Dotaz: Red hat 7.6 nefunguje odchozi SSH spojeni v Perlovem scriptu cronovano pod apache userem s nologin shellem

[Tomas]

Zdravim lidi,

prosim poradte jak na Red Hat 7.6 sprovoznit odchozi SSH spojeni v Perlovem skriptu, ktery je cronovan pod apache userem. Apache user pouziva nologin shell. Pri spustenim pod normalnim userem nebo rootem vsechno jde jak ma. Pri nacronovani pod apache userem to proste nejede a nevim proc. Skousel jsem uz pridat .ssh adresar do domovskeho adresare (/usr/share/httpd), ale nepomohlo. ssh-keygen taky skonci s chybou. Predem diky za postrehy.

Odpovědi

[NN]

V logu cronu to vypada jak?

[Tomas]

Zdravim,

Soubor /var/log/cron neobsahuje nic podezrele: Jul 24 17:48:01 myservername CROND[4335]: (apache) CMD (/cesta/ke/skriptu && /usr/bin/perl skript.pl)

[Tomas]

oprava: Jul 24 17:48:01 myservername CROND[4335]: (apache) CMD (/bin/cd /cesta/ke/skriptu && /usr/bin/perl skript.pl)

[NN]

To vypada v poradku. Ma uzivatel apache pravo na to co je obsahem skriptu? Mohl by jsi na konec pridat:

/bin/cd /cesta/ke/skriptu && /usr/bin/perl skript.pl > /usr/share/apache/skript.log 2>&1

Pripadne pridat do skriptu nejake primitivni logovani?

[Tomas]

Zdravim,

basic logika uz je v skriptu. Kdyz je odpoved z SSH dotazu prazdna, vypis ze se stazeni dat nepovedlo. Tak mam vystupni soubor plny oznameni, ze se ssh querry nepovedlo misto ocekavanych hodnot. Netusim zda apache s nologin shellem muze delat SSH relaci. Patrne ne. Ani pan Google neni prilis sdilny na odpovedi.

[GeorgeWH]

Tak cron spusti pod rootom a pouzi su:

su - httpd -s /bin/sh -c "/cesta/k/skriptu ..."

[Tomas]

Zdravim,

Dik, zkusim to zitra, ale obavam se, ze by to mohlo fungovat leda na Debianu. Tohle je Red Hat a do apache usera se neda prihlasit ani pres su (ma nologin shell).

[Tomas]

Zatim jsem to nacronoval pod rootem (bez su), tam to bezi bez problemu. Taky pod beznym userem to jde, jenom pod apache ne.

[NN]

Jeste by se do toho mohl plest selinux, apparmor etc.

[Tomas]

Zdravim,

SELINUX ani jina ohavnost tam nebezi.

[GeorgeWH]

Praveze na CentOS to takto robim pre systemovych userov, ktori nemaju shell.

Ano, cez su sa neda switchnut, pretoze nema shell, preto mu ho treba nastavit cez argument:

# getent passwd apache
apache:x:48:48:Apache:/usr/share/httpd:/sbin/nologin
# su - apache
Last login: Thu Jul 25 01:10:05 CEST 2019 on pts/0
This account is currently not available.
# su - apache -s /bin/sh
Last login: Thu Jul 25 01:10:21 CEST 2019 on pts/0
-sh-4.2$ id
uid=48(apache) gid=48(apache) groups=48(apache)

[Tomas]

Zdravim,

tak jsem to skusil a vyslo mi z toho, ze na zmenu shellu pro apache usera to musim cronovat pod rootem, takze to vlastne nema smysl. Ja bych rad cronoval pod apache userem a take pod nim bezel. Cca 20 dalsich skriptu mi tak funguje, tahaji data z Oraclu anebo z ruznych API obousmerne, tenhle je prvni kde taham data pres SSH. Skript spousteny nebo cronovany pod rootem funguje bez problemu.

Muze si nejak docasne (vramci prikazu v CRONu) zmenit shell primo sam apache user?

Diky za postrehy, vazim si vasi snahy i kdyz to tak nemusi vypadat

[GeorgeWH]

Muze si nejak docasne (vramci prikazu v CRONu) zmenit shell primo sam apache user?

A rovno si aj zmenit uid na 0 :).

Relativne skarede riesenie by bolo tesne pred spustenim apache cronu spustit root cron, ktory mu zmeni shell a po skonceni to vratit spat.

[Tomas]

To by samozrejme slo, jenze proc? To nic neresi a uz ted to jde pod rootem. Spis me napadlo pouzit na spusteni SSH prikazu misto backticks `ssh -q -i rsa.key -l myuser "remote command blabla"`v Perlovem kodu neco jineho, napriklad system("ssh -q -i rsa.key -l myuser "remote command blabla"") ktery by mozna nevyzadoval shell pre apache usera ... to me jenom tak napada, zkusim to az v pondeli.