シェルスクリプトのsystemd深層連携設計｜EnvironmentFileとWatchdogSecとsd_notifyでサービス品質を高める方法

この記事のポイント

・EnvironmentFileで機密情報をスクリプト本体から完全に切り離せる
・WatchdogSec＋sd_notifyで応答不能スクリプトを自動検知・再起動できる
・PrivateTmpとNoNewPrivilegesでスクリプトを最小権限で動かせる
・journaldに任せるだけでログが構造化・永続保存される

# /etc/systemd/system/myservice.service（最低限の構成）
[Unit]
Description=My Script Service
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/myservice.sh

[Install]
WantedBy=multi-user.target

# /etc/systemd/system/myservice.service（抜粋）
[Service]
Type=notify
EnvironmentFile=/etc/myservice/config.env
ExecStart=/usr/local/bin/myservice.sh

# /etc/myservice/config.env
DB_HOST=db01.internal.example.com
DB_USER=app_reader
DB_PASS=s3cret_p@ssword
API_ENDPOINT=https://api.example.com/v2
BATCH_SIZE=500

# 省略可能なファイルは - を先頭に付ける
EnvironmentFile=-/etc/myservice/optional.env

# root のみ読み書き可能にする
sudo install -m 600 -o root -g root /dev/null /etc/myservice/config.env
sudo chmod 600 /etc/myservice/config.env

# 確認
ls -la /etc/myservice/config.env
-rw------- 1 root root 128 Oct  5 09:15 /etc/myservice/config.env

#!/bin/bash
# DB_HOST, DB_USER, DB_PASS は systemd が注入済み

# 未定義時にエラーで止まるよう set -u を使う
set -euo pipefail

# 必須環境変数チェック
: "${DB_HOST:?DB_HOST が未設定です}"
: "${DB_PASS:?DB_PASS が未設定です}"

mysql -h "${DB_HOST}" -u "${DB_USER}" -p"${DB_PASS}" mydb <<'SQL'
  SELECT COUNT(*) FROM orders WHERE status='pending';
SQL

[Service]
Type=notify
WatchdogSec=30s
Restart=on-failure
RestartSec=5s

#!/bin/bash
set -euo pipefail

WATCHDOG_INTERVAL=10  # WatchdogSec=30s の半分以下

# 初期化完了を通知（Type=notify はこれを待っている）
systemd-notify --ready --status="Initialization complete"

# メインループ
counter=0
while true; do
    counter=$((counter + 1))

    # 実際の処理
    process_pending_jobs

    # Watchdog キープアライブ＋現在の状態を通知
    systemd-notify WATCHDOG=1 STATUS="Processed: ${counter} cycles"

    sleep "${WATCHDOG_INTERVAL}"
done

# systemd から起動された場合のみ通知する
notify() {
    if [ -n "${NOTIFY_SOCKET:-}" ]; then
        systemd-notify "$@"
    fi
}

# 使い方
notify --ready --status="Ready"
notify WATCHDOG=1 STATUS="Cycle: ${counter}"

# サービス内でのパス
$ systemctl start myservice
$ nsenter -m -t $(systemctl show myservice -p MainPID --value) ls /tmp
# → myservice 専用の空の /tmp が見える

# サービス外から同じプロセスの /tmp は /tmp/systemd-private-.../tmp/ に隔離される
$ ls /tmp/systemd-private-abcd1234.../tmp/
myservice_work.tmp

[Service]
PrivateTmp=true
NoNewPrivileges=true
ProtectSystem=strict
ReadWritePaths=/var/log/myservice /var/lib/myservice

$ systemd-analyze security myservice
NAME              DESCRIPTION                                                    RESULT
✓ NoNewPrivileges Service processes cannot acquire new privileges                OK
✓ PrivateTmp      Service has access to private /tmp                             OK
✓ ProtectSystem   Service cannot write to host OS directories                    OK
~ User=           Service runs as root                                            WARN
→ Overall exposure level for myservice.service: 4.1 MEDIUM

# NG: タイムスタンプの二重付与（journaldが自動付与するので不要）
echo "$(date '+%Y-%m-%d %H:%M:%S') [INFO] Processing started"

# OK: メッセージだけ出力する
echo "[INFO] Processing started"
echo "[ERROR] Connection failed: ${DB_HOST}" >&2

# リアルタイムでログを追う
$ journalctl -u myservice -f

# 直近100行
$ journalctl -u myservice -n 100

# 今日のログのみ
$ journalctl -u myservice --since today

# エラーと警告だけ
$ journalctl -u myservice -p warning

# 実際の出力例（/var/log への書き込みは不要）
Oct 05 09:20:01 server01 myservice[2847]: [INFO] Processing started
Oct 05 09:20:11 server01 myservice[2847]: [INFO] Processed: 3 cycles
Oct 05 09:20:21 server01 myservice[2847]: [INFO] Processed: 4 cycles
Oct 05 09:20:31 server01 myservice[2847]: systemd-notify[2901]: WATCHDOG=1

# /etc/systemd/system/dbmonitor.service
[Unit]
Description=Database Connection Monitor
After=network.target mysql.service
Requires=mysql.service

[Service]
Type=notify
EnvironmentFile=/etc/dbmonitor/config.env
ExecStart=/usr/local/bin/dbmonitor.sh
Restart=on-failure
RestartSec=10s
WatchdogSec=60s
PrivateTmp=true
NoNewPrivileges=true
ProtectSystem=strict
ReadWritePaths=/var/log/dbmonitor
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target

#!/bin/bash
# /usr/local/bin/dbmonitor.sh
set -euo pipefail

# 必須環境変数チェック（EnvironmentFile未読時に即エラー）
: "${DB_HOST:?DB_HOST が未設定です}"
: "${DB_USER:?DB_USER が未設定です}"
: "${DB_PASS:?DB_PASS が未設定です}"
: "${ALERT_THRESHOLD:=10}"

WATCHDOG_INTERVAL=25  # WatchdogSec=60s の半分以下

# systemd 通知ヘルパー（cron 実行との互換維持）
notify() {
    if [ -n "${NOTIFY_SOCKET:-}" ]; then
        systemd-notify "$@"
    fi
}

# ログ関数（journald がタイムスタンプを付けるため本文だけ出力）
log_info()  { echo "[INFO]  $*"; }
log_error() { echo "[ERROR] $*" >&2; }

# --- 初期化フェーズ ---
log_info "DB監視サービス起動中: host=${DB_HOST}"

# DB 接続確認
if ! mysql -h "${DB_HOST}" -u "${DB_USER}" -p"${DB_PASS}"      -e "SELECT 1" --connect-timeout=5 &>/dev/null; then
    log_error "DB への初期接続に失敗しました: ${DB_HOST}"
    exit 1
fi

notify --ready --status="DB接続確認完了"
log_info "起動完了"

# --- メインループ ---
cycle=0
while true; do
    cycle=$((cycle + 1))

    # 未処理レコード数を取得
    pending=$(mysql -h "${DB_HOST}" -u "${DB_USER}" -p"${DB_PASS}"         -sNe "SELECT COUNT(*) FROM jobs WHERE status='pending'" mydb 2>/dev/null || echo -1)

    if [ "${pending}" -eq -1 ]; then
        log_error "DB クエリ失敗（cycle=${cycle}）"
    elif [ "${pending}" -gt "${ALERT_THRESHOLD}" ]; then
        log_error "滞留ジョブ超過: ${pending} 件 > 閾値 ${ALERT_THRESHOLD}"
    else
        log_info "正常: 未処理ジョブ ${pending} 件 (cycle=${cycle})"
    fi

    # Watchdog キープアライブ
    notify WATCHDOG=1 STATUS="Monitoring: cycle=${cycle}, pending=${pending}"

    sleep "${WATCHDOG_INTERVAL}"
done

# 設定ファイルとスクリプトを配置
sudo install -m 600 -o root -g root config.env /etc/dbmonitor/config.env
sudo install -m 755 -o root -g root dbmonitor.sh /usr/local/bin/dbmonitor.sh
sudo install -m 644 -o root -g root dbmonitor.service /etc/systemd/system/

# systemd にUnitファイルの変更を反映
sudo systemctl daemon-reload

# 自動起動設定 & 起動
sudo systemctl enable --now dbmonitor

# 起動確認（Type=notify なので READY=1 受信まで "activating" 表示）
$ systemctl status dbmonitor
* dbmonitor.service - Database Connection Monitor
     Loaded: loaded (/etc/systemd/system/dbmonitor.service; enabled)
     Active: active (running) since Mon 2026-10-05 09:22:15 JST; 8s ago
   Main PID: 3145 (dbmonitor.sh)
     Status: "Monitoring: cycle=1, pending=3"
      Tasks: 2 (limit: 4915)
     CGroup: /system.slice/dbmonitor.service
             ├─3145 /bin/bash /usr/local/bin/dbmonitor.sh
             └─3190 sleep 25