Как выдать права на запуск определенного приложения пользователю?

Question

[Огнеупорный Таракан]

Привет!

Хочу, чтобы пользователь user мог перезапускать процесс nginx (т.е. делать sudo service nginx reload | restart). Выдавать остальные права ему нельзя.

Вариант с помещением его в sudo или установкой SELinux не подходит :)

(ubuntu)

Comments

[sim3x]

Зачем юзеру перезапускать nginx?

[Огнеупорный Таракан]

sim3x, это пользователь CI

[sim3x]

Огнеупорный Таракан, тогда как юзер будет деплоить не от своего имени chown/chmod etc?

[Огнеупорный Таракан]

Он владелец этой папки. Смотрит туда, заливает файлы, удаляет.

[Огнеупорный Таракан]

Наверно придется немного расширить описание вопроса. В общем, есть gitlab-runner. Есть репозиторий с конфигами разных сервисов. Например от nginx, mysql, redis etc.. И он должен после заливки всех конфигов в папку применить их. Как уже заметил paran0id, возможно, я делаю что-то не так. Но пока других решений не придумал =)

[paran0id]

Огнеупорный Таракан, можно по-разному сделать. Можно ансибл дёргать, можно по incron дёргать скрипт, перезапускающий что надо от рута, например.

[Огнеупорный Таракан]

paran0id, incron очень интересная софтина. Надо глянуть.
А вообще, вариант с запуском nginx от пользователя надо тоже рассмотреть и проверить.

Answer 1

[Vitaly Karasik]

А чем sudo не нравится? Он как раз для этого и предназначен.

вот подробнее на русском https://white55.ru/sudo.html

Для существующих в системе групп пользователей можно также разрешать выполнение отдельных команд или групп команд:

%users localhost=/sbin/shutdown -h now - разрешить локальным пользователям выключение компьютера.

%operators ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom - разрешить членам группы “operators” монтирование и размонтирование указанных устройств.

Comments

[Огнеупорный Таракан]

Не хочу давать права пользователю, которому они по-сути не нужны. CI – не человек. В репозиторий можно запушить все, что угодно =)

[Руслан Федосеев]

команда sudo предназначена для повышения прав

Настройте - пропишите пользователю разрешение на конкретную команду и все. Кто ж вас заставляет ему все разрешать?

[Огнеупорный Таракан]

Руслан Федосеев, В этом и вопрос: как?)

[Руслан Федосеев]

кхм. А читать документацию вы не пробовали???
90% комментариев в дистрибутивном sudoers этому посвящено

[Vitaly Karasik]

Огнеупорный Таракан, вот на русском https://white55.ru/sudo.html

Для существующих в системе групп пользователей можно также разрешать выполнение отдельных команд или групп команд:

%users localhost=/sbin/shutdown -h now - разрешить локальным пользователям выключение компьютера.

%operators ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom - разрешить членам группы “operators” монтирование и размонтирование указанных устройств.

[Огнеупорный Таракан]

Vitaly Karasik, вынеси плиз в отдельный ответ, отмечу решением (костыль, а что поделать, пока так)

Answer 2

[paran0id]

А почему не подходит?

Можно поставить 750 на бинарник nginx и добавить пользователя в группу-владельца, и запускать в обход systemd. Или acl прописать на бинарник. Но вообще, мне кажется, вы что-то неправильное хотите сделать.

Comments

[Огнеупорный Таракан]

Группа-владелец root. Думаешь стоит его туда помещать? Это безопасно? (не стеб, для информации)

Или acl прописать на бинарник

Расскажи как?

[paran0id]

Огнеупорный Таракан, в целом это, конечно, дичь какая-то. Но вообще лучше запускать nginx как раз не от рута.

https://wiki.archlinux.org/index.php/Access_Contro...