みーきゅんクラウド ポータル — 運営/顧客/VPNエンジン

運用中 maguro Docker 全面移植完了 (Phase 2 / 2026-05-14) 3層構成 /ui (運営) + /client (顧客) + VPN Engine

Basic認証: admin / .env に保管 (ADMIN_PASS)。 旧ハードコードは 2026-04-06 のセキュリティ修正で撤去済。

認証: HTTP Basic (ADMIN_USER/ADMIN_PASS 環境変数)

nginx 側 IP制限: 192.168.20.0/24, 192.168.30.0/24, 10.200.0.0/16 (wg-clients), 127.0.0.1, fabric subnets

認証: WireGuard 接続元IP (10.200.0.0/16) で端末特定 + identity_passphrase 追加認証。 親端末のみ管理画面、 子端末は NC へリダイレクト。

バインド: 127.0.0.1:9081 (Docker内ネット経由) / 外部からは nginx + WGで二重制限
ファイル: mikyun-portal イメージ内 /opt/mikyun-portal/mikyun_vpn_engine.py

/opt/mikyun-portal/                  ← Docker bind ソース (ホスト側)
├── docker-compose.yml               ← compose 定義 (mikyun-portal サービス)
├── .env                              ← DB / Admin / Stripe 秘匿値 (mode 600)
├── app/
│   ├── main.py                       ← FastAPI エントリ + Basic認証ミドルウェア
│   ├── ui_admin.py                   ← 運営ポータルUI
│   ├── api_users.py                  ← /api/users (Basic認証必須)
│   └── client/
│       └── client_ui.py              ← 顧客ポータルUI
├── mikyun_vpn_engine.py              ← VPN Engine 本体
└── billing/
    └── billing_daily.py              ← 月次ポイント処理 (2026-04-10〜)

# WG関連 (ホスト)
/etc/wireguard/wg-clients.conf       ← 10.200.0.0/16 / UDP 54024
/etc/wireguard/wg-customers.conf     ← UDP 61001
/etc/wireguard/wg-storage.conf       ← UDP 62001

# 出力
/opt/mikyun/output/client-configs/   ← .conf
/opt/mikyun/output/qr/               ← .png

# systemd (ホスト側)
/etc/systemd/system/billing-daily.timer
/etc/systemd/system/billing-daily.service

運営ポータルから NCユーザーのパスワードを強制変更する機能のバグ修正記録。 教訓として残す。

Nextcloud の occ は www-data ユーザー実行が必須。 docker exec に -u www-data を付けていなかった。

# NG
docker exec -e OC_PASS=xxx nextcloud-stack-app-1 php occ user:resetpassword

# OK
docker exec -u www-data -e OC_PASS=xxx nextcloud-stack-app-1 php occ user:resetpassword

運営強制変更の前後で enforceHaveIBeenPwned を一時的に 0 にし、 変更後 1 に戻す。 例外時も必ず戻す try/finally で保護。

# パスワードポリシー一時無効化
docker exec -u www-data nextcloud-stack-app-1 \
  php occ config:app:set password_policy enforceHaveIBeenPwned --value=0

# 強制変更
docker exec -u www-data -e OC_PASS="$PW" nextcloud-stack-app-1 \
  php occ user:resetpassword --password-from-env "$NC_USER"

# 再有効化 (必ず)
docker exec -u www-data nextcloud-stack-app-1 \
  php occ config:app:set password_policy enforceHaveIBeenPwned --value=1

NC使用量を customer_devices.nc_used_bytes に1時間ごと収集して契約一覧に表示する機能。 maguro Docker 移植時に /opt/mikyun-portal/scripts/collect_file_count.py として cron 化済。

# cron (maguro)
0 * * * * docker exec mikyun-portal python3 /opt/scripts/collect_file_count.py >> /var/log/storage_collect.log 2>&1

# コンテナ再起動 (UI + Engine 同一コンテナ)
docker compose -f /opt/mikyun-portal/docker-compose.yml restart mikyun-portal

# ログ
docker logs -f --tail=200 mikyun-portal

# DB
docker compose -f /opt/nextcloud/compose/compose.yml exec db mysql -u root -p mikyun_cloud

# 月次バッチ
systemctl status billing-daily.timer
journalctl -u billing-daily.service -n 50

• API 設計
• DB 設計 (mikyun_cloud)
• トラブルシューティング