tesm/install.sh

#!/bin/bash
# ============================================================================
# TESM — Installer/Updater
# Richtet System-Pakete, die Flask-App (systemd) sowie den Erreichbarkeits-
# Check-Dienst (systemd + Timer) ein. Auszuführen als root, nachdem dieses
# Repo/Release-Paket z.B. nach /root/tesm entpackt wurde.
#
# Erkennt selbstständig, ob unter /srv/tesm bereits eine Installation
# existiert (an sqlite.db), und verhält sich entsprechend:
#
# - Keine vorhandene Installation -> normale Frischinstallation.
# - Vorhanden, SCHEMA_VERSION unverändert -> einfaches In-Place-Update
#   (Code/Templates/Abhängigkeiten aktualisieren; sqlite.db bleibt
#   unangetastet -- rsync schließt sie ohnehin aus). Kein Backup nötig,
#   da sich am Datenbank-Schema nichts ändert.
# - Vorhanden, SCHEMA_VERSION unbekannt oder abweichend -> Update MIT
#   Sicherheitsnetz: die komplette bisherige Installation (Code, venv,
#   Datenbank, Schlüssel) wird vorher 1:1 nach /srv/tesm-backup-pre-
#   migration-<timestamp> kopiert. Die eigentliche Schema-Migration
#   übernimmt danach die App selbst beim Start (siehe _ensure_schema()
#   in app.py). Kommt der Dienst anschließend nachweislich NICHT gesund
#   hoch (HTTP-Check auf /login), wird automatisch die komplette
#   Sicherung zurückgespielt (alter Code + alte Datenbank zusammen --
#   ein reines DB-Rollback allein würde denselben Migrationsfehler beim
#   nächsten Start mit dem neuen Code sofort wiederholen) und das
#   Backup bleibt zur manuellen Prüfung erhalten. Kommt er gesund hoch,
#   gilt die Migration als erfolgreich und das Backup wird gelöscht.
# ============================================================================
set -e

REPO_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
NC='\033[0m'

print_status() { echo -e "${GREEN}✔${NC} ${1} completed."; }
step()         { echo -e "${RED}→${NC} ${1}..." | tee -a /var/log/tesm-install.log; }

# "clear" schlägt ohne TERM/Pseudo-Terminal fehl (z.B. bei Automatisierung
# per SSH exec_command ohne pty, genau wie update.sh dieses Skript aufruft)
# -- mit "set -e" bricht das sonst die GESAMTE Installation sofort und ohne
# jede Fehlermeldung an dieser Stelle ab, noch bevor auch nur ein Paket
# installiert wurde (live so reproduziert). Rein kosmetisch, daher bewusst
# nie fatal.
clear 2>/dev/null || true

# ---- Bestehende Installation erkennen ----
EXISTING_INSTALL=0
[ -f /srv/tesm/sqlite.db ] && EXISTING_INSTALL=1

NEEDS_MIGRATION_GUARD=0
BACKUP_DIR=""

if [ "$EXISTING_INSTALL" -eq 1 ]; then
    OLD_SCHEMA_VERSION=""
    [ -f /srv/tesm/SCHEMA_VERSION ] && OLD_SCHEMA_VERSION="$(tr -d '[:space:]' < /srv/tesm/SCHEMA_VERSION)"
    NEW_SCHEMA_VERSION=""
    [ -f "$REPO_DIR/srv/tesm/SCHEMA_VERSION" ] && NEW_SCHEMA_VERSION="$(tr -d '[:space:]' < "$REPO_DIR/srv/tesm/SCHEMA_VERSION")"

    step "Stopping tesm.service for update"
    systemctl stop tesm.service tesm-check.service tesm-check-restart.timer 2>/dev/null || true
    print_status "Service stopped"

    if [ -n "$OLD_SCHEMA_VERSION" ] && [ -n "$NEW_SCHEMA_VERSION" ] && [ "$OLD_SCHEMA_VERSION" == "$NEW_SCHEMA_VERSION" ]; then
        echo -e "${GREEN}Bestehende Installation erkannt, Datenbank-Schema unverändert (Version ${OLD_SCHEMA_VERSION}):${NC} einfaches In-Place-Update, kein Backup nötig."
    else
        if [ -n "$OLD_SCHEMA_VERSION" ] && [ -n "$NEW_SCHEMA_VERSION" ]; then
            reason="Datenbank-Schema hat sich geändert (${OLD_SCHEMA_VERSION} -> ${NEW_SCHEMA_VERSION})"
        else
            reason="Schema-Version der bestehenden Installation oder dieses Pakets unbekannt"
        fi
        echo -e "${YELLOW}Bestehende Installation erkannt, ${reason}:${NC}"
        echo "Update mit automatischer Migration und Sicherheitsnetz (Rückroll-Backup)."
        NEEDS_MIGRATION_GUARD=1
        BACKUP_DIR="/srv/tesm-backup-pre-migration-$(date +%Y%m%d-%H%M%S)"
        step "Backing up current installation to $BACKUP_DIR before migration"
        cp -a /srv/tesm "$BACKUP_DIR"
        print_status "Backup created"
    fi
fi

# ---- Pakete ----
step "Installing system packages"
sudo apt-get update >>/var/log/tesm-install.log 2>&1 && print_status "apt update"
sudo apt-get install -y python3 python3-venv python3-pip nginx sqlite3 expect openssh-client git rsync iputils-ping logrotate >>/var/log/tesm-install.log 2>&1 && print_status "Packages installed"

# ---- Log-Verzeichnis ----
# Weltweit beschreibbar, da sowohl root (tesm.service/poe.sh) als auch
# der i.d.R. unprivilegierte kea-dhcp4-server-Dienstbenutzer (_kea) hier
# ihre jeweils eigene Log-Datei anlegen/schreiben müssen. Die eigentliche
# logrotate-Konfiguration (/etc/logrotate.d/tesm) schreibt die App
# selbst beim Start bzw. beim Speichern unter Systemeinstellungen → Logs.
sudo mkdir -p /var/log/tesm
sudo chmod 777 /var/log/tesm

# ---- App-Verzeichnis ----
step "Deploying application to /srv/tesm"
sudo mkdir -p /srv/tesm
sudo rsync -a --delete --exclude 'venv' --exclude 'sqlite.db' --exclude 'fernet.key' --exclude 'secret.key' \
    "$REPO_DIR/srv/tesm/" /srv/tesm/ >>/var/log/tesm-install.log 2>&1
print_status "Application files copied"

# ---- Python venv ----
# "python3 -m pip" statt des "pip"-Skripts im venv selbst: dessen Shebang
# enthält einen zur Erstellungszeit FEST einprogrammierten, absoluten Pfad
# zum venv-Python. Wird das venv-Verzeichnis später umbenannt/verschoben
# (wie hier historisch bei der Umbenennung "poe_manager" -> "tesm"
# passiert), bleibt die alte, nicht mehr existierende Pfadangabe stehen --
# "./venv/bin/pip install ..." schlägt dann mit "cannot execute: required
# file not found" fehl (live auf POETEST reproduziert), obwohl das venv
# selbst voll funktionsfähig ist. "python3 -m pip" braucht dagegen nur den
# (korrekt referenzierten) venv-Python-Interpreter selbst.
step "Setting up Python virtual environment"
cd /srv/tesm
sudo python3 -m venv venv
sudo ./venv/bin/python3 -m pip install --upgrade pip >>/var/log/tesm-install.log 2>&1
sudo ./venv/bin/python3 -m pip install -r requirements.txt >>/var/log/tesm-install.log 2>&1
print_status "Virtual environment ready"

# ---- Datenbank ----
if [ ! -f /srv/tesm/sqlite.db ]; then
    step "Initializing database"
    sudo ./venv/bin/python3 create_db.py >>/var/log/tesm-install.log 2>&1
    print_status "Database initialized"
    echo -e "${RED}→${NC} Kein Admin-Benutzer vorhanden. Bitte danach ausführen: sudo /srv/tesm/venv/bin/python3 /srv/tesm/create_admin.py"
fi

# ---- Custom-Skripte + systemd ----
step "Copying custom scripts and systemd units"
sudo mkdir -p /usr/local/bin/custom
sudo cp "$REPO_DIR/usr/local/bin/custom/poe.sh" /usr/local/bin/custom/poe.sh
sudo chmod +x /usr/local/bin/custom/poe.sh
sudo cp "$REPO_DIR"/etc/systemd/system/*.service /etc/systemd/system/
sudo cp "$REPO_DIR"/etc/systemd/system/*.timer /etc/systemd/system/
print_status "Scripts and units copied"

# ---- SSH-Login-Banner (MOTD) ----
# Live-Flotten-Status (Online/Offline, DHCP) statt der Standard-Ubuntu-
# Willkommensmeldung -- siehe srv/tesm/motd_banner.py für die Datenquellen.
# Die Standard-Skripte bleiben erhalten, werden aber deaktiviert (chmod -x,
# nicht gelöscht), damit ein Rückbau jederzeit per chmod +x möglich ist.
step "Setting up TESM SSH login banner"
sudo cp "$REPO_DIR/etc/update-motd.d/50-tesm" /etc/update-motd.d/50-tesm
sudo chmod 755 /etc/update-motd.d/50-tesm
sudo chmod -x /etc/update-motd.d/00-header /etc/update-motd.d/10-help-text \
    /etc/update-motd.d/50-motd-news /etc/update-motd.d/60-unminimize \
    /etc/update-motd.d/91-release-upgrade /etc/update-motd.d/92-unattended-upgrades \
    2>/dev/null || true
print_status "SSH login banner configured"

# ---- nginx ----
step "Configuring nginx reverse proxy"
sudo cp "$REPO_DIR/etc/nginx/sites-available/tesm" /etc/nginx/sites-available/tesm
sudo ln -sf /etc/nginx/sites-available/tesm /etc/nginx/sites-enabled/tesm
sudo rm -f /etc/nginx/sites-enabled/default
sudo nginx -t >>/var/log/tesm-install.log 2>&1 && sudo systemctl reload nginx
print_status "nginx configured"

# ---- Dienste aktivieren ----
step "Enabling services"
sudo systemctl daemon-reload
sudo systemctl enable --now tesm.service
sudo systemctl enable --now tesm-check.service tesm-check-restart.timer
print_status "Services enabled and started"

# ---- Migrations-Sicherheitsnetz prüfen ----
# Nur relevant, wenn oben tatsächlich eine riskante Migration (abweichende/
# unbekannte SCHEMA_VERSION) erkannt wurde -- beim einfachen In-Place-Update
# oder einer Frischinstallation ist BACKUP_DIR leer und dieser Block wird
# komplett übersprungen.
if [ "$NEEDS_MIGRATION_GUARD" -eq 1 ]; then
    step "Verifying migrated installation"
    HEALTHY=0
    for i in $(seq 1 15); do
        sleep 2
        if curl -fsS -o /dev/null http://127.0.0.1:5000/login 2>/dev/null; then
            HEALTHY=1
            break
        fi
    done
    if [ "$HEALTHY" -eq 1 ]; then
        print_status "Migration verified healthy"
        rm -rf "$BACKUP_DIR"
        echo -e "${GREEN}✔${NC} Migration erfolgreich -- Backup wieder entfernt."
    else
        echo -e "${RED}✖ Migration fehlgeschlagen -- Dienst antwortet nicht gesund. Rolle zurück...${NC}"
        sudo systemctl stop tesm.service 2>/dev/null || true
        sudo rm -rf /srv/tesm
        sudo mv "$BACKUP_DIR" /srv/tesm
        sudo systemctl start tesm.service
        echo -e "${YELLOW}Zurückgerollt auf den Stand vor dem Update (alter Code + alte Datenbank zusammen).${NC}"
        echo "Bitte /var/log/tesm/app.log prüfen oder Export/Import nutzen, bevor erneut aktualisiert wird."
    fi
fi

echo -e "${GREEN}✔${NC} Installation abgeschlossen. Web-App erreichbar auf Port 80 (nginx) bzw. 5000 (Flask direkt)."