【インストール】高速で強力なWordPressサイトを構築する２

Configure the keyboard

キーボードのレイアウトタイプを選択します。

基本的には『Japanese』を選択し、レイアウト(Keyboard layout)も『Japanese』を選択します。

Configure the network

ここではVPS契約時に提供されたIPを入力します。

IPはVPSコントロールパネルに記載されているIPv4欄の『アドレス』を入力します。例：『160.11.201.60』

ネットマスクも同様にIPv4欄の『ネットマスク』を入力します。例：『255.255.254.0』

ゲートウェイも同様にIPv4欄の『ゲートウェイ』を入力します。例：『160.10.200.1』

ネームサーバアドレスも同様にIPv4欄の『プライマリDNS』を入力します。例：『200.190.170.10』

Set up users and passwords

まず最初に『OSのユーザー名(Full name for the new user)』を入力します。

次に『ログイン時のアカウント名(Fullname for your account)』を入力します。

そして最後に『アカウントのログインパスワード(Choose a password for the new user)』を入力します。

その後、ユーザーのホームディレクトリを暗号化するかどうかを聞かれます(Encrypt your home directory?)が、基本的には『No』を選択します。

Partition disks

『Unmount partitions that are in use?』は『Yes』を選択します。

『Partitioning method』は『Guided – use entire disk』を選択します。

『Select disk to partition』は『一台目のディスク(sdaまたvda)』を選択します。

『Write the changes to disks?』は『Yes』を選択します。

その後は自動的にOSの設定が行われ、インストールは終了します。

Software Selection

これは『Standard system utilities』および『OpenSSH server』をShiftキーで選択し、Enterキーで実行します。

Standard system utilitiesはVim等の基本ツールが自動的に組み込まれます。

OpenSSH serverはteraterm等のターミナルエミュレーターを使う際に必要となります。

各種チェック

必要な方は次に『IPチェック』『CPU性能確認』『時間確認』をして下さい。

IPチェック

CPU性能確認

時間確認

ファイル一覧を更新

パッケージを導入、更新するコマンド『apt-get』を用いてファイル一覧を更新します。

ファイルの更新を確認

更新されたファイルを適用

『upgrade』では最新版の適用の際に追加パッケージのダウンロードが必要となった場合、そのファイルの更新は中断されます。

追加パッケージも導入し、完全な最新状態を希望する場合は『dist-upgrade』を用います。

Vimの導入

テキストエディタの一種である『Vim』をインストールします。

テキストエディタは好みですので、他のものを使いたい方は別のエディタを使用しても構いません。

なお、今回のサンプルは編集を全てVimで統一しています。

Vimのコマンドについては以下を参考にして下さい。

Vimコマンドまとめ – Qiita
http://qiita.com/merrill/items/9c800030333ab4c9408f

Vimをインストールします。

authorized keysの設定

鍵の設定を行います。

保存場所、id_rsaがそのままで良ければEnter。

パスフレーズは必要なければ空白のままEnter。

$ cd
$ ssh-keygen

鍵が生成されるので確認します(.pubが公開鍵)。

$ cd ~/.ssh
$ ls -la

公開鍵をアップロードします。

cant be establishと表示された場合は『Yes』を選択します。

パスワードを求められるので、アカウントのログインパスワードを入力するとアップロードが完了します。

次に『chmod』を使い、公開鍵のパーミッション(所有権)を変更します。

$ cd
$ sudo chmod 700 .ssh
$ sudo chmod 600 .ssh/authorized_keys

SSHのセキュリティ設定

SSHの設定ファイルをエディタで開き、設定を変更します(設定は例です)。

sshd_config
# デフォルトポートから他の競合しない数値に変更
Port 12345

# rootでのログインを不可にする
PermitRootLogin no

設定後はSSHを再起動します。

この時点で設定したポートでログインが可能になります。

Uncomplicated Firewall(UFW)のセキュリティ設定

ファイアウォールサービスの『UFW』の各種設定を行います。

すべてのポートを一時的に拒否

SSHを許可する

ブラウザでの閲覧を許可

UFWを有効化

UFWのステータスを確認

UFWを再起動

IPv6を無効化

『IPv6』を使用する目的が無い場合は無効化しておきます。

ufw
# IPV6を使用しない
IPV6=no

/etc/sysctl.confの末尾に『net～』を追加します。

sysctl.conf
# Disable IPv6
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

保存後、設定を反映させます。

ifconfigを行い、IPv6(inet6)が消えていればIPv6の無効化成功です。

不要なデーモンを停止

『sysv-rc-conf』を用いて不要なデーモンを停止させます。

停止させるのは『dns-clean(PPP接続前にDNSキャッシュを削除)』『grub-common(GNUの高機能ブートローダー)』『ondemand(クロック制御)』『pppd-dns(PPP接続前にresolv.confを読み込む)』『rsync(高速ファイルコピー)』の5つです。

もし今後使用予定があるデーモンがあれば除外して下さい。

まずsysv-rc-confをインストールします。

アカウントのパスワードを入力し、rootログイン。

不要なデーモンを停止。

# sysv-rc-conf dns-clean off
# sysv-rc-conf grub-common off
# sysv-rc-conf ondemand off
# sysv-rc-conf pppd-dns off
# sysv-rc-conf rsync off

rootをログアウト。

再起動します。

Nginxのインストール

まず更新チェックを行い、その後データ取得コマンド『curl』をインストール、次にNginxのリポジトリ署名を追加します。

$ sudo apt-get update
$ sudo curl http://nginx.org/keys/nginx_signing.key | sudo apt-key add -

リポジトリを追加します(リストは/etc/apt/sources.list)。

$ sudo sh -c "echo 'deb http://nginx.org/packages/mainline/ubuntu/ xenial nginx' >> /etc/apt/sources.list"
$ sudo sh -c "echo 'deb-src http://nginx.org/packages/mainline/ubuntu/ xenial nginx' >> /etc/apt/sources.list"

更新を確認し、Nginxをインストールします。

$ sudo apt-get update
$ sudo apt-get install -y nginx

インストール後、Nginxのバージョンを確認します(2016/05/15現在、最新バージョンは1.10.0です)。

PHP7のインストール

『PHP7』をインストールする前に必要なパッケージを導入します。

$ sudo apt-get install -y software-properties-common
$ sudo apt-get install -y python-software-properties

その後Ondrej Sury氏による非公式リポジトリ(Personal Package Archive – PPA)を追加します。

※2016/7/15 追記『ppa:ondrej/php-7.0』から『ppa:ondrej/php』に変更となりました。

更新を確認し、次にPHP7および付随するパッケージをインストールします(PHPのバージョンごとに数値を変えられます)。

$ sudo apt-get update
$ sudo apt-get install -y php7.3 php7.3-common php7.3-cgi php7.3-fpm php7.3-mysql php7.3-gd php7.3-dev php7.3-curl php7.3-zip php7.3-mbstring php7.3-xml

PHP7のバージョンを確認します(2018/12/09現在、最新バージョンは7.3です)。

MariaDBのインストール

『apt-key』でキーを追加します。

リポジトリを追加し、更新チェックします。

$ sudo add-apt-repository 'deb http://ftp.yz.yamagata-u.ac.jp/pub/dbms/mariadb/repo/10.4/ubuntu xenial main'
$ sudo apt-get update

インストール時にrootに対するパスワードが求められるので、新しくパスワードを作成します。

データベースにアクセス

インストール後、データベースにアクセスします(パスワードは先程新しく作成したもの)。

WordPressで使用するデータベースを新規作成します(example.comは例です)。

データベースが追加されたか確認。

確認出来ればデータベースから離脱します。

PHP7設定

php-fpm.confに記載されているevents～のコメントアウト(;)を外します。

php-fpm.conf
; コメントアウトを外す
events.mechanism = epoll

php.iniのタイムゾーンを日本時間に切り替えます。

php.ini
; タイムゾーンを日本時間に
date.timezone = "Asia/Tokyo"

PHPの所有者とグループを変更します。

www.conf
; listenが付いている事に注意
listen.owner = nginx
listen.group = nginx

PHPを再起動します。

Nginx設定

WordPressに使用するディレクトリを作成します(example.comは例です)。

Nginxのdefault.confを自サイト用の設定ファイルとして複製し、default.confは削除します。

$ sudo cp /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/example.com.conf
$ sudo rm /etc/nginx/conf.d/default.conf

先程複製したファイルを編集します。

example.conf
server {
	listen	80;
	server_name	example.com;
	root /var/www/example.com/;
	index	index.html	index.php;
	access_log	/var/log/nginx/example.com.access.log;
	error_log	/var/log/nginx/example.com.error.log;
 
	location / {
		index	index.php index.html index.htm;
		try_files	$uri $uri/ /index.php?$uri&$args;
	}
 
	location ~ \.php$ {
		include	fastcgi_params;
		fastcgi_keep_conn on;
		fastcgi_index	index.php;
		fastcgi_split_path_info  ^(.+\.php)(/.+)$;
		fastcgi_param PATH_INFO $fastcgi_path_info;
		fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
		fastcgi_intercept_errors on;
		fastcgi_pass unix:/run/php/php7.3-fpm.sock;
	}

	error_page	500 502 503 504	/50x.html;

	location =	/50x.html {
	root	/usr/share/nginx/html;
	}
}

Nginxを再起動する。

unzipインストール

まず更新をチェックし、その後圧縮ファイル展開用の『unzip』をインストールします。

$ sudo apt-get update
$ sudo apt-get install -y unzip zip

WordPressのダウンロード

テンポラリディレクトリ(tmp)に移動した後、『wget』でダウンロードを行い、その後展開します。

最新版はhttps://ja.wordpress.org/より確認すること。(2018/11/14現在、最新版は4.9.8)

$ cd /var/tmp
$ sudo wget https://ja.wordpress.org/wordpress-4.9.8-ja.zip
$ unzip wordpress-4.9.8-ja.zip

展開後、WordPressディレクトリへ移動し、全てのファイルを『/var/www/～』にコピーします。

$ cd wordpress/
$ sudo cp -rp * /var/www/example.com
$ cd

権限の設定

所有者およびグループの権限設定を行います。

devグループを追加します。

『/var/www/～』を『chown』を用いて所有者を『www-data』グループを『dev』に変更します。

サブグループを作成し(exampleは例です)、確認します。

$ sudo usermod -a -G dev www-data
$ sudo usermod -a -G dev example
$ id example

rootログインします。

WordPressを格納しているディレクトリへ移動します。

パーミッションを変更します。

ファイルは664(所有者およびグループReadWrite可、その他はReadのみ可能)。

ディレクトリは2775(SGIDによりディレクトリ内のファイルおよびディレクトリはグループを継承し、所有者およびグループはReadWriteExec可能、その他はReadExec可能)。

SGIDについては：Linux: SUID、SGID、スティッキービットまとめ – Qiita

# find . -type f -print | xargs chmod 664
# find . -type d -print | xargs chmod 2775

rootから離脱します。

wp-config.phpの編集

『wp-config.php』をコピーします。

wp-config.phpを編集します。

『database_name_here』にMariaDBで設定したデータベース名(例：example.com)、『password_here』にMariaDBのパスワードを入力します。

wp-config.conf
/** WordPress のためのデータベース名 */
define('DB_NAME', 'database_name_here(変更)');
 
/** MySQL データベースのユーザー名 */
define('DB_USER', 'root');
 
/** MySQL データベースのパスワード */
define('DB_PASSWORD', 'password_here(変更)');

また、同ファイルに認証用ユニークキー(セキュリティ効果)の設定があるので、https://api.wordpress.org/secret-key/1.1/salt/を利用してコピペして下さい。

/**#@+
 * 認証用ユニークキー
 *
 * それぞれを異なるユニーク (一意) な文字列に変更してください。
 * {@link https://api.wordpress.org/secret-key/1.1/salt/ WordPress.org の秘密鍵サービス} で自動生成することもできます。
 * 後でいつでも変更して、既存のすべての cookie を無効にできます。これにより、すべてのユーザーを強制的に再ログインさせることになります。
 *
 * @since 2.6.0
 */
define('AUTH_KEY',         'put your unique phrase here(変更)');
define('SECURE_AUTH_KEY',  'put your unique phrase here(変更)');
define('LOGGED_IN_KEY',    'put your unique phrase here(変更)');
define('NONCE_KEY',        'put your unique phrase here(変更)');
define('AUTH_SALT',        'put your unique phrase here(変更)');
define('SECURE_AUTH_SALT', 'put your unique phrase here(変更)');
define('LOGGED_IN_SALT',   'put your unique phrase here(変更)');
define('NONCE_SALT',       'put your unique phrase here(変更)');

再起動する

https://docs.phpmyadmin.net/ja/latest/config.html#cfg_TempDir

全ての設定が終わりましたので、『Nginx』『MariaDB』『PHP』を個別で再起動させます。

全ての再起動でエラーが出なかった場合は、この時点でWordPressが使用可になります。

$ sudo service nginx restart
$ sudo service mysql restart
$ sudo service php7.3-fpm restart

PHPMyAdminのインストール

まずディレクトリを移動します。

次にhttps://www.phpmyadmin.net/からPHPMyAdminの最新版を入手し(2018/11/14現在、最新版は4.8.3)、展開します。

$ sudo wget https://files.phpmyadmin.net/phpMyAdmin/4.8.3/phpMyAdmin-4.8.3-all-languages.zip
$ sudo unzip phpMyAdmin-4.8.3-all-languages.zip

展開したディレクトリの名前をphpmyadminに変更し、ダウンロードしたzipを削除します。

$ sudo mv phpMyAdmin-4.8.3-all-languages phpmyadmin
$ sudo rm phpMyAdmin-4.8.3-all-languages.zip

PHPMyAdminディレクトリのパーミッションを変更します。

シンボリックリンク(ショートカットのようなもの)を作成します。

必要パッケージをインストールします。

sessionsディレクトリを追加します。

$ cd /var/lib/
$ cd php
$ sudo mkdir sessions
$ sudo chmod 777 sessions

作成できたか確認します。

$ ls -l
$ cd

php.iniを編集し、sessionsディレクトリを追加します。

php.ini
; pathを追加
session.save_path = "/var/lib/php/sessions"

PHPを再起動します。

エラーが無ければここでPHPMyAdminが使用出来るようになります。

次に『ドメイン名/phpmyadmin』にアクセスし、PHPMyAdminにログインします。

その後、『サーバ接続の照合順序』を『utf8mb4_general_ci』に変更しておきます。

PHPMyAdminの管理権限ユーザーを作成

ログイン時に『環境保管領域が完全に設定されていないため～』という警告が発生しているため、警告を消去するための設定を行います。

まずMariaDBにログインします。

次に『create_tables.sql』を使い、データベースを追加します。

確認を行い、『phpmyadmin』が存在していれば成功です。

『use』コマンドを使い、データベースを切り替えます。

テーブル内に『pma～』があるか確認します。

次にphpmyadminの管理権限ユーザーを作成します。

下記コマンド記載の『ここにpmapassを入力』は新しく自分でパスワードを設定して下さい。

次のコマンドをそのまま入力します。

テーブルを更新します。

MariaDBから離脱します。

その後PHPMyAdminにログインして『phpmyadminにログインして環境保管領域が完全に設定されていないため～』が消えていれば成功です。

config.inc.phpの編集と暗号化 (blowfish_secret) を設定

先程の警告以外にも『暗号化 (blowfish_secret) 用の非公開パスフレーズ』を要求する警告が表示されているので、こちらも対策を行います。

ディレクトリを移動し、コピーを行います。

$ cd /usr/share/phpmyadmin/
$ sudo cp config.sample.inc.php config.inc.php

編集します。

config.inc.php
/*
 * This is needed for cookie based authentication to encrypt password in
 * cookie
 */
$cfg['blowfish_secret'] = 'ここに何でも良いので適当な文字を入れる'; /* YOU MUST FILL IN THIS FOR COOKIE AUTH! */


/*
 * phpMyAdmin configuration storage settings.
 */
 
/* User used to manipulate with storage */
$cfg['Servers'][$i]['controlhost'] = '';
// $cfg['Servers'][$i]['controlport'] = '';
$cfg['Servers'][$i]['controluser'] = 'root';
$cfg['Servers'][$i]['controlpass'] = 'MariaDBのパスワードを入力';

/* Storage database and tables */
# コメントアウトを外す
$cfg['Servers'][$i]['pmadb'] = 'phpmyadmin';
$cfg['Servers'][$i]['bookmarktable'] = 'pma__bookmark';
$cfg['Servers'][$i]['relation'] = 'pma__relation';
$cfg['Servers'][$i]['table_info'] = 'pma__table_info';
$cfg['Servers'][$i]['table_coords'] = 'pma__table_coords';
$cfg['Servers'][$i]['pdf_pages'] = 'pma__pdf_pages';
$cfg['Servers'][$i]['column_info'] = 'pma__column_info';
$cfg['Servers'][$i]['history'] = 'pma__history';
$cfg['Servers'][$i]['table_uiprefs'] = 'pma__table_uiprefs';
$cfg['Servers'][$i]['tracking'] = 'pma__tracking';
$cfg['Servers'][$i]['userconfig'] = 'pma__userconfig';
$cfg['Servers'][$i]['recent'] = 'pma__recent';
$cfg['Servers'][$i]['favorite'] = 'pma__favorite';
$cfg['Servers'][$i]['users'] = 'pma__users';
$cfg['Servers'][$i]['usergroups'] = 'pma__usergroups';
$cfg['Servers'][$i]['navigationhiding'] = 'pma__navigationhiding';
$cfg['Servers'][$i]['savedsearches'] = 'pma__savedsearches';
$cfg['Servers'][$i]['central_columns'] = 'pma__central_columns';
$cfg['Servers'][$i]['designer_settings'] = 'pma__designer_settings';
$cfg['Servers'][$i]['export_templates'] = 'pma__export_templates';

上記の通りに編集後、PHPMyAdminにログインすれば警告が消えています。

PHPMyAdminのセキュア設定

PHPMyAdminにログインする時、そのままではセキュリティ上よろしくないため、URLの変更を行い、更にBasic認証を追加します。

これにより、多重アクセスの防止および二重認証でセキュリティ効果がアップします。

まずディレクトリに移動し、phpmyadminの存在を確認します。

$ cd /var/www/example.com/
$ ls -l

次に『mv』を使ってphpmyadminの名前を変更します(phpmyadminの次に書かれたワードが変更後の名前です)。

変更後の名前がURLアクセス時に使用するものとなります(例：ドメイン名/example)。$ sudo mv phpmyadmin example

変更後の名前を確認します。

次にBasic認証を追加します。

下記コマンド入力後にパスフレーズを聞かれるので新しく設定します。

そしてそのパスフレーズが暗号出力されます。

『暗号化前』と『暗号化後』は両方必要になりますのでメモしておきます。

Basic認証に使用するワードを設定します。

pma_pass
Basic認証に使うアカウント名(なんでも良い):暗号化後のパスフレーズ(アカウント名とパスフレーズの間に : が入っている事に注意)

Nginxのコンフィグファイルを編集し、Basic認証用の項目を追加します。

オプションでIPアドレスのallowとdeny allを加えると更にセキュリティが増します。

Basic認証はクッキーの都合上入れなくなるなど、ややこしくなる場合もあるので、使用したくない場合はIPのallowとdeny allを使用してもOKです。

example.com.conf
# phpmyadmin
location ^~ /example {
	# 許可したIPのみ入れるように
	# allow ここに許可するIPアドレスを入れる;
	# deny all; # allowされたIP以外全て拒否する

	auth_basic      "login";
	auth_basic_user_file    /etc/nginx/pma_pass;
	index index.php;

		location ~ \.php$  {
		include                  fastcgi_params;
		fastcgi_keep_conn on;
		fastcgi_index            index.php;
		fastcgi_split_path_info  ^(.+\.php)(/.+)$;
		fastcgi_param PATH_INFO $fastcgi_path_info;
		fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
		fastcgi_intercept_errors on;
		fastcgi_pass unix:/run/php/php7.3-fpm.sock;
		}

	}

Nginxを再起動します。

エラーが無ければ、次に『ドメイン名/phpmyadmin変更後の名前』でアクセスします。

するとBasic認証が機能し、アカウント名とパスワードの入力を求められます。

この時、『user』には『pma_passのアカウント名』、『password』には『pma_passのパスフレーズ(暗号化前)』を入力することでPHPMyAdminのページに移動することが出来ます。

SFTPの導入

FTPではファイルの通信時に暗号化が施されていないため、セキュリティ面で不安があります。

その際にSSH File Transfer Protocol(SFTP)を使用することで通信の暗号化を行い、セキュリティの強化を図ります。

シリーズ目次

記事内でのサンプルは『さくらVPS4G・Ubuntu14.04・Nginx・PHP7・MariaDB・Wordpress・+α』となっています。

• 【はじめに】高速で強力なWordPressサイトを構築する１

  簡単な説明のみ。次回から設定方法。

• 【インストール】高速で強力なWordPressサイトを構築する２

  今回の記事。『OS』『WEB』『DB』『WordPress』のインストール、『PHPMyAdmin』『FTP(SFTP)』の導入まで。

• 【サーバ高速化】高速で強力なWordPressサイトを構築する３

  『NginxとMariaDBのチューニング』『OPcache』『APCu』の導入。

• 【WP設定】高速で強力なWordPressサイトを構築する４

  導入推奨の『プラグイン』、『functions.php』などの設定。

• 【画像圧縮】高速で強力なWordPressサイトを構築する５

  『ImageMagick(Imagick)』『mozjpeg』『OptiPNG』『pngquant』の導入。

• 【SSL導入】高速で強力なWordPressサイトを構築する６

  『SSL(HTTPS・TLS)』の導入。サンプルは『LetsEncrypt』

• 【更に高速化】高速で強力なWordPressサイトを構築する７

  『WEBとDBの分離』『静的プロキシキャッシュサーバ』の構築。

• 【AMP導入】高速で強力なWordPressサイトを構築する８

  『Accelerated Mobile Pages(AMP)』の導入。

記事の執筆時、参考となった情報はここのtxtで公開しています。