Как дать пользователю возможность добавлять cron-задачи?

Question

[silentvick]

Есть сервер с Ubuntu 12.04. При попытке добавить задание в cron от непривилегированного пользователя получаю ошибку доступа:

$ crontab -e
crontabs/user/: fdopen: Permission denied

Права на crontab-файл стандартные, но, возможно, проблема с этим как-то связана:

# ls -l /usr/bin/crontab
-rwxr-xr-x 1 root root 35896 Jun 20  2012 /usr/bin/crontab

Список cron-файлов:

ls -l /var/spool/cron/crontabs/
total 4
-rw------- 1 root root 1563 Jul  7 12:04 root

Почему пользователь не может писать в свой cron и как дать ему такую возможность?

Answer 1

[Rsa97]

Пользовательские файлы cron размещаются в /var/spool/cron/crontabs
Проверьте права на эту папку, должен быть доступ для группы crontab.
Пользователь тоже должен входить в группу crontab.

$ sudo ls -l /var/spool/cron/
итого 12
drwxrwx--T 2 daemon daemon  4096 апр.   1  2013 atjobs
drwxrwx--T 2 daemon daemon  4096 июня  11  2012 atspool
drwx-wx--T 2 root   crontab 4096 июля  13 11:25 crontabs

sudo ls -l /var/spool/cron/crontabs
итого 4
-rw------- 1 rsa crontab 1104 июля  13 11:28 rsa

Comments

[silentvick]

Там пусто. Я так понимаю, cron сам должен эти файлы создавать при вызове "crontab -e". Не вручную же их добавлять.

[Rsa97]

silentvick: Да, файл создаётся crontab'ом. Проверьте права на каталог crontabs.

[silentvick]

Права такие:

$ ls -l /var/spool/cron/
total 12
drwxrwx--T 2 root root 4096 Mar 15  2012 atjobs
drwxrwx--T 2 root root 4096 Oct 25  2011 atspool
drwx-wx--T 2 root root 4096 Jul  7 12:04 crontabs

[Rsa97]

$ sudo chown :crontab /var/spool/cron/crontabs

[silentvick]

Rsa97: да, спасибо, это помогло. Ну, еще пришлось добавить пользователя в crontab-группу. Странно, откуда такие права взялись. Хотите изменить свой ответ, чтобы я пометил его верным?

Answer 2

[Эргил Осин]

Права у вас как-то странно поехали.
Пример с машины которая обновляется с 9.04(сейчас на ней 14.04)

drwx-wx--T 2 root crontab 4096 Aug 15 2012 crontabs

ls -la /usr/bin/crontab
-rwxr-sr-x 1 root crontab 34824 Feb 9 2013 /usr/bin/crontab

С таким раскладом пользователю нет нужды быть в группе crontab, за счет SGID-бита на бинарнике.
Вот это - дефолтный вариант, права точно никогда не правились.
Может вы зачем-то их крутили, но не помните или кто-то еще сервера касался за прошедшие годы?

Comments

[silentvick]

Проверил, действительно работает как надо при таких правах. А сервер этот мне относительно недавно "достался" и история его мне практически неизвестна :)

[silentvick]

А на at (/usr/bin/at) не скинете настройки? А то у меня с ним тоже затык.

[Эргил Осин]

ls -la /usr/bin/at
-rwsr-sr-x 1 daemon daemon 51464 Oct 21 2013 /usr/bin/at

drwxrwx--T 1 daemon daemon 8 Apr 15 2014 atjobs
drwxrwx--T 1 daemon daemon 0 Oct 21 2013 atspool

[Эргил Осин]

У меня вот так.

[Эргил Осин]

silentvick: ну если история неизвестна, то видать предшественник с правами играл.

[silentvick]

Спасибо! Восстановил настройки по вашим, все работает.

[Эргил Осин]

silentvick: да не за что, рад был помочь. С другой стороны, если права на кронтаб и ат были изменены, то и в других местах могут всплывать проблемы, будьте начеку.