Supervisor + fcgiwrap, как выставить владельца (owner) на unix-socket?

Question

[Евгений Вольф]

Доброго времени суток, уважаемые!

Дано: Docker + Linux + supervisor + fcgiwrap. Необходимо запустить fcgiwrap, указать unix-socket и назначить на него права. Системы инициализации разумеется нет, по сему используется supervisor, конфиг:

[program:fcgi-wrap]
command=/usr/sbin/fcgiwrap -s unix:/var/run/hello.sock
process_name=%(program_name)s_%(process_num)02d
numprocs=1
autostart=true

В таком режиме работает, сокет создаётся, но владельцем/группой оного получается root. Пробовал как пишут тут, в т.ч. так как пишут в ответе, если сокет уже был создан ранее - fcgiwrap не запускается (вылетает с ошибкой, что не может закрыть сокет), в другом варианте - он просто игнорирует сокет (что в принципе ожидаемо).

Пытался скормить ему переменные окружения, и через supervisor и через ENV в Dockerfile'е... В man'е написано:

Most probably you will want to launch fcgiwrap by spawn-fcgi using a configuration like this

Только не написано, где этот самый конфигурационный файл должен лежать и как его скормить fcgiwrap'у?

Подскажите пожалуйста, как передать fcgiwrap'у параметры (пользователя:группу + права) под которыми должен быть создан unix-сокет в supervisor'e?

Answer 1

[Vladislav Klimanov]

Не понял причем тут docker и supervisord.
Вы запускаете докер-контейнер и внутри него supervisor? Или supervisor'ом запускаете docker-контейнер и fcgiwrap?
Чем вас не устраивает root в качестве владельца сокета, если это внутри контейнера?

Если supervisor и fcgiwrap внутри контейнера, то просто укажите от какого юзера запускать контейнер со всем этим через "docker run --user".
Так же вы можете в конфиг supervisor добавить сам сокет и права на него, а в command указать fcgiwrap какой сокет использовать.

[program:fcgi-wrap]
command=/usr/sbin/fcgiwrap -s unix:/var/run/hello.sock
process_name=%(program_name)s_%(process_num)02d
numprocs=1
autostart=true
user = some_user
socket = unix:///var/run/hello.sock
socket_owner = some_user:some_group
socket_mode = 0770

Comments

[Евгений Вольф]

Не понял причем тут docker и supervisord.

Внутри докер-контейнера работает supervisor, который запускает fcgiwrap.

Так же вы можете в конфиг supervisor добавить сам сокет и права на него, а в command указать fcgiwrap какой сокет использовать.

Так я пробовал, не работает:

web_1  | 2019-01-29 16:01:48,004 INFO success: fcgi-wrap_00 entered RUNNING state, process has stayed up for > than 0 seconds (startsecs)
web_1  | Failed to bind: Permission denied
web_1  | 2019-01-29 16:01:48,007 INFO exited: fcgi-wrap_00 (exit status 1; not expected)
web_1  | 2019-01-29 16:01:48,007 INFO exited: fcgiwrap (exit status 1; not expected)
web_1  | 2019-01-29 16:01:48,007 INFO Closing socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 16:01:49,022 INFO Creating socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 16:01:49,024 INFO spawned: 'fcgiwrap' with pid 17
web_1  | 2019-01-29 16:01:49,030 INFO exited: fcgiwrap (exit status 1; not expected)
web_1  | 2019-01-29 16:01:49,030 INFO Closing socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 16:01:51,033 INFO Creating socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 16:01:51,035 INFO spawned: 'fcgiwrap' with pid 18
web_1  | 2019-01-29 16:01:51,046 INFO exited: fcgiwrap (exit status 1; not expected)
web_1  | 2019-01-29 16:01:51,046 INFO Closing socket unix:///var/run/hello1.sock

и так до бесконечности, если не остановить...

[Vladislav Klimanov]

а что в логах fcgiwrap?
судя по вашему логу supervisor создает сокет(убедитесь что с нужными вам правами), но fcgiwrap не может его использовать

[Евгений Вольф]

Vladislav Klimanov, supervisor создаёт сокет, с теми правами с которыми мы собственно и просили:

srwx------ 1 www-data www-data    0 Jan 29 17:47 hello1.sock

Логов человеческих у fcgiwrap я на нашел, но вот что он выводит в STDERR:

web_1  | 2019-01-29 18:05:56,260 INFO Creating socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 18:05:56,263 INFO spawned: 'fcgiwrap' with pid 11
web_1  | 2019-01-29 18:05:56,266 INFO spawned: 'fcgi-wrap_00' with pid 12
web_1  | Failed to bind: Address already in use
web_1  | 2019-01-29 18:05:56,276 INFO success: nginx_00 entered RUNNING state, process has stayed up for > than 0 seconds (startsecs)
web_1  | 2019-01-29 18:05:56,277 INFO success: php-fpm_00 entered RUNNING state, process has stayed up for > than 0 seconds (startsecs)
web_1  | 2019-01-29 18:05:56,277 INFO success: fcgi-wrap_00 entered RUNNING state, process has stayed up for > than 0 seconds (startsecs)
web_1  | 2019-01-29 18:05:56,284 INFO exited: fcgiwrap (exit status 1; not expected)
web_1  | 2019-01-29 18:05:56,285 INFO Closing socket unix:///var/run/hello1.sock
web_1  | spawn-fcgi: child spawned successfully: PID: 13
web_1  | 2019-01-29 18:05:56,384 INFO exited: fcgi-wrap_00 (exit status 0; expected)
web_1  | 2019-01-29 18:05:57,386 INFO Creating socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 18:05:57,387 INFO spawned: 'fcgiwrap' with pid 18
web_1  | Failed to bind: Address already in use
web_1  | 2019-01-29 18:05:57,392 INFO exited: fcgiwrap (exit status 1; not expected)
web_1  | 2019-01-29 18:05:57,392 INFO Closing socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 18:05:59,394 INFO Creating socket unix:///var/run/hello1.sock
web_1  | 2019-01-29 18:05:59,396 INFO spawned: 'fcgiwrap' with pid 19
web_1  | Failed to bind: Address already in use
web_1  | 2019-01-29 18:05:59,402 INFO exited: fcgiwrap (exit status 1; not expected)
web_1  | 2019-01-29 18:05:59,402 INFO Closing socket unix:///var/run/hello1.sock

P.S. fcgiwrap пробовал запускать как из под root'а так и из-под www-data (пользователя, которому сокет собственно и принадлежит).

[Vladislav Klimanov]

Вы вынуждены использовать fcgiwrap для запуска CGI-программ? FastCGI с вам не подойдет? (и соответственно использовать современные инструменты, как например php-fpm)

Для CGI в люди в интернете рекомендуют fcgiwrap запускать под spawn-fcgi :)

[Евгений Вольф]

Vladislav Klimanov, пытаюсь прикрутить Git и ещё пару программ которых в FCGI-варианте, к сожалению, нет...

Для CGI в люди в интернете рекомендуют fcgiwrap запускать под spawn-fcgi :)

После нескольких часов поисков, я тоже нашел информацию про него... через него попробовал, работает, но пока не до конца понимаю как и почему (и зачем там нам ещё 1 лишний слой в виде spawn-cgi). Ну да ладно, думаю вопрос можно закрыть, спасибо за помощь!

[Евгений Вольф]

Vladislav Klimanov, решил вопрос ещё проще, прикрутил всё это дело к Apache'у... Там есть встроенный CGI-сервер. Ещё раз спасибо Вам за внимание.

P.S. Пишу на случай, если кто-то найдет вопрос в поиске, возможно пригодится мой альтернативный вариант.