Как правильно сделать перезагрузку веб-сервера?

Question

[Артем Грибков]

Проект деплоится на сервер с помощью capistrano юзером "deployer", у которого нету прав на перезагрузку веб серверов. Права есть только у рута, соотвественно сейчас, чтобы перезагрузить сервер приходится по ssh руками это делать под рутом.
Так вот как правильно перезагружать в такой ситуации сервак без прямого вмешательства?

Как вариант давать юзеру "deployer" права через visudo и загонять в капистрано таск с коммандой по перезагрузке? Но правильно ли это будет с точки зрения безопасности?

Answer 1

[Алексей Уколов]

Как вариант давать юзеру "deployer" права через visudo и загонять в капистрано таск с коммандой по перезагрузке? Но правильно ли это будет с точки зрения безопасности?

На мой взгляд - нормальное решение. Только права давать исключительно на reload, но не на restart.

Answer 2

[Константин Грачев]

Правильнее дать пользователю deployer права на перезагрузку nginx без доступа к sudo.
Либо запустить ещё один nginx от deployer и перезагружать сколько вздумается, а первым nginx'ом проксировать запросы на второй.
P.S. А необходимость в перезапуске nginx'a после деплоя точно есть?

Comments

[Илья Ерохин]

Обычно есть, в больших проектах nginx много чего разруливает, его конфиг нередко генерируется чем-то типа Gulp

Answer 3

[sim3x]

Делаешь скрипт, в котором перечисляешь все операции от рута
Добавляешь в судоерс права пользователю деплой на запуск данного скрипта

deployer ALL = (root) NOPASSWD: /path/to/my/program

Дергаешь скрипт из CI

Тут другое плохо - можешь "не заметить", что скрипт криво отработал и у тебя на продакшене ничего нет
Так что руками делать все равно придется

Answer 4

[Илья Ерохин]

Если на сервере деплоится один проект - я вообще не вижу причин заморачиваться с юзерами и бояться деплоя от рута. Если юзер от которого выполняется деплой может завалить этот самый деплой - зачем бояться за остальные потроха сервера?