Dotaz: Spouštění skriptu pod uživatelem openldap v Debianu Wheezy

[BigWrigley]

Dobrý den všem.

Chtěl bych periodicky spouštět skript pod uživatelem openldap v Debianu Wheezy. Což se dá snadno vyřešit několika způsoby. Je mi o to, který je z pohledu Debianu ten řekněme nejčistší. Účet openldap nemá platný shell, resp. má jako shell /bin/false. Uvažované možnosti:

1. Použít /etc/cron.daily a umístit skript sem, použít v skriptu su -l
   

   /bin/su -l openldap -s /bin/bash -c "/usr/sbin/slapcat -o ldif-wrap=no  -s cn=config -l /srv/dump/`hostname`_cn_config_`date +%Y%m%d_%H%M`.ldif" > /dev/null  2>&1 
   

2. Použít rootovský cron a volat stejný skript zde.
3. Nastavit uživateli openldap platný shell a nastavit mu cronjob
4. Vytvořit speciální účet, který bude mít jen ten cronjonb a pomocí sudo spouštět uvedený skript pod uživatelem openldap

IMHO je 4.  možnost asi nejčistší, ale chtěl bych znát i jiný názor. Berte to jako námět k diskusi.

Díky

Aleš Rygl

 

---

---

Odpovědi

[mhepp]

Dal bych prikaz do /etc/crontab. Zeptam se jinak, ma to byt mysleno jako zalohovani LDAP?

[BigWrigley]

Ano, tohle je dump konfigurace, ktera je pod cn=config. Tenhle server je jako zaloha, replikuji se na nej zmeny z jineho serveru. Obdobne dumpuji i vlastni data.

[alkoholik]

Tobe nefunguje slapcat pod rootem?

[BigWrigley]

Funguje. Ale problem nastane v momente, kdyz se do Berkeley DB zapisuje (replikace) a pod rootem probehne slapcat. I cteni totiz zpusobi zapis to transakcniho logu a ten zmeni vlastnika z puvodniho openldap na roota a DB razem crashne. A opravdu to tak je, stalo se mi to. Cili vsechny operace nad DB by mely bezet pod uctem openldap. Nebo se musi davat pozor a nasledne opravit prava. Coz ale u repliky dost dobre nejde. Pise se to take zde http://www.openldap.org/lists/openldap-software/200906/msg00039.html

[alkoholik]

Hmm, moc pekne.
A mas vlastne nejaky duvod dumpovat config, kdyz by mela stacit kopie /etc/ldap/slapd.*?

[BigWrigley]

Pravda, v pripade cn=config by stacila prosta kopie, ale pro data uz potrebuju ten dump.