# pigsty/files/pki                           # (local_user) 0755
#  ^-----@ca                                 # (local_user) 0700
#         ^-----@ca.key                      # 0600，非常重要：保守其秘密
#         ^-----@ca.crt                      # 0644，非常重要：在所有地方都受信任
#  ^-----@csr                                # (local_user) 0755，签名请求 csr
#  ^-----@misc                               # (local_user) 0755，杂项证书，已签发证书
#  ^-----@etcd                               # (local_user) 0755，etcd 服务器证书
#  ^-----@minio                              # (local_user) 0755，minio 服务器证书
#  ^-----@nginx                              # (local_user) 0755，nginx SSL 证书
#  ^-----@infra                              # (local_user) 0755，infra 客户端证书
#  ^-----@pgsql                              # (local_user) 0755，pgsql 服务器证书
#  ^-----@kafka                              # (local_user) 0755，kafka 服务器证书
#  ^-----@mysql                              # (local_user) 0755，mysql 服务器证书

/etc/pki/ca.crt                             # root:root 0644，所有节点都添加的根证书
/etc/pki/ca-trust/source/anchors/ca.crt     # EL 系统受信任锚点
/usr/local/share/ca-certificates/ca.crt     # Debian/Ubuntu 系统受信任锚点

/etc/pki/infra.crt                          # root:infra 0644，infra 节点证书
/etc/pki/infra.key                          # root:infra 0640，infra 节点密钥

# run on meta-1, rsync to meta2
cd ~/pigsty;
rsync -avz ./ meta-2:~/pigsty  

# /infra -> /data/infra
# /data/infra                              # root:infra 0771
#  ^-----@pgadmin                          # 5050:5050 0700
#  ^-----@alertmgr                         # prometheus:infra 0700
#  ^-----@conf                             # root:infra 0750
#            ^-----patronictl.yml          # root:admin 0640
#  ^-----@tmp                              # root:infra 0750
#  ^-----@hosts                            # dnsmasq:dnsmasq 0755（DNS 记录）
#            ^-----default                 # root:root 0644
#  ^-----@datasources                      # root:infra 0750
#            ^-----*.json                  # 0600（register 生成）
#  ^-----@dashboards                       # grafana:infra 0750
#  ^-----@metrics                          # victoria:infra 0750
#  ^-----@logs                             # victoria:infra 0750
#  ^-----@traces                           # victoria:infra 0750
#  ^-----@bin                              # victoria:infra 0750
#            ^-----check|new|reload|status # root:infra 0755
#  ^-----@rules                            # victoria:infra 0750
#            ^-----agent.yml               # victoria:infra 0644
#            ^-----infra.yml               # victoria:infra 0644
#            ^-----node.yml                # victoria:infra 0644
#            ^-----pgsql.yml               # victoria:infra 0644
#            ^-----redis.yml               # victoria:infra 0644
#            ^-----etcd.yml                # victoria:infra 0644
#            ^-----minio.yml               # victoria:infra 0644
#            ^-----kafka.yml               # victoria:infra 0644
#            ^-----mysql.yml               # victoria:infra 0644
#  ^-----@targets                          # victoria:infra 0750
#            ^-----@infra                  # infra 组件目标（文件 0640）
#            ^-----@node                   # 节点目标（文件 0640）
#            ^-----@ping                   # ping 目标（文件 0640）
#            ^-----@etcd                   # etcd 目标（文件 0640）
#            ^-----@pgsql                  # pgsql 目标（文件 0640）
#            ^-----@pgrds                  # pgrds 目标（文件 0640）
#            ^-----@redis                  # redis 目标（文件 0640）
#            ^-----@minio                  # minio 目标（文件 0640）
#            ^-----@juice                  # juicefs 目标（文件 0640）
#            ^-----@mysql                  # mysql 目标（文件 0640）
#            ^-----@kafka                  # kafka 目标（文件 0640）
#            ^-----@docker                 # docker 目标（文件 0640）
#            ^-----@patroni                # patroni SSL 目标（文件 0640）
#  ^-----prometheus.yml                    # victoria:infra 0644

/data                                 # root:root 0755
#  ^-----@postgres                    # postgres:postgres 0700（默认 pg_fs_main）
#  ^-----@backups                     # postgres:postgres 0700（默认 pg_fs_backup）
#  ^-----@redis                       # redis:redis 0700（多实例共用）
#  ^-----@minio                       # minio:minio 0750（单机单盘模式）
#  ^-----@etcd                        # etcd:etcd 0700（etcd_data）
#  ^-----@infra                       # root:infra 0771（infra 模块数据目录）
#  ^-----@docker                      # root:root 0755（Docker 数据目录）
#  ^-----@kafka                       # kafka:kafka 0700（kafka_data）
#  ^-----@...                         # 其他组件的数据目录

/etc/systemd/system/haproxy.service   # Pigsty 渲染的 systemd 单元
/etc/haproxy/haproxy.cfg              # HAProxy 主配置
/etc/haproxy/conf.d/*.cfg             # 节点与 PostgreSQL 服务片段
/etc/default/haproxy                  # 可选的用户环境文件，Pigsty 不主动创建

# /infra
#  ^-----prometheus.yml              # Victoria 主配置（Prometheus 兼容格式）0644
#  ^-----@bin                        # 工具脚本（check/new/reload/status）0755
#  ^-----@rules                      # 记录与告警规则（*.yml 0644）
#            ^-----agent.yml         # Agent 预聚合规则
#            ^-----infra.yml         # infra 规则和告警
#            ^-----etcd.yml          # etcd 规则和告警
#            ^-----node.yml          # node 规则和告警
#            ^-----pgsql.yml         # pgsql 规则和告警
#            ^-----redis.yml         # redis 规则和告警
#            ^-----minio.yml         # minio 规则和告警
#            ^-----kafka.yml         # kafka 规则和告警
#            ^-----mysql.yml         # mysql 规则和告警
#  ^-----@targets                    # FileSD 服务发现目标（*.yml 0640）
#            ^-----@infra            # infra 静态目标
#            ^-----@node             # node 静态目标
#            ^-----@pgsql            # pgsql 静态目标
#            ^-----@pgrds            # pgsql 远程 RDS 目标
#            ^-----@redis            # redis 静态目标
#            ^-----@minio            # minio 静态目标
#            ^-----@mysql            # mysql 静态目标
#            ^-----@etcd             # etcd 静态目标
#            ^-----@ping             # ping 静态目标
#            ^-----@kafka            # kafka 静态目标
#            ^-----@juice            # juicefs 静态目标
#            ^-----@docker           # docker 静态目标
#            ^-----@patroni          # patroni 静态目标（启用 SSL 时）
# /etc/default/vmetrics              # vmetrics 启动参数（victoria:infra 0644）
# /etc/default/vlogs                 # vlogs 启动参数（victoria:infra 0644）
# /etc/default/vtraces               # vtraces 启动参数（victoria:infra 0644）
# /etc/default/vmalert               # vmalert 启动参数（victoria:infra 0644）
# /etc/alertmanager.yml              # 告警组件主配置（prometheus:infra 0644）
# /etc/default/alertmanager          # 告警组件环境变量（prometheus:infra 0640）
# /etc/blackbox.yml                  # 黑盒探测主配置（prometheus:infra 0644）
# /etc/default/blackbox_exporter     # 黑盒探测环境变量（prometheus:infra 0644）

#--------------------------------------------------------------#
# 工作假设:
#   {{ pg_fs_main   }} 主数据目录，默认位置：`/data/postgres` [SSD]
#   {{ pg_fs_backup }} 备份数据盘，默认位置：`/data/backups`  [HDD]
#--------------------------------------------------------------#
# 默认配置（pg_cluster=pg-test, pg_version=18）:
#     pg_fs_main = /data/postgres      高速SSD
#     pg_fs_backup = /data/backups     廉价HDD (可选)
#
#     /pg        -> /data/postgres/pg-test-18
#     /pg/data   -> /data/postgres/pg-test-18/data
#     /pg/backup -> /data/backups/pg-test-18/backup
#--------------------------------------------------------------#
- name: create pgsql directories
  tags: pg_dir
  become: true
  block:

    - name: create pgsql directories
      file: path={{ item.path }} state=directory owner={{ item.owner|default(pg_dbsu) }} group={{ item.group|default('postgres') }} mode={{ item.mode }}
      with_items:
        - { path: "{{ pg_fs_main }}"            ,mode: "0700" }
        - { path: "{{ pg_fs_backup }}"          ,mode: "0700" }
        - { path: "{{ pg_cluster_dir }}"        ,mode: "0700" }
        - { path: "{{ pg_cluster_dir }}/bin"    ,mode: "0700" }
        - { path: "{{ pg_cluster_dir }}/log"    ,mode: "0750" }
        - { path: "{{ pg_cluster_dir }}/tmp"    ,mode: "0700" }
        - { path: "{{ pg_cluster_dir }}/cert"   ,mode: "0700" }
        - { path: "{{ pg_cluster_dir }}/conf"   ,mode: "0700" }
        - { path: "{{ pg_cluster_dir }}/data"   ,mode: "0700" }
        - { path: "{{ pg_cluster_dir }}/spool"  ,mode: "0700" }
        - { path: "{{ pg_backup_dir }}/backup"  ,mode: "0700" }
        - { path: "/var/run/postgresql"         ,owner: root, group: root, mode: "0755" }

    - name: link pgsql directories
      file: src={{ item.src }} dest={{ item.dest }} state=link
      with_items:
        - { src: "{{ pg_backup_dir }}/backup" ,dest: "{{ pg_cluster_dir }}/backup" }
        - { src: "{{ pg_cluster_dir }}"       ,dest: "/pg" }

# 真实目录
{{ pg_fs_main }}     /data/postgres                    # postgres:postgres 0700，主数据目录
{{ pg_cluster_dir }} /data/postgres/pg-test-18         # postgres:postgres 0700，集群目录
                     /data/postgres/pg-test-18/bin     # postgres:postgres 0700（脚本文件 root:postgres 0755）
                     /data/postgres/pg-test-18/log     # postgres:postgres 0750，日志目录
                     /data/postgres/pg-test-18/tmp     # postgres:postgres 0700，临时文件
                     /data/postgres/pg-test-18/cert    # postgres:postgres 0700，证书
                     /data/postgres/pg-test-18/conf    # postgres:postgres 0700，配置索引
                     /data/postgres/pg-test-18/data    # postgres:postgres 0700，主数据目录
                     /data/postgres/pg-test-18/spool   # postgres:postgres 0700，pgBackRest spool
                     /data/postgres/pg-test-18/backup  # -> /data/backups/pg-test-18/backup

{{ pg_fs_backup  }}  /data/backups                     # postgres:postgres 0700，可选备份盘目录/挂载点
{{ pg_backup_dir }}  /data/backups/pg-test-18          # postgres:postgres 0700，集群备份目录
                     /data/backups/pg-test-18/backup   # postgres:postgres 0700，实际备份位置

# 软链接
/pg             ->   /data/postgres/pg-test-18         # pg 根软链接
/pg/data        ->   /data/postgres/pg-test-18/data    # pg 数据目录
/pg/backup      ->   /data/backups/pg-test-18/backup   # pg 备份目录

/usr/pgsql-${pg_version}/

/usr/pgsql -> /usr/pgsql-18

export PATH="/usr/pgsql/bin:/pg/bin:$PATH"
export PGHOME=/usr/pgsql
export PGDATA=/pg/data

/usr/lib/postgresql/${pg_version}/bin

/etc/pgbouncer/                # postgres:postgres 0750
/etc/pgbouncer/pgbouncer.ini   # postgres:postgres 0640
/etc/pgbouncer/database.txt    # postgres:postgres 0600
/etc/pgbouncer/useropts.txt    # postgres:postgres 0600
/etc/pgbouncer/userlist.txt    # postgres:postgres (由 pgb-user 维护)
/etc/pgbouncer/pgb_hba.conf    # postgres:postgres 0600
/pg/log/pgbouncer              # postgres:postgres 0750
/var/run/postgresql            # {{ pg_dbsu }}:postgres 0755（tmpfiles 维护）

/etc/default/silo                             # root:minio 0640，服务环境变量
/etc/systemd/system/silo.service              # root:root 0644，Pigsty 渲染的单元
/data/minio/                                  # minio:minio 0750，默认数据目录
/infra/targets/minio/<cluster>-<seq>.yml      # victoria:infra 0640，FileSD 目标
/home/minio/.mcli/config.json                 # mcli 客户端别名（执行用户家目录亦会写入）

/bin/redis-server  /bin/redis-cli    # redis_type: redis
/bin/valkey-server /bin/valkey-cli   # redis_type: valkey

/etc/systemd/system/redis-test-1-6379.service         # root:root 0644（Pigsty 渲染）
/etc/systemd/system/redis_exporter.service            # root:root 0644（Pigsty 渲染）
/etc/redis/                                           # redis:redis 0700
/etc/redis/redis-test-1-6379.conf                     # redis:redis 0600
/data/redis/                                          # redis:redis 0700
/data/redis/redis-test-1-6379                         # redis:redis 0700
/data/redis/redis-test-1-6379/redis-test-1-6379.rdb   # RDB 文件
/data/redis/redis-test-1-6379/redis-test-1-6379.aof   # AOF 文件
/var/log/redis/                                       # redis:redis 0700
/var/log/redis/redis-test-1-6379.log                  # 日志
/var/run/redis/                                       # redis:redis 0700（开机 tmpfiles 为 0755）
/var/run/redis/redis-test-1-6379.pid                  # PID

./pgsql-rm.yml -l pg-test -e pg_safeguard=false
./etcd-rm.yml  -l etcd -e etcd_safeguard=false
./minio-rm.yml -l minio   -e minio_type=silo -e minio_safeguard=false
./redis-rm.yml -l redis-test -e redis_safeguard=false
./kafka-rm.yml -l kf-main -e kafka_safeguard=false
./mysql-rm.yml -l my-test -e mysql_safeguard=false -e mysql_rm_confirm=my-test

./pgsql.yml -l pg-meta            # 限制在集群 pg-meta 上执行
./node.yml -l 10.10.10.10         # 限制在特定节点上执行
./redis.yml -l redis-test         # 限制在 redis-test 集群上执行

./pgsql.yml -l pg-test -t pg_service    # 只刷新集群 pg-test 的服务
./node.yml -t haproxy                   # 只在节点上设置 haproxy
./etcd.yml -t etcd_launch               # 只重启 etcd 服务

./deploy.yml                     # 一次性部署核心链路
./infra.yml                      # 初始化基础设施
./infra-rm.yml                   # 移除基础设施
./cache.yml -l <infra-host>      # 从指定 Infra 节点的现有仓库创建离线安装包
./cert.yml -e cn=<name>          # 签发客户端证书

./node.yml -l <cls|ip>           # 添加节点
./node-rm.yml -l <cls|ip>        # 移除节点
bin/node-add <cls|ip>            # 添加节点 (包装脚本)
bin/node-rm <cls|ip>             # 移除节点 (包装脚本)

./etcd.yml                       # 初始化 etcd 集群
./etcd-rm.yml -l etcd            # 默认删除该集群的本机数据与配置
bin/etcd-add <ip>                # 添加 etcd 成员 (包装脚本)
bin/etcd-rm <ip>                 # 移除 etcd 成员 (包装脚本)

./pgsql.yml -l <cls>             # 初始化 PostgreSQL 集群
./pgsql-rm.yml -l <cls>          # 移除 PostgreSQL 集群
./pgsql-user.yml -l <cls> -e username=<user>   # 创建业务用户
./pgsql-db.yml -l <cls> -e dbname=<db>         # 创建业务数据库
./pgsql-monitor.yml -e clsname=<cls>           # 监控远程集群
./pgsql-migration.yml -e@files/migration/<cls>.yml  # 生成迁移手册
./pgsql-pitr.yml -l <cls> -e '{"pg_pitr": {}}'      # 执行 PITR 恢复

bin/pgsql-add <cls>              # 初始化集群 (包装脚本)
bin/pgsql-rm <cls>               # 移除集群 (包装脚本)
bin/pgsql-user <cls> <user>      # 创建用户 (包装脚本)
bin/pgsql-db <cls> <db>          # 创建数据库 (包装脚本)
bin/pgsql-svc <cls>              # 刷新服务 (包装脚本)
bin/pgsql-hba <cls>              # 重载 HBA (包装脚本)
bin/pgmon-add <cls>              # 监控远程集群 (包装脚本)

./redis.yml -l <cls>             # 初始化 Redis 集群
./redis-rm.yml -l <cls>          # 移除 Redis 集群

./minio.yml -l <cls>                       # 初始化 MINIO 模块的 Silo 集群
./minio-rm.yml -l <cls> -e minio_type=silo # 移除 Silo；该值必须显式确认

./docker.yml -l <host>           # 安装 Docker
./app.yml -e app=<name>          # 部署 Docker Compose 应用

./kafka.yml -l <cls>             # 创建/收敛完整 Kafka 集群
./kafka.yml -l <cls> --check     # 只读预检
./kafka-rm.yml -l <cls>          # 移除完整集群
./kafka-rm.yml -l <ip>           # 从集群退役单个成员

./mysql.yml -l <cls> --check
./mysql.yml -l <cls>             # 只接受完整的 1 或 3 成员集群范围
./mysql-rm.yml -l <instance> --check \
  -e mysql_safeguard=false -e mysql_rm_confirm=<instance>
./mysql-rm.yml -l <cls> \
  -e mysql_safeguard=false -e mysql_rm_confirm=<cls>

node_firewall_mode: zone
node_firewall_public_port: [22, 80, 443]
# node_firewall_public_port: [22, 80, 443, 5432]  # only if public DB access is required