最近、自宅サーバーのストレージ兼計算資源用として、SynologyのDiskStation DS1522+というNASを買いました。このNASは、ストレージ用としてだけでなく、コンテナや仮想マシンを動かすことができるハイスペック機種であり、自宅で高可用性クラスタを組むためのピースとして期待しています。ちなみにお値段は12万円ほど。

一方で、DSMという独自のブラウザベースのUIを備えており操作は基本的にそこから行うことが想定されているようですが、我が家の自宅サーバーではIaCを全面的に採用しているので、できればコンテナや仮想マシンのデプロイはコード管理をしたいところです。そこでこの記事では、その点の検証も行っていきます（長くなるので今回はコンテナのみ。仮想マシンはこちら）。

TL; DR;

SSHの設定をしてしまえばAnsibleから通常のLinuxマシン同様にdockerコンテナを立ち上げられる
拡張ACLによりコンテナ内でマウント先への書き込み時の権限に問題が生じることがあるので、適宜設定を行う必要がある

NAS本体のセットアップ

仮想化環境以前にまずはセットアップしないといけないので、開封の儀も兼ねてセットアップ手順を軽く書いていきます。

開封の儀

外箱は画像のように手提げがついており、持ち運びやすいようになっています（通販なので持ち運びませんが）。

内容物は、

本体
ACアダプタ・電源コード
LANケーブル2本
2.5インチSSD固定用ネジ
ディスクベイ固定用キー
マニュアル

となっています。内容物

箱の外観は画像のようになっています。外観1 外観2 外観3

セットアップ

ディスクベイにディスクをセットしたら、電源とLANケーブルを接続して電源を入れます。起動している状態

公式サイトのドキュメントを参考にしてセットアップをしていきます。 SynologyのNASは、DSMというブラウザベースのUIを備えており、セットアップもここから行っていきますが、特にIPアドレスの設定をしていないのでそのままではアクセスすることができません。同一のLANでhttp://find.synology.com/にアクセスすることで未セットアップのNASにアクセスできます。

目的のNASに接続できたら、インストールを行っていきます。画面の指示に従っていくだけで簡単にインストールできます。

しばらくするとインストールが終了するので、セットアップ時に設定したユーザーでログインします。

次にストレージプールをセットアップします。 SynologyのNASでは、ストレージは以下のような階層構造になっています。

ストレージプール：複数のディスクを束ねて冗長性を保証する単位。LVMでのVolume Groupに相当する概念
ボリューム：仮想的なパーティション。LVMでのLogical Volumeに相当する概念
共有フォルダ：共有の単位

セットアップ直後はストレージプールとボリュームの作成を求められるので作成します。 3TBの2つのHDDをSHRで冗長化し、その中にテスト用に小さなボリュームを作成します。なお、ボリュームは後から拡大できますが、縮小することはできません。

最後に、DHCPで設定されたIPアドレスを固定にするためにコントロールパネルのネットワーク設定からネットワークインタフェースの設定を変更しDHCPから適切な固定IPアドレスを設定します。固定IPの設定

これで最低限のセットアップは終了したので、いよいよ仮想化環境をセットアップしていきます。

IaCを行うための事前準備

IaCの手段には色々ありますが、本記事ではAnsibleを用いたコンテナのセットアップを行っていきます。 Ansibleの実行のためには、マシンに対してSSHでログインできることが必要なので、SSH接続設定を行っていきます。

SSH設定

SSHで接続するためには、SSHの有効化とグループへのユーザー追加が必要です。それぞれコントロールパネルから簡単に行うことが可能です。

ホームディレクトリの設定

このままでもパスワードによるログインができますが、ホームディレクトリがないので警告が出ますし、公開鍵によるログインが行えません。そのため、ホームディレクトリを設定していきます。

ホームディレクトリは、File Stationというアプリからアクセスできるので、ログインしているユーザーのホームディレクトリに公開鍵を設置（普通のLinuxマシンと同じく.ssh/authorized_keysに公開鍵を記載）することで準備完了です。

接続確認

sshできればok。

1
$ ssh localadmin@172.16.1.1
2

3
Using terminal commands to modify system configs, execute external binary
4
files, add files, or install unauthorized third-party apps may lead to system
5
damages or unexpected behavior, or cause data loss. Make sure you are aware of
6
the consequences of each command and proceed at your own risk.
7

8
Warning: Data should only be stored in shared folders. Data stored elsewhere
9
may be deleted when the system is updated/restarted.
10

11
localadmin@Brahma:~

Container Managerのインストール

デフォルトではNASにdockerデーモンは起動していないので、Container Managerをインストールしていきます。パッケージセンターでインストールを行うだけです。

もちろん（というか本来の方法ですが）このコンソールから手作業でコンテナを立ち上げることも可能です。

1
$ curl 172.16.1.1:8080
2
<!DOCTYPE html>
3
<html>
4
<head>
5
<title>Welcome to nginx!</title>
6
<style>
7
html { color-scheme: light dark; }
8
body { width: 35em; margin: 0 auto;
9
font-family: Tahoma, Verdana, Arial, sans-serif; }
10
</style>
11
</head>
12
<body>
13
<h1>Welcome to nginx!</h1>
14
<p>If you see this page, the nginx web server is successfully installed and
15
working. Further configuration is required.</p>
16

17
<p>For online documentation and support please refer to
18
<a href="http://nginx.org/">nginx.org</a>.<br/>
19
Commercial support is available at
20
<a href="http://nginx.com/">nginx.com</a>.</p>
21

22
<p><em>Thank you for using nginx.</em></p>
23
</body>
24
</html>

Ansibleによるコンテナの起動

それではいよいよAnsibleを使ったIaCな方法でdockerコンテナを動かしてみましょう。

NASはSSH接続できるLinuxマシンなので、普通のinventoryで接続できます。

1
all:
2
  hosts:
3
    NASのホスト名:
4
      ansible_user: {{ ログインユーザー }}
5
      ansible_become_password: {{ ログインパスワード }}

小手調べに接続できるかだけ試してみます。

1
$ ansible -i inventory.yaml all -m ping
2
[WARNING]: Platform linux on host nas.dev.lab.kotaro7750.net is using the discovered Python interpreter at /usr/bin/python3.8, but future installation of another Python interpreter could change the meaning of that path. See https://docs.ansible.com/ansible-core/2.16/reference_appendices/interpreter_discovery.html for more information.
3
nas.dev.lab.kotaro7750.net | SUCCESS => {
4
    "ansible_facts": {
5
        "discovered_interpreter_python": "/usr/bin/python3.8"
6
    },
7
    "changed": false,
8
    "ping": "pong"
9
}

ちゃんと接続できています。

それではdockerコンテナを立ち上げてみます。

1
---
2
- name: Launch nginx
3
  hosts: all
4
  tasks:
5
    - community.docker.docker_container:
6
        name: from-ansible
7
        image: nginx:latest
8
        ports:
9
          - 8080:80
10
      become: true

1
$ ansible-playbook -i inventory.yaml playbook.yaml
2

3
PLAY [Launch nginx] **********************************************************************************************************************************************************************************************************************************************************************************************************
4

5
TASK [Gathering Facts] *******************************************************************************************************************************************************************************************************************************************************************************************************
6
[WARNING]: sftp transfer mechanism failed on [172.16.1.1]. Use ANSIBLE_DEBUG=1 to see detailed information
7
[WARNING]: Could not query system capabilities: [Errno 13] Permission denied: b'/usr/bin/capsh'
8
[WARNING]: Platform linux on host 172.16.1.1 is using the discovered Python interpreter at /usr/bin/python3.8, but future installation of another Python interpreter could change the meaning of that path. See https://docs.ansible.com/ansible-core/2.16/reference_appendices/interpreter_discovery.html for more information.
9
ok: [172.16.1.1]
10

11
TASK [community.docker.docker_container] *************************************************************************************************************************************************************************************************************************************************************************************
12
changed: [172.16.1.1]
13

14
PLAY RECAP *******************************************************************************************************************************************************************************************************************************************************************************************************************
15
172.16.1.1 : ok=2    changed=1    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

先ほどと同じようにcurlをしても問題なくつながり、無事コンテナを立ち上げられることがわかります。

マウント先への書き込み時のPermission Denied

単純なコンテナなら説明したように実行することができますが、NAS内のファイルシステム内からのマウントに対して書き込みを行う際、適切にパーミッションを設定しているにも関わらず権限の問題が出ることがあります。

このログはHashicorp Vaultコンテナのログですが、ローカルストレージ上のDBに書き込むことができていません。

1
Error initializing storage of type raft: failed to create fsm: failed to open bolt file: open /raft-storage/vault.db: permission denied
2
2024-07-14T13:22:04.620Z [INFO]  proxy environment: http_proxy="" https_proxy="" no_proxy=""
3
Error initializing storage of type raft: failed to create fsm: failed to open bolt file: open /raft-storage/vault.db: permission denied
4
2024-07-14T13:22:05.750Z [INFO]  proxy environment: http_proxy="" https_proxy="" no_proxy=""
5
Error initializing storage of type raft: failed to create fsm: failed to open bolt file: open /raft-storage/vault.db: permission denied
6
2024-07-14T13:22:06.989Z [INFO]  proxy environment: http_proxy="" https_proxy="" no_proxy=""
7
2024-07-14T13:22:08.213Z [INFO]  proxy environment: http_proxy="" https_proxy="" no_proxy=""
8
Error initializing storage of type raft: failed to create fsm: failed to open bolt file: open /raft-storage/vault.db: permission denied
9
Error initializing storage of type raft: failed to create fsm: failed to open bolt file: open /raft-storage/vault.db: permission denied

マウントしているディレクトリのパーミッションは777にしてあり、コンテナ内の実行ユーザーであるrootは問題なく書き込みができるはずと思っていましたが、実際にログインして確認してみると、通常のパーミッションだけではなく拡張パーミッションが設定されていました（cf. ACL(アクセス制御リスト)の使い方 - hana_shinのLinux技術ブログ）。

1
localadmin@Brahma:~/vault$ ls -le
2
total 20
3
-rw-r--r--  1 localadmin users 2000 Jul 14 22:06 ca.crt
4
# マウントしているディレクトリ
5
drwxrwxrwx+ 1 localadmin users    0 Jul 14 22:06 raft
6
         [0] user:localadmin:allow:rwxpdDaARWcCo:fd-- (level: 2)
7
         [1] group:administrators:allow:rwxpdDaARWc--:fd-- (level: 3)
8
         [2] everyone::allow:--x----------:fd-- (level: 3)
9
         [3] owner::allow:rwxpdDaARWcCo:fdi- (level: 3)
10
         [4] user:localadmin:allow:rwxpdDaARWcCo:---- (level: 3)
11

12
-rw-r--r--  1 localadmin users 4115 Jul 14 22:06 server.crt
13
-rw-r--r--  1 localadmin users 3243 Jul 14 22:06 server.key
14
-rwxr-xr-x  1 localadmin users  539 Jul 14 22:12 vault-conf.hcl

NASの共有ファイルを多人数で直接共有するという場合には細かな制御が可能な点は利点がありますが、私はNASをあくまでも仮想化基盤・ストレージとして使いたいので無効にしてしまいます。 File Stationアプリから、ディレクトリの設定を選択して「デフォルトのUNIX許可を適用」にチェックを入れます。 cf. File Station 設定の管理 | File Station - Synology ナレッジセンター

既存のACLは消えないので適宜chmodをして設定を行います。

1
$ chmod -R 755 localadmin/

これで、問題なく書き込みも行えるようになっているはずです。