https://<入口の接続名>:<TLSのport>/<タップAPIのpath>"

（2026-09-02 実測）
（事前）balance=900 events=1

=== 1 回目 ===
HTTP/1.1 200 OK
{"ok":true,"card_id":"card-demo","balance":850,"event_id":"at3-retry","node":"app01"}
（中間）balance=850 events=2

=== 2 回目（同じ event ID・同じ内容）===
HTTP/1.1 409 Conflict
{"ok":false,"error":"duplicate_event","event_id":"at3-retry","node":"app02"}

=== App journal（判定経路）===
app01 ... {"event_id":"at3-retry",...,"node":"app01","status":200,"result":"ok"}
app02 ... {"event_id":"at3-retry",...,"node":"app02","status":409,"result":"duplicate_event"}

=== DB の一意制約 ===
Indexes:
    "tap_events_pkey" PRIMARY KEY, btree (event_id)

（事後）balance=850 events=2 / event_id='at3-retry' の件数=1

for event in <教材が指定する複数のevent ID>; do
  curl --fail --show-error --cacert <演習用CAの配置先> \
    -H "X-Event-ID: <この試験のevent ID>"   -H 'Content-Type: application/json' --data "<eventごとの要求>" \
    "https://<入口の接続名>:<TLSのport>/<タップAPIのpath>"
done

（2026-09-02 実測）
=== 応答の node 名 ===
  at4-lb-1 -> {"ok":true,...,"node":"app01"}
  at4-lb-2 -> {"ok":true,...,"node":"app02"}
  at4-lb-3 -> {"ok":true,...,"node":"app01"}
  at4-lb-4 -> {"ok":true,...,"node":"app02"}

=== 入口ログの upstream（event ID ごと）===
event_id=at4-lb-1 upstream=<app01のアドレス>:8080 upstream_status=200
event_id=at4-lb-2 upstream=<app02のアドレス>:8080 upstream_status=200
event_id=at4-lb-3 upstream=<app01のアドレス>:8080 upstream_status=200
event_id=at4-lb-4 upstream=<app02のアドレス>:8080 upstream_status=200

=== 両 App の journal 件数 ===
app01=2 件 / app02=2 件

# app01 と app02 のそれぞれで、受講者が明示的に実行する
curl --fail --show-error --include "http://localhost:<Appの待受port>/health"

（2026-09-02 実測）
[app01] {"status":"ok","db":"ok","node":"app01"}
[app02] {"status":"ok","db":"ok","node":"app02"}

# app01
sudo systemctl stop <App service名>
systemctl status <App service名> --no-pager

# workstation01
# ① 停止した側に当たるまで最大 2 件（失敗した event ID を記録する）
# ② 続けて後続要求を 4 件
# 要求の form・path・header は Chapter 4 STEP 07 と同じものを使う

（2026-09-02 実測）
=== 停止状態（app01）===
Active: inactive (dead)
待受 8080 の件数: 0

（事前）balance=829

=== ① 停止側に当たるまで ===
  at6c-hit-1 -> 502 Bad Gateway（nginx/1.24.0）  http=502     ← 失われた 1 件
  at6c-hit-2 -> {"ok":true,...,"node":"app02"}   http=200

=== ② 後続要求 4 件 ===
  at6c-next-1..4 -> すべて {"ok":true,...,"node":"app02"}  http=200

=== 入口ログ ===
status=502
status=200 ×5

=== DB の確定結果（失敗した 1 件は残っていない）===
at6c-hit-2 / at6c-next-1 / at6c-next-2 / at6c-next-3 / at6c-next-4

（事後）balance=824     ← 5 件ぶんだけ減った

sudo systemctl start <App service名>
systemctl status <App service名> --no-pager
timeout 30 bash -c 'until curl --fail --silent "http://localhost:<Appの待受port>/health" >/dev/null; do sleep 1; done'
curl --fail --show-error "http://localhost:<Appの待受port>/health"

（2026-09-02 実測）
=== service / socket ===
active
待受 8080 の件数: 1

=== /health ===
{"status":"ok","db":"ok","node":"app01"}

=== 両 App への要求到達（fail_timeout 経過後）===
  restore-1 -> node app02
  restore-2 -> node app02
  restore-3 -> node app01     ← 経路へ復帰
  restore-4 -> node app02

# 教材で指定された同じ probe を、5 台から同じ宛先順で実行する
<TCP-probeコマンド> <入口の接続名> <TLSのport>
<TCP-probeコマンド> <app01の接続名> <Appの待受port>
<TCP-probeコマンド> <app02の接続名> <Appの待受port>
<TCP-probeコマンド> <db01の接続名> <DBの待受port>

（2026-09-02 実測）
=== 5 台の到達性の表 ===
workstation01  front-https ALLOW / app01-svc DENY  / app02-svc DENY  / db-svc DENY
front01        front-https ALLOW / app01-svc ALLOW / app02-svc ALLOW / db-svc DENY
app01          front-https DENY  / app01-svc ALLOW / app02-svc DENY  / db-svc ALLOW
app02          front-https DENY  / app01-svc DENY  / app02-svc ALLOW / db-svc ALLOW
db01           front-https DENY  / app01-svc DENY  / app02-svc DENY  / db-svc DENY

=== 入口経由の正常タップ ===
{"ok":true,"card_id":"card-demo","balance":841,"event_id":"at7-final","node":"app01"}