Nexus: установка, запуск, деплой в репозиторий + NGINX и SSL

У Android-команды поломался «деплой» через отправку письма с вложением на Gmail (было сделано ещё до меня), и появилась необходимость быстренько «накостылить» репозиторий.

Планировался он давно, но сейчас будет без всякой автоматизации — просто руками поднять, запустить, что бы они могли деплоить.

Использовать будем free-версию Sonatype Nexus, запускать будем на AWS EC2, из Docker-образа, бекенд будет в AWS S3 корзине.

Запуск Nexus из Docker

Обновляем систему, устанавливаем NGINX, и пока его стопаем:

Устанавливаем Docker:

И Docker Compose:

Делаем тестовый запуск Nexus:

Проверяем:

Дефолтный логин-пасс — admin:admin123, можно зайти, посмотреть как всё выглядит под админом:

Добавление репозитория

Добавляем репозиторий — переходим в Repositories:

Кликаем Create repository, выбираем raw(hosted) (см. описание тут>>>):

API

Попробуем в него загрузить файл.

Деплой из Jenkins будет curl-ом через Nexus API, для работы с которым есть отличный конструктор запросов:

Выбираем POST /v1/components, жмём Try it out, указываем что и куда будем загружать, нам тут интересен Request URL:

Загружаем файл curl-ом:

Проверяем:

ОК, тут всё работает.

Файл настроек

Дефолтный файл настроек — nexus.properties.

Находим имя контейнера:

Подключаемся к нему:

Находим файл:

И проверяем содержимое:

И все данные Nexus-а — потом будем подключать с внешнего каталога в контейнер:

Авторизация

Сейчас Nexus разрешает загрузку из репозитория без авторизации — это плохо.

Отключаем в Anonymous:

Проверяем:

S3 backend и Blob store

Последний штрих — проверить работу с AWS S3, который у нас будет использоваться для хранения данных.

Создаём корзину:

Создаём политику для доступа к корзине:

Добавляем IAM пользователя:

Подключаем ему политику:

Возвращаемся к Nexus, настраиваем новый Blob Store:

Выбираем тип S3, заполняем поля:

Добавление репозитория

Добавляем репозиторий, тот же raw (hosted), но теперь выбираем новое хранилище:

Пробуем запостить туда файл:

Проверяем корзину:

Отлично — Nexus сохранил данные в корзину, всё работает.

Compose и persistent-data

Теперь добавим Compose-файл, который будет запускать Nexus и подключить каталог с данными с хоста.

Создаём новый EBS, подключаем его к EC2:

Создаём на нём раздел:

Создаём файловую систему на /dev/xvdf1:

Получаем ID раздела:

Добавляем его в /etc/fstab:

Создаём каталог:

Создаём пользователя:

Пользователь в образе Nexus работает UID 200, меняем его для нашего пользователя:

И для группы:

Обновляем владельца каталога:

Создаём каталог для Compose-файла:

Создаём Compose файл /opt/nexus/nexus-server.yml:

version: '3'

networks:
 nexus:

services:
  nexus:
    user: nexus
    image: sonatype/nexus3
    networks:
      - nexus
    ports:
      - '8081:8081'
    volumes:
      - /nexus-data:/nexus-data
    logging:
      driver: "journald"

Проверяем — запускаем его:

Создаём systemd-unit файл /etc/systemd/system/nexus.service:

[Unit]
Description=Nexus repository service
Requires=docker.service
After=docker.service

[Service]
Restart=always
WorkingDirectory=/opt/nexus

# Compose up
ExecStart=/usr/local/bin/docker-compose -f nexus-server.yml up

# Compose down, remove containers and volumes
ExecStop=/usr/local/bin/docker-compose -f nexus-server.yml down -v

[Install]
WantedBy=multi-user.target

Проверяем:

Логи:

Добавляем в автозапуск:

Повторяем настройку Blob store, создаём репозиторий, загружаем файл:

Проверяем:

NGINX и SSL

Устанавливаем Let’s Encrypt:

Добавляем файл /etc/nginx/conf.d/nexus-repo.domain.world.conf:

upstream nexus {
    server 127.0.0.1:8081;
}

server {

        listen 80;
        server_name nexus-repo.domain.world;

        # Lets Encrypt Webroot
        location ~ /.well-known {
            root /var/www/html;
            allow all;
        }

        location / {
            return 301 https://nexus-repo.domain.world$request_uri;
        }
}

Обновляем /opt/nexus/nexus-server.yml — задаём порт хоста 8081 вместо 80, как было во время тестирования-настройки:

version: '3'

networks:
 nexus:

services:
  nexus:
    user: nexus
    image: sonatype/nexus3
    networks:
      - nexus
    ports:
      - '8081:8081'
    volumes:
      - /nexus-data:/nexus-data
    logging:
      driver: "journald"

Перезапускаем Nexus:

Проверяем и перезапускаем NGINX:

Получаем сертификат:

Обновляем NGINX — добавляем в /etc/nginx/conf.d/nexus-repo.domain.world.conf server {} для SSL:

upstream nexus {
    server 127.0.0.1:8081;
}

server {

        listen 80;
        server_name nexus-repo.domain.world;

        # Lets Encrypt Webroot
        location ~ /.well-known {
            root /var/www/html;
            allow all;
        }

        location / {
            return 301 https://nexus-repo.domain.world$request_uri;
        }
}

server {
        
        listen 443 ssl;
        
        server_name nexus-repo.domain.world;
        
        root /var/www/html;
        
        error_log /var/log/nginx/nexus-repo.domain.world-error.log;
        access_log /var/log/nginx/nexus-repo.domain.world-access.log;
        
        ssl on;
        ssl_certificate /etc/letsencrypt/live/nexus-repo.domain.world/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/nexus-repo.domain.world/privkey.pem;
        
        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto https;
            proxy_pass       http://nexus;
        }
}

Проверяем конфиги, перезапускаем:

И проверяем работу Nexus:

В целом на этом всё.

Уже когда буду делать автоматизацию — EBS будет бекапиться по расписанию, плюс у самого Nexus есть возможность бекепа-восстановления.