式年遷宮の手順メモ（2026年9月・クリーンインストール移設）

[
  {
    "AllowedOrigins": ["https://k.my-sky.blue"],
    "AllowedMethods": ["GET", "HEAD"],
    "AllowedHeaders": ["*"],
    "MaxAgeSeconds": 3600
  }
]

[r2]
type = s3
provider = Cloudflare
access_key_id = <Access Key ID>
secret_access_key = <Secret Access Key>
endpoint = https://<accountid>.r2.cloudflarestorage.com
acl = private
no_check_bucket = true

~/bin/rclone copy /home/mastodon/live/public/system/ r2:<bucket>/ --exclude "cache/**" \
  --fast-list --transfers 16 --checkers 32 --s3-chunk-size 16M --s3-upload-concurrency 4 \
  --stats 1m --stats-one-line --log-level NOTICE --log-file ~/rclone-1.log

sudo systemctl stop mastodon-web mastodon-sidekiq mastodon-streaming mastodon-streaming@4000
systemctl list-units --type=service --state=running --no-pager --plain | grep mastodon   # 何も出なければ停止完了
~/bin/rclone copy /home/mastodon/live/public/system/ r2:<bucket>/ \
  --fast-list --transfers 16 --checkers 32 --s3-chunk-size 16M --s3-upload-concurrency 4 \
  --stats 30s --stats-one-line --log-level NOTICE --log-file ~/rclone-2.log
grep -c ERROR ~/rclone-2.log   # 0 であること

sudo cp /home/mastodon/live/.env.production /home/mastodon/live/.env.production.bak
sudo tee -a /home/mastodon/live/.env.production >/dev/null <<'EOF'

# --- Cloudflare R2 ---
S3_ENABLED=true
S3_BUCKET=<bucket>
S3_ENDPOINT=https://<accountid>.r2.cloudflarestorage.com/
S3_ALIAS_HOST=k-files.my-sky.blue
S3_PROTOCOL=https
S3_PERMISSION=
AWS_ACCESS_KEY_ID=<Access Key ID>
AWS_SECRET_ACCESS_KEY=<Secret Access Key>
EOF
sudo systemctl start mastodon-web mastodon-sidekiq mastodon-streaming@4000

sudo -u postgres pg_dumpall | gzip -c > /var/backup/pre-r2-$(date +%Y%m%d%H%M).gz
sudo -u postgres psql -d <db> -c 'CREATE TABLE drive_file_bak AS SELECT * FROM drive_file'
sudo -u postgres psql -d <db> -c 'CREATE TABLE user_bak AS SELECT id, "avatarUrl", "bannerUrl" FROM "user"'
sudo -u postgres psql -d <db> -c 'CREATE TABLE emoji_bak AS SELECT * FROM emoji'

BEGIN;
DO $$
DECLARE r record; n int;
BEGIN
  FOR r IN
    SELECT table_name, column_name FROM information_schema.columns
    WHERE table_schema = 'public'
      AND data_type IN ('character varying', 'text')
      AND table_name IN ('user', 'meta', 'emoji', 'announcement', 'ad', 'channel')
  LOOP
    EXECUTE format('UPDATE %I SET %I = replace(%I, %L, %L) WHERE %I LIKE %L',
      r.table_name, r.column_name, r.column_name,
      'https://my-sky.blue/files/', 'https://files.my-sky.blue/',
      r.column_name, 'https://my-sky.blue/files/%');
    GET DIAGNOSTICS n = ROW_COUNT;
    IF n > 0 THEN RAISE NOTICE '%.%: % 行', r.table_name, r.column_name, n; END IF;
  END LOOP;
END $$;
-- NOTICE の内訳を見て納得したら
COMMIT;

location ~ ^/files/(?!app-default\.jpg)([^/]+) {
    return 301 https://files.my-sky.blue/$1;
}

#!/usr/bin/env bash
set -euo pipefail
HOSTNAME_NEW="mysky2"
ADMIN_PUB="ssh-ed25519 AAAA... 管理ユーザーの公開鍵"
export DEBIAN_FRONTEND=noninteractive NEEDRESTART_MODE=a

# 1. apt と基本パッケージ
apt-get update -y
apt-get -y -o Dpkg::Options::="--force-confdef" -o Dpkg::Options::="--force-confold" full-upgrade
apt-get install -y ufw fail2ban unattended-upgrades curl git htop

# 2. timezone / hostname
timedatectl set-timezone Asia/Tokyo
hostnamectl set-hostname "$HOSTNAME_NEW"
grep -q "[[:space:]]$HOSTNAME_NEW\$" /etc/hosts || echo "127.0.1.1 $HOSTNAME_NEW" >> /etc/hosts

# 3. 管理ユーザーと鍵（--disabled-login は 26.04 だとシェルが nologin になるので使わない）
adduser --disabled-password --gecos "" admin
usermod -aG sudo admin
install -d -m 700 -o admin -g admin /home/admin/.ssh
printf '%s\n' "$ADMIN_PUB" > /home/admin/.ssh/authorized_keys
chmod 600 /home/admin/.ssh/authorized_keys && chown admin:admin /home/admin/.ssh/authorized_keys

# 4. sudoers
echo 'admin ALL=(ALL) NOPASSWD:ALL' > /etc/sudoers.d/admin && chmod 440 /etc/sudoers.d/admin && visudo -cf /etc/sudoers.d/admin

# 5. ufw
ufw default deny incoming; ufw default allow outgoing
ufw allow 22/tcp; ufw allow 80/tcp; ufw allow 443/tcp
ufw --force enable

# 6. fail2ban（24.04 以降は auth.log が無いので backend=systemd）
cat > /etc/fail2ban/jail.local <<'EOF'
[DEFAULT]
backend = systemd
bantime = 1h
findtime = 10m
maxretry = 5

[sshd]
enabled = true
EOF
systemctl enable --now fail2ban

# 7. unattended-upgrades
cat > /etc/apt/apt.conf.d/20auto-upgrades <<'EOF'
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
EOF
systemctl enable --now unattended-upgrades

# 8. swap（無ければ作る。今回のプランは最初から 2G あった）
if ! swapon --show --noheadings | grep -q '/swapfile'; then
  fallocate -l 4G /swapfile && chmod 600 /swapfile && mkswap /swapfile && swapon /swapfile
  echo '/swapfile none swap sw 0 0' >> /etc/fstab
fi
echo 'vm.swappiness=10' > /etc/sysctl.d/99-swappiness.conf && sysctl -q -p /etc/sysctl.d/99-swappiness.conf

# 9. sshd（書くだけ。再起動は別窓で確認してから）
#    sshd_config.d は名前順に読まれ最初の値が勝つ。cloud-init が 50-cloud-init.conf に
#    PasswordAuthentication yes を置くことがあるので、それより若い番号にする
cat > /etc/ssh/sshd_config.d/10-hardening.conf <<'EOF'
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
EOF
sshd -t
echo "別窓で  ssh admin@<IP> sudo -n true  が通ったら、この窓で  systemctl restart ssh"

mkdir -p ~/handoff && chmod 700 ~/handoff
sudo tar czf ~/handoff/letsencrypt.tgz /etc/letsencrypt          # 証明書。持ち込めば certbot の取り直し無しで即 HTTPS
sudo tar czf ~/handoff/sudachi.tgz /etc/elasticsearch/sudachi    # Sudachi の辞書と config.json
sudo cp /home/mastodon/live/.env.production ~/handoff/env.production
sudo chown -R $USER:$USER ~/handoff && chmod 600 ~/handoff/*
systemctl cat mastodon-web mastodon-sidekiq mastodon-streaming@4000 > ~/handoff/units.txt   # 新鯖で写す
cat /etc/nginx/sites-available/mastodon > ~/handoff/nginx-mastodon.conf
sudo grep -hE '^-Xm[sx]' /etc/elasticsearch/jvm.options    # ES のヒープ値を控える

# 倉庫（8.x）
sudo wget -O /usr/share/keyrings/elasticsearch.asc https://artifacts.elastic.co/GPG-KEY-elasticsearch
echo "deb [signed-by=/usr/share/keyrings/elasticsearch.asc] https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-8.x.list
# 版を指定して入れて hold（Sudachi が対応する版まで。8.19.15 は 2026-09 時点）
sudo apt update && sudo apt install elasticsearch=8.19.15 && sudo apt-mark hold elasticsearch
# 8 系は導入時に認証と TLS を自動設定する。localhost 専用なので切る（追記ではなく書き換え。同じキーが二つあると起動しない）
sudo sed -i -e 's/^xpack.security.enabled: true/xpack.security.enabled: false/' \
            -e 's/^xpack.security.enrollment.enabled: true/xpack.security.enrollment.enabled: false/' \
            -e 's/^  enabled: true/  enabled: false/' /etc/elasticsearch/elasticsearch.yml
grep -n 'security\|enabled' /etc/elasticsearch/elasticsearch.yml     # 全部 false
# ヒープ（4GB の同居鯖。search deploy が OOM で落ちるなら 512m〜1g）
printf -- '-Xms256m\n-Xmx256m\n' | sudo tee /etc/elasticsearch/jvm.options.d/heap.options
# Sudachi プラグイン（ES の版と厳密一致。entitlement の確認が出るので --batch）
cd /tmp && curl -LO https://github.com/WorksApplications/elasticsearch-sudachi/releases/download/v3.6.0/elasticsearch-8.19.15-analysis-sudachi-3.6.0.zip
sudo /usr/share/elasticsearch/bin/elasticsearch-plugin install --batch file:///tmp/elasticsearch-8.19.15-analysis-sudachi-3.6.0.zip
# 辞書（旧鯖の sudachi.tgz を展開。root:elasticsearch 750/640）
sudo tar xzf /tmp/handoff/sudachi.tgz -C /
sudo chown -R root:elasticsearch /etc/elasticsearch/sudachi && sudo chmod 750 /etc/elasticsearch/sudachi && sudo find /etc/elasticsearch/sudachi -type f -exec chmod 640 {} +
# 起動（assets:precompile が終わってから）
sudo systemctl enable --now elasticsearch && sleep 30 && curl -s localhost:9200 | grep number    # "8.19.15"
curl -s localhost:9200/_cat/plugins                                                             # analysis-sudachi

zcat kmyblue-backup.gz | sudo -u postgres psql        # role "postgres" already exists は無害
sudo -iu mastodon bash -c 'cd live && RAILS_ENV=production bundle exec rails db:migrate'   # 同版なら空振り
sudo -iu mastodon bash -c 'cd live && RAILS_ENV=production NODE_OPTIONS=--max-old-space-size=2048 bundle exec rails assets:precompile'
sudo systemctl start elasticsearch
sudo systemctl start mastodon-web          # web だけ。sidekiq は上げない（本物の .env で動くと旧鯖と二重配送になる）
curl -k -H 'Host: k.my-sky.blue' https://127.0.0.1/api/v1/instance | head -c 300

# --- 旧鯖 ---
sudo systemctl stop mastodon-web                          # 先に入口だけ止め、sidekiq のキューを 1〜2 分で捌かせる
redis-cli llen queue:default; redis-cli llen queue:push; redis-cli llen queue:pull; redis-cli llen queue:ingress   # 全部 0
sudo systemctl stop mastodon-sidekiq mastodon-streaming mastodon-streaming@4000
sudo systemctl disable mastodon-web mastodon-sidekiq mastodon-streaming@4000   # 万一の再起動で二重起動しないように
sudo -u postgres pg_dump -Fc mastodon_production > ~/final-$(date +%m%d%H%M).dump   # 約 4 分（1.3GB、圧縮込み）

# --- 新鯖 ---（旧鯖から直送。同一事業者内なので 100 秒）
scp <旧鯖>:~/final-*.dump /var/tmp/                       # /home 配下は postgres が読めないので /var/tmp
sudo systemctl stop mastodon-web                          # 予行の web を止める（接続が残ると dropdb が失敗）
sudo -u postgres dropdb mastodon_production               # 予行の箱を捨てて空箱を作り直す
sudo -u postgres createdb -T template0 -E UTF8 --locale=ja_JP.UTF8 -O mastodon mastodon_production
sudo -u postgres pg_restore -j 4 --no-owner --role=mastodon -d mastodon_production /var/tmp/final-*.dump   # 6 分 38 秒
sudo -iu mastodon bash -c 'cd live && RAILS_ENV=production bundle exec rails db:migrate'   # 空振り
sudo -iu mastodon bash -c 'cd live && RAILS_ENV=production bin/tootctl cache clear'
sudo systemctl start mastodon-web mastodon-sidekiq mastodon-streaming@4000   # ここで初めて sidekiq を上げる
curl -k -H 'Host: k.my-sky.blue' https://127.0.0.1/health

# --- Cloudflare ---  k.my-sky.blue の A レコードを新 IP に（Proxied のまま、即時）

# --- 復帰後（停止なし）---
sudo -iu mastodon bash -c 'cd live && RAILS_ENV=production bin/tootctl feeds build'   # ホーム TL。Redis は運ばないので最初は空。忘れると TL が消える
sudo -iu mastodon bash -c 'cd live && RAILS_ENV=production nohup bin/tootctl search deploy --reset-chewy > ~/search-deploy.log 2>&1 &'
sudo certbot renew --dry-run

ssh <旧鯖> 'sudo tar cz -C / etc/letsencrypt etc/cloudflare/cloudflare.ini etc/nginx/conf.d/my-sky.blue.conf home/misskey/misskey/.config/default.yml' \
  | ssh <新鯖> 'mkdir -p /tmp/handoff && tar xz -C /tmp/handoff'

sudo apt update && sudo apt install -y postgresql redis-server nginx certbot python3-certbot-dns-cloudflare ffmpeg
# DB（パスワードは default.yml の db.pass。psql -c にヒアドキュメントで渡すと履歴に残らない）
sudo -u postgres psql <<'SQL'
CREATE ROLE misskey LOGIN PASSWORD '<db.pass>';
SQL
sudo -u postgres createdb -T template0 -E UTF8 --locale=en_US.UTF-8 -O misskey <db>
# 証明書・nginx
sudo tar xzf /tmp/handoff/letsencrypt.tgz -C /   # 展開したものを /etc/letsencrypt に
sudo install -m 600 /tmp/handoff/etc/cloudflare/cloudflare.ini /etc/cloudflare/cloudflare.ini
sudo cp /tmp/handoff/etc/nginx/conf.d/my-sky.blue.conf /etc/nginx/conf.d/   # ②の /files/ 301 も入っている
sudo nginx -t && sudo systemctl reload nginx
sudo certbot renew --dry-run
# Docker
sudo apt install -y docker.io docker-compose-v2 && sudo systemctl enable --now docker
sudo mkdir -p /opt/misskey/.config /opt/misskey/files
sudo install -m 600 /tmp/handoff/home/misskey/misskey/.config/default.yml /opt/misskey/.config/default.yml
sudo chown -R 991:991 /opt/misskey/.config /opt/misskey/files     # 公式像の実行ユーザーは UID/GID 991

services:
  web:
    image: misskey/misskey:2026.9.0     # 更新はここのタグを変えて pull → up -d
    container_name: misskey
    restart: always
    network_mode: host                  # ホストの PG/Redis に localhost のまま届く。3000 もホストに直接開く（ufw が外からは閉じている）
    environment:
      NODE_ENV: production
      # 予行の間だけ有効にする 2 行（本番前に消す）
      MK_ONLY_SERVER: "1"
      MK_NO_DAEMONS: "1"
    volumes:
      - ./files:/misskey/files
      - ./.config:/misskey/.config:ro
    logging:
      driver: journald                  # journalctl CONTAINER_NAME=misskey で読める

# 旧鯖で予行用ダンプ（保険テーブルは除く）→ 新鯖へ直送
sudo -u postgres pg_dump -Fc -T '*_bak*' <db> > /var/backup/rehearsal.dump
scp <旧鯖>:/var/backup/rehearsal.dump /var/tmp/
# 新鯖で復元して web だけ起動
sudo -u postgres pg_restore -j 4 --no-owner --role=misskey -d <db> /var/tmp/rehearsal.dump
cd /opt/misskey && sudo docker compose pull && sudo docker compose up -d
sudo docker compose logs web | grep -iE "migrat|listening|error"
curl -sk -X POST -H "Host: my-sky.blue" -H "Content-Type: application/json" -d "{}" https://127.0.0.1/api/meta | grep -oE '"version":"[^"]*"'
sudo docker compose down

# --- 旧鯖 ---
sudo systemctl stop <misskey の unit>
sudo -u postgres pg_dump -Fc -T '*_bak*' <db> > /var/backup/final-$(date +%m%d%H%M).dump   # 2 分
# --- 新鯖 ---
scp <旧鯖>:/var/backup/final-*.dump /var/tmp/     # 2 分
nohup bash ~/cutover.sh /var/tmp/final-*.dump > /dev/null 2>&1 &
tail -f /var/tmp/cutover-*.log

#!/usr/bin/env bash
set -euo pipefail
DUMP="${1:?final ダンプのパスを渡す}"
LOG="/var/tmp/cutover-$(date +%m%d%H%M).log"
exec > >(tee -a "$LOG") 2>&1
sudo docker ps -q --filter name=misskey | grep -q . && { echo "コンテナが動いている。先に down"; exit 1; }

echo "== 予行の箱を捨てて空箱"
sudo -u postgres dropdb <db>
sudo -u postgres createdb -T template0 -E UTF8 --locale=en_US.UTF-8 -O misskey <db>

echo "== pg_restore -j 4"; SECONDS=0
sudo -u postgres pg_restore -j 4 --no-owner --role=misskey -d <db> "$DUMP"
echo "restore done in ${SECONDS}s"      # 656 秒だった

echo "== compose.yml から予行の 2 行を消す"
cd /opt/misskey
sudo sed -i '/予行の間だけ有効にする/d;/MK_ONLY_SERVER/d;/MK_NO_DAEMONS/d' compose.yml
grep -q 'MK_ONLY_SERVER\|MK_NO_DAEMONS' compose.yml && { echo "予行フラグが残っている"; exit 1; }

echo "== 本番起動"
sudo docker compose up -d
for i in $(seq 1 36); do
  sudo docker compose logs web 2>/dev/null | grep -q "Now listening on port" && { echo "listening after ~$((i*5))s"; break; }
  sleep 5
done
curl -sk -X POST -H "Host: my-sky.blue" -H "Content-Type: application/json" -d "{}" https://127.0.0.1/api/meta | grep -oE '"version":"[^"]*"'
echo "CUTOVER-DONE"

sudo apt-get update && sudo apt-get full-upgrade -y && sudo reboot   # upgrade ではなく full-upgrade（新カーネルを入れるため）
# 戻ってきたら
uname -r                                    # 版が上がっていること
sudo docker compose -f /opt/misskey/compose.yml ps   # healthy まで 40 秒ほど