https://yn-labs.com/tags/podman/Recent content in Podman on 万屋猫LabsHugojaMon, 15 Jun 2026 10:00:00 +0900https://yn-labs.com/posts/ansible-homelab-iac/Mon, 15 Jun 2026 10:00:00 +0900https://yn-labs.com/posts/ansible-homelab-iac/<h2 id="自宅サーバを丸ごとコードにした話">自宅サーバを丸ごとコードにした話</h2> <p>自宅サーバ（homelab）で AI エージェント基盤を動かすために、コンテナランタイム、ネットワーク分離、暗号化DNS、カーネル緩和、監査ログまで一通り手で組んだ。動くには動いたのだが、ひとつ不安が残った。OS を入れ直したとき、同じものをもう一度作れる自信が無かったのだ。どこをどう直したか、どのセキュリティ設定を入れ忘れているか、結局は頭の中にしか無い。</p> <p>それで、構築手順そのものを Ansible に落とした。最終的に9ロール・約3,900行になった。手順をコードにしただけではなくて、「危険な設定なら構築を止める」ところまで踏み込んでいる。空の許可リストや古い Podman で進もうとすると、playbook が走り出す前に <code>assert</code> が落とす。</p> <p>この記事では、その構成（rootless Podman + Quadlet による多層防御 homelab）を抜粋して紹介する。実環境のホスト名・IP・ユーザ名・トークン・コンポーネント名のたぐいは伏せるか一般化し、コードも要点を示す抜粋にしてある。固有名が絡むところは変数名やファイル名を一般化し、汎用的で機微に関わらないところは実物に近い形で残した。</p> <h3 id="数字で見た中身">数字で見た中身</h3> <p>実環境の中身は出せないので、代わりにコードの規模で示す。以下はこの Ansible 構成を実測した値だ。</p> <table> <thead> <tr> <th>指標</th> <th>値</th> </tr> </thead> <tbody> <tr> <td>Ansible ロール数</td> <td>9</td> </tr> <tr> <td><code>roles/*/tasks/main.yml</code> 総行数</td> <td>3,898</td> </tr> <tr> <td>fail-closed な <code>assert</code> 箇所</td> <td>13</td> </tr> <tr> <td>分離ネットワーク（内部用 / 外部egress用）</td> <td>2</td> </tr> <tr> <td>Quadlet コンテナユニット</td> <td>8</td> </tr> </tbody> </table> <h2 id="全体構成">全体構成</h2> <pre tabindex="0"><code>┌─────────────┐ ansible-playbook ┌──────────────────────────────┐ │ 司令ホスト │ ───── over SSH ─────▶ │ 本番ホスト (target) │ │ (operator) │ apply --tags … │ │ └─────────────┘ │ ┌────────────────────────┐ │ │ │ bootstrap: OS/pkg/UFW │ │ │ │ /DoT/helpers │ │ │ ├────────────────────────┤ │ │ │ podman 5.x rootless │ │ │ │ + cgroup v2 + Quadlet │ │ │ ├──────────┬─────────────┤ │ internal-net ◀─────────────────────┼──│ policy / │ notification │ │ （サービス間） │ │ LLM 系 │ / relay │ │ 外部 API ◀──────────────────────────┼──│ gateway │ │ │ │ ├──────────┴─────────────┤ │ │ │ audit: ログ収集+署名付死活 │ │ │ └────────────────────────┘ │ └──────────────────────────────┘ </code></pre><p>役割は9つのロールに分けている（名前は一般化したもの）。</p>