]> git.openstreetmap.org Git - chef.git/blob - cookbooks/nominatim/recipes/default.rb
9736f301a7b5aa4994c545967d16d9333969b4c5
[chef.git] / cookbooks / nominatim / recipes / default.rb
1 #
2 # Cookbook:: nominatim
3 # Recipe:: base
4 #
5 # Copyright:: 2015, OpenStreetMap Foundation
6 #
7 # Licensed under the Apache License, Version 2.0 (the "License");
8 # you may not use this file except in compliance with the License.
9 # You may obtain a copy of the License at
10 #
11 #     https://www.apache.org/licenses/LICENSE-2.0
12 #
13 # Unless required by applicable law or agreed to in writing, software
14 # distributed under the License is distributed on an "AS IS" BASIS,
15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
16 # See the License for the specific language governing permissions and
17 # limitations under the License.
18 #
19
20 include_recipe "accounts"
21 include_recipe "munin"
22 include_recipe "prometheus"
23
24 if node[:nominatim][:api_flavour] == "php"
25   include_recipe "php::fpm"
26 end
27
28 basedir = data_bag_item("accounts", "nominatim")["home"]
29 email_errors = data_bag_item("accounts", "lonvia")["email"]
30
31 directory basedir do
32   owner "nominatim"
33   group "nominatim"
34   mode "755"
35   recursive true
36 end
37
38 ## Log directory setup
39
40 directory node[:nominatim][:logdir] do
41   owner "nominatim"
42   group "nominatim"
43   mode "755"
44   recursive true
45 end
46
47 file "#{node[:nominatim][:logdir]}/query.log" do
48   action :create_if_missing
49   owner "www-data"
50   group "adm"
51   mode "664"
52 end
53
54 file "#{node[:nominatim][:logdir]}/update.log" do
55   action :create_if_missing
56   owner "nominatim"
57   group "adm"
58   mode "664"
59 end
60
61 ## Postgresql
62
63 include_recipe "postgresql"
64
65 postgresql_version = node[:nominatim][:dbcluster].split("/").first
66 postgis_version = node[:nominatim][:postgis]
67
68 package "postgresql-#{postgresql_version}-postgis-#{postgis_version}"
69
70 node[:nominatim][:dbadmins].each do |user|
71   postgresql_user user do
72     cluster node[:nominatim][:dbcluster]
73     superuser true
74     only_if { node[:nominatim][:state] != "slave" }
75   end
76 end
77
78 postgresql_user "nominatim" do
79   cluster node[:nominatim][:dbcluster]
80   superuser true
81   only_if { node[:nominatim][:state] != "slave" }
82 end
83
84 postgresql_user "www-data" do
85   cluster node[:nominatim][:dbcluster]
86   only_if { node[:nominatim][:state] != "slave" }
87 end
88
89 postgresql_munin "nominatim" do
90   cluster node[:nominatim][:dbcluster]
91   database node[:nominatim][:dbname]
92 end
93
94 directory "#{basedir}/tablespaces" do
95   owner "postgres"
96   group "postgres"
97   mode "700"
98 end
99
100 # NOTE: tablespaces must be exactly in the same location on each
101 #       Nominatim instance when replication is in use. Therefore
102 #       use symlinks to canonical directory locations.
103 node[:nominatim][:tablespaces].each do |name, location|
104   directory location do
105     owner "postgres"
106     group "postgres"
107     mode "700"
108     recursive true
109   end
110
111   link "#{basedir}/tablespaces/#{name}" do
112     to location
113   end
114
115   postgresql_tablespace name do
116     cluster node[:nominatim][:dbcluster]
117     location "#{basedir}/tablespaces/#{name}"
118   end
119 end
120
121 ## Nominatim backend
122
123 include_recipe "git"
124 include_recipe "python"
125
126 python_directory = "#{basedir}/venv"
127
128 package %w[
129   build-essential
130   cmake
131   g++
132   libboost-dev
133   libboost-system-dev
134   libboost-filesystem-dev
135   libexpat1-dev
136   zlib1g-dev
137   libbz2-dev
138   libpq-dev
139   libproj-dev
140   liblua5.3-dev
141   libluajit-5.1-dev
142   libicu-dev
143   nlohmann-json3-dev
144   lua5.3
145   python3-pyosmium
146   python3-psycopg2
147   python3-dotenv
148   python3-psutil
149   python3-jinja2
150   python3-icu
151   python3-datrie
152   python3-yaml
153   python3-sqlalchemy-ext
154   python3-geoalchemy2
155   python3-asyncpg
156   python3-dev
157   pkg-config
158   ruby
159   ruby-file-tail
160   ruby-pg
161   ruby-webrick
162 ]
163
164 if node[:nominatim][:api_flavour] == "php"
165   package %w[
166     php-pgsql
167     php-intl
168   ]
169 elsif node[:nominatim][:api_flavour] == "python"
170
171   python_virtualenv python_directory do
172     interpreter "/usr/bin/python3"
173   end
174
175   python_package "SQLAlchemy" do
176     python_virtualenv python_directory
177     version "2.0.19"
178   end
179
180   python_package "PyICU" do
181     python_virtualenv python_directory
182     version "2.10.2"
183   end
184
185   python_package "psycopg[binary]" do
186     python_virtualenv python_directory
187     version "3.1.10"
188   end
189
190   python_package "psycopg2-binary" do
191     python_virtualenv python_directory
192     version "2.9.7"
193   end
194
195   python_package "python-dotenv" do
196     python_virtualenv python_directory
197     version "0.21.0"
198   end
199
200   python_package "PyYAML" do
201     python_virtualenv python_directory
202     version "6.0.1"
203   end
204
205   python_package "falcon" do
206     python_virtualenv python_directory
207     version "3.1.1"
208   end
209
210   python_package "uvicorn" do
211     python_virtualenv python_directory
212     version "0.23.2"
213   end
214
215   python_package "gunicorn" do
216     python_virtualenv python_directory
217     version "21.0.1"
218   end
219 end
220
221 source_directory = "#{basedir}/src/nominatim"
222 build_directory = "#{basedir}/src/build"
223 project_directory = "#{basedir}/planet-project"
224 bin_directory = "#{basedir}/bin"
225 cfg_directory = "#{basedir}/etc"
226 ui_directory = "#{basedir}/ui"
227 qa_bin_directory = "#{basedir}/src/Nominatim-Data-Analyser"
228 qa_data_directory = "#{basedir}/qa-data"
229
230 [basedir, "#{basedir}/src", cfg_directory, bin_directory, build_directory, project_directory].each do |path|
231   directory path do
232     owner "nominatim"
233     group "nominatim"
234     mode "755"
235     recursive true
236   end
237 end
238
239 directory "#{bin_directory}/maintenance" do
240   owner "nominatim"
241   group "nominatim"
242   mode "775"
243 end
244
245 if node[:nominatim][:flatnode_file]
246   directory File.dirname(node[:nominatim][:flatnode_file]) do
247     recursive true
248   end
249 end
250
251 remote_directory "#{project_directory}/static-website" do
252   source "website"
253   owner "nominatim"
254   group "nominatim"
255   mode "755"
256   files_owner "nominatim"
257   files_group "nominatim"
258   files_mode "644"
259   purge false
260 end
261
262 # Normally syncing via chef is a bad idea because syncing might involve
263 # an update of database functions which should not be done while an update
264 # is ongoing. Therefore we sync in between update cycles. There is an
265 # exception for slaves: they get DB function updates from the master, so
266 # only the source code needs to be updated, which chef may do.
267 git source_directory do
268   action node[:nominatim][:state] == "slave" ? :sync : :checkout
269   repository node[:nominatim][:repository]
270   revision node[:nominatim][:revision]
271   enable_submodules true
272   user "nominatim"
273   group "nominatim"
274   not_if { node[:nominatim][:state] != "slave" && File.exist?("#{source_directory}/README.md") }
275   notifies :run, "execute[compile_nominatim]"
276 end
277
278 remote_file "#{source_directory}/data/country_osm_grid.sql.gz" do
279   action :create_if_missing
280   source "https://nominatim.org/data/country_grid.sql.gz"
281   owner "nominatim"
282   group "nominatim"
283   mode "644"
284 end
285
286 execute "compile_nominatim" do
287   action :nothing
288   user "nominatim"
289   cwd build_directory
290   command "cmake -D WITH_LUAJIT=ON #{source_directory} && make"
291   notifies :run, "execute[install_nominatim]"
292 end
293
294 execute "install_nominatim" do
295   action :nothing
296   cwd build_directory
297   command "make install"
298 end
299
300 # Project directory
301
302 template "#{project_directory}/.env" do
303   source "nominatim.env.erb"
304   owner "nominatim"
305   group "nominatim"
306   mode "664"
307   variables :base_url => node[:nominatim][:state] == "off" ? node[:fqdn] : "nominatim.openstreetmap.org",
308             :dbname => node[:nominatim][:dbname],
309             :flatnode_file => node[:nominatim][:flatnode_file],
310             :log_file => "#{node[:nominatim][:logdir]}/query.log",
311             :tokenizer => node[:nominatim][:config][:tokenizer],
312             :forward_dependencies => node[:nominatim][:config][:forward_dependencies],
313             :pool_size => node[:nominatim][:api_pool_size]
314 end
315
316 remote_file "#{project_directory}/wikimedia-importance.sql.gz" do
317   action :create_if_missing
318   source "https://nominatim.org/data/wikimedia-importance.sql.gz"
319   owner "nominatim"
320   group "nominatim"
321   mode "644"
322 end
323
324 %w[gb_postcodes.csv.gz us_postcodes.csv.gz].each do |fname|
325   remote_file "#{project_directory}/#{fname}" do
326     action :create
327     source "https://nominatim.org/data/#{fname}"
328     owner "nominatim"
329     group "nominatim"
330     mode "644"
331   end
332 end
333
334 # Webserver + frontend
335
336 %w[user_agent referrer email generic].each do |name|
337   file "#{cfg_directory}/nginx_blocked_#{name}.conf" do
338     action :create_if_missing
339     owner "nominatim"
340     group "adm"
341     mode "664"
342   end
343 end
344
345 if node[:nominatim][:api_flavour] == "php"
346   node[:nominatim][:fpm_pools].each do |name, data|
347     php_fpm name do
348       port data[:port]
349       pm data[:pm]
350       pm_max_children data[:max_children]
351       pm_start_servers 20
352       pm_min_spare_servers 10
353       pm_max_spare_servers 20
354       pm_max_requests 10000
355       prometheus_port data[:prometheus_port]
356     end
357   end
358 elsif node[:nominatim][:api_flavour] == "python"
359   systemd_service "nominatim" do
360     description "Nominatim running as a gunicorn application"
361     user "www-data"
362     group "www-data"
363     working_directory project_directory
364     standard_output "append:#{node[:nominatim][:logdir]}/gunicorn.log"
365     standard_error "inherit"
366     exec_start "#{python_directory}/bin/gunicorn --max-requests 200000 -b unix:/run/gunicorn-nominatim.openstreetmap.org.sock -w #{node[:nominatim][:api_workers]} -k uvicorn.workers.UvicornWorker nominatim.server.falcon.server:run_wsgi"
367     exec_reload "/bin/kill -s HUP $MAINPID"
368     environment :PYTHONPATH => "/usr/local/lib/nominatim/lib-python/"
369     kill_mode "mixed"
370     timeout_stop_sec 5
371     private_tmp true
372     requires "nominatim.socket"
373     after "network.target"
374   end
375
376   systemd_socket "nominatim" do
377     description "Gunicorn socket for Nominatim"
378     listen_stream "/run/gunicorn-nominatim.openstreetmap.org.sock"
379     socket_user "www-data"
380   end
381 end
382
383 ssl_certificate node[:fqdn] do
384   domains [node[:fqdn],
385            "nominatim.openstreetmap.org",
386            "nominatim.osm.org",
387            "nominatim.openstreetmap.com",
388            "nominatim.openstreetmap.net",
389            "nominatim.openstreetmaps.org",
390            "nominatim.openmaps.org",
391            "nominatim.qgis.org"]
392   notifies :reload, "service[nginx]"
393 end
394
395 include_recipe "nginx"
396
397 nginx_site "default" do
398   action [:delete]
399 end
400
401 frontends = search(:node, "recipes:web\\:\\:frontend").sort_by(&:name)
402
403 nginx_site "nominatim" do
404   template "nginx.erb"
405   directory project_directory
406   variables :pools => node[:nominatim][:fpm_pools],
407             :frontends => frontends,
408             :confdir => "#{basedir}/etc",
409             :ui_directory => ui_directory
410 end
411
412 template "/etc/logrotate.d/nginx" do
413   source "logrotate.nginx.erb"
414   owner "root"
415   group "root"
416   mode "644"
417 end
418
419 # Updates
420
421 %w[nominatim-update
422    nominatim-update-source
423    nominatim-update-refresh-db
424    nominatim-update-data
425    nominatim-daily-maintenance].each do |fname|
426   template "#{bin_directory}/#{fname}" do
427     source "#{fname}.erb"
428     owner "nominatim"
429     group "nominatim"
430     mode "554"
431     variables :bindir => bin_directory,
432               :srcdir => source_directory,
433               :builddir => build_directory,
434               :projectdir => project_directory,
435               :qabindir => qa_bin_directory,
436               :qadatadir => qa_data_directory
437   end
438 end
439
440 systemd_service "nominatim-update" do
441   description "Update the Nominatim database"
442   exec_start "#{bin_directory}/nominatim-update"
443   restart "on-success"
444   standard_output "append:#{node[:nominatim][:logdir]}/update.log"
445   standard_error "inherit"
446   working_directory project_directory
447 end
448
449 systemd_service "nominatim-update-maintenance-trigger" do
450   description "Trigger daily maintenance tasks for Nominatim DB"
451   exec_start "ln -sf #{bin_directory}/nominatim-daily-maintenance #{bin_directory}/maintenance/"
452   user "nominatim"
453 end
454
455 systemd_timer "nominatim-update-maintenance-trigger" do
456   action node[:nominatim][:state] != "off" ? :create : :delete
457   description "Schedule daily maintenance tasks for Nominatim DB"
458   on_calendar "*-*-* 02:03:00 UTC"
459 end
460
461 service "nominatim-update-maintenance-trigger" do
462   action node[:nominatim][:state] != "off" ? :enable : :disable
463 end
464
465 # Nominatim UI
466
467 git ui_directory do
468   action :sync
469   repository node[:nominatim][:ui_repository]
470   revision node[:nominatim][:ui_revision]
471   user "nominatim"
472   group "nominatim"
473 end
474
475 template "#{ui_directory}/dist/theme/config.theme.js" do
476   source "ui-config.js.erb"
477   owner "nominatim"
478   group "nominatim"
479   mode "664"
480 end
481
482 # Nominatim QA
483
484 if node[:nominatim][:enable_qa_tiles]
485   package "python3-geojson"
486
487   git qa_bin_directory do
488     repository node[:nominatim][:qa_repository]
489     revision node[:nominatim][:qa_revision]
490     enable_submodules true
491     user "nominatim"
492     group "nominatim"
493     notifies :run, "execute[compile_qa]"
494   end
495
496   execute "compile_qa" do
497     action :nothing
498     user "nominatim"
499     cwd "#{qa_bin_directory}/clustering-vt"
500     command "make"
501   end
502
503   directory qa_data_directory do
504     owner "nominatim"
505     group "nominatim"
506     mode "755"
507     recursive true
508   end
509
510   template "#{qa_bin_directory}/analyser/config/config.yaml" do
511     source "qa_config.erb"
512     owner "nominatim"
513     group "nominatim"
514     mode "755"
515     variables :outputdir => "#{qa_data_directory}/new"
516   end
517
518   ssl_certificate "qa-tile.nominatim.openstreetmap.org" do
519     domains ["qa-tile.nominatim.openstreetmap.org"]
520     notifies :reload, "service[nginx]"
521   end
522
523   nginx_site "qa-tiles.nominatim" do
524     template "nginx-qa-tiles.erb"
525     directory build_directory
526     variables :qa_data_directory => qa_data_directory
527   end
528
529 end
530
531 # Replication
532
533 cron_d "nominatim-clean-db" do
534   action node[:nominatim][:state] == "master" ? :create : :delete
535   minute "5"
536   hour "*/4"
537   user "postgres"
538   command "#{bin_directory}/clean-db-nominatim"
539   mailto email_errors
540 end
541
542 if node[:nominatim][:state] == "master"
543   postgresql_user "replication" do
544     cluster node[:nominatim][:dbcluster]
545     password data_bag_item("nominatim", "passwords")["replication"]
546     replication true
547   end
548
549   directory node[:rsyncd][:modules][:archive][:path] do
550     owner "postgres"
551     group "postgres"
552     mode "700"
553   end
554
555   template "#{bin_directory}/clean-db-nominatim" do
556     source "clean-db-nominatim.erb"
557     owner "nominatim"
558     group "nominatim"
559     mode "755"
560     variables :archive_dir => node[:rsyncd][:modules][:archive][:path],
561               :update_stop_file => "#{basedir}/status/updates_disabled",
562               :streaming_clients => search(:node, "nominatim_state:slave").map { |slave| slave[:fqdn] }.join(" ")
563   end
564 end
565
566 # Maintenance
567
568 cron_d "nominatim-backup" do
569   action (node[:nominatim][:enable_backup] && node[:nominatim][:state] != "off") ? :create : :delete
570   minute "0"
571   hour "3"
572   day "1"
573   user "nominatim"
574   command "#{bin_directory}/backup-nominatim"
575   mailto email_errors
576 end
577
578 cron_d "nominatim-vacuum-db" do
579   action node[:nominatim][:state] != "off" ? :create : :delete
580   minute "20"
581   hour "0"
582   user "postgres"
583   command "#{bin_directory}/vacuum-db-nominatim"
584   mailto email_errors
585 end
586
587 %w[backup-nominatim vacuum-db-nominatim].each do |fname|
588   template "#{bin_directory}/#{fname}" do
589     source "#{fname}.erb"
590     owner "nominatim"
591     group "nominatim"
592     mode "755"
593     variables :db => node[:nominatim][:dbname]
594   end
595 end
596
597 # Logging
598
599 template "/etc/logrotate.d/nominatim" do
600   source "logrotate.nominatim.erb"
601   owner "root"
602   group "root"
603   mode "644"
604 end
605
606 # Monitoring
607
608 munin_plugin_conf "nominatim" do
609   template "munin.erb"
610   variables :db => node[:nominatim][:dbname],
611             :querylog => "#{node[:nominatim][:logdir]}/query.log"
612 end
613
614 munin_plugin "nominatim_importlag" do
615   target "#{source_directory}/munin/nominatim_importlag"
616 end
617
618 munin_plugin "nominatim_query_speed" do
619   target "#{source_directory}/munin/nominatim_query_speed_querylog"
620 end
621
622 munin_plugin "nominatim_requests" do
623   target "#{source_directory}/munin/nominatim_requests_querylog"
624 end
625
626 prometheus_exporter "nominatim" do
627   port 8082
628   user "www-data"
629   restrict_address_families "AF_UNIX"
630   options [
631     "--nominatim.query-log=#{node[:nominatim][:logdir]}/query.log",
632     "--nominatim.database-name=#{node[:nominatim][:dbname]}"
633   ]
634 end
635
636 include_recipe "fail2ban"
637
638 frontend_addresses = frontends.collect { |f| f.ipaddresses(:role => :external) }
639
640 fail2ban_jail "nominatim_limit_req" do
641   filter "nginx-limit-req"
642   logpath "#{node[:nominatim][:logdir]}/nominatim.openstreetmap.org-error.log"
643   ports [80, 443]
644   maxretry 20
645   ignoreips frontend_addresses.flatten.sort
646 end