Как запустить bash скрипт от другого пользователя?

Question

[Alex]

Как правильно запустить скрипт от другого пользователя?
Нужно вызвать скрипт из php. Apache запускается от пользователя apache.

Скрипт лежит в /home/adminsa/check.sh
Выдал права 777

в sudoers прописал:

Cmnd_Alias BASH_THING = /bin/bash /home/adminsa/check.sh
%apache ALL=NOPASSWD:  BASH_THING

Выполняю и получаю ошибку Permission denied

root@ansible etc]# sudo -u apache /bin/bash /home/adminsa/check.sh 
/bin/bash: /home/adminsa/check.sh: Permission denied

Права сразу применяются или что то нужно сделать?

Comments

[Ипатьев]

"Выдал права 777" кому? Файлу? А на папку adminsa какие права? Правильно - никаких. То есть внутри чужой домашней папки давать 7 не имеет ни малейшего смысла
И зачем давать всем читать и писать в этот файл, если нужно только исполнение?

sudo -u apache ну так вы и выполняете эту команду под апачем, а не под рутом. Впрочем, под рутом всё равно не стоит.

Нельзя этот скрипт положить в любую другую папку, доступную всем? Чтобы запускать не из-под рута?

[Alex]

Ипатьев,
Выдал 777 файлу /home/adminsa/check.sh, чтобы не возникала сейчас вопросов с правами на файл.
Мне и нужно выполнить из под apache.
В другую папку положить нельзя. Я думал смысл sudoers как раз в том чтобы давать конкретные права на определенные файлы и директории определенным пользователям.

[Ипатьев]

Читать надо не отдельные слова, а целиком предложения. 777 - это не волшебное заклинание, которое автоматически решает все проблемы с правами. Оно, во-первых, вообще никак не поможет, потому что прав на папку /home/adminsa/ всё равно нет. А во-вторых, пермишены тут совсем не при чём. Оставьте их как были.

Чтобы выполнить скрипт из чужого домашнего каталога, вы должны в sudoers указать этого пользователя.
Что-то вроде
apache ALL=(adminsa) NOPASSWD: /bin/bash /home/adminsa/check.sh

[Alex]

Ипатьев, спасибо, дошло.
добавил пользователя apache в группу adminsa
/home/adminsa - дал права на запуск группы adminsa

[Михаил Ливач]

Alex, вот только теперь любой, кто имеет доступ к Апачу, имеет доступ и к Вашим файлам. Поэтому надо быть уверенным, что среди них нет ничего важного - приватных ключей, или каких-то паролей.
Вы уверены, что правильно подошли к решению задачи? PHP можно запускать и из консоли. А ещё есть такое решение, как wget , если уж без Апача не обойтись

[hint000]

Alex,

Выдал права 777

добавил пользователя apache в группу adminsa

Ядрёное сочетание. То, что нужно для взлома сервера.

[AUser0]

Если уж apache находится в группе adminsa - тогда и права на .sh скрипт ставьте правильные 350, тобиш rw-r-x---.

[сергей кузьмин]

В другую папку положить нельзя. - почему карл ?

cat a.sh 
#! /bin/sh
echo 'x'

sudo cp ./a.sh /usr/local/bin/
sudo chown sergueik /usr/local/bin/a.sh

find /usr/local/bin/ -not -user root 
/usr/local/bin/a.sh

a.sh
x

Answer 1

[djv57]

Проверьте пользователя apache командой
sudo сat /etc/passwd | grep apache
Скорее всего, этот пользователь не может запускать скрипты.

Comments

[djv57]

Правильнее так
sudo сat /etc/passwd | grep apache

[сергей кузьмин]

djv57,
вообще то
ls -l /etc/passwd

-rw-r--r-- 1 root root 2770 Jul  9 02:34 /etc/passwd