Настройка повышенных прав доступа

Установка и настройка / Основные элементы АппОптима / АппОптима / Конфигурация / Настройка повышенных прав доступа

По умолчанию управляемый кластер АппОптима использует sudo для повышения разрешений для определенных операций обслуживания, и вам не нужно выполнять какие-либо дополнительные действия при запуске установки с целью настройки пользователей, разрешений и служб. Однако, если sudo недоступен в вашей ОС или вам необходимо использовать альтернативную команду для повышения разрешений, вы должны указать их во время установки.

• В интерактивном режиме, когда вас спросят о повышенных разрешениях, передайте префикс команды, включая программу, например pbrun, sesudo и suexec
• В тихом режиме этот параметр можно указать через настраиваемую установку

Примечание. Во всех примерах команд на этой странице предполагается следующее:

• appoptima(по умолчанию) — это пользователь, который запускает все службы ОС АппОптима.
• АппОптима установлен в /opt/appoptima-АппОптима/
• Данные расположены в директории /var/opt/appoptima-АппОптима/

Если ваша конфигурация отличается, измените свои действия соответствующим образом.

Когда требуются повышенные разрешения

Пользователю ОС, запускающему управляемые службы АппОптима, требуются повышенные разрешения для выполнения следующих задач:

• Запуск сценария установки или перенастройки
• Добавка или удаление ноду кластера
• Запуск, останавка, перезапуск и проверка состояния служб

Полный список команд, требующих повышенных разрешений, находится в файле /opt/dtrun/dtrun.conf. Директория /opt/dtrun и все файлы внутри принадлежат пользователю root по соображениям безопасности.

Перенастройка команду dtrun sudo

Чтобы упростить управление разрешениями ОС, АппОптима использует один скрипт для запуска всех команд, требующих повышенных разрешений. Сценарий под названием dtrun представляет собой оболочку для sudo или любой другой команды, которую вы должны указать во время установки. Файл dtrun находится в директории /opt/dtrun/dtrun, и все команды, которые исполняются файлом dtrun, находятся в директории /opt/dtrun/dtrun.conf. Исполняться могут только скрипты и команды в директории /opt/dtrun/dtrun.conf can be run.

Если кластеру необходимо выполнить команду от имени пользователя root (например, чтобы добавить iptables, перезапустить компонент или запустить средство обновления), он будет использовать набор SUDO_COMMAND во время установки, чтобы попытаться получить повышенные разрешения. Вы также можете искать проблемы в лог-файле /var/opt/appoptima-АппОптима/log/dtrun.log.

Если вам нужно перенастроить существующую установку для использования альтернативы sudo, вы можете запустить сценарий перенастройки. Например, чтобы изменить команду sudo на pbrun, используйте этот скрипт для повторного запуска программы установки:

sudo /opt/appoptima-АппОптима/installer/reconfigure.sh --sudo-cmd "/usr/bin/pbrun \$CMD"

Исправление неполадок

Неправильно настроенные разрешения могут привести к различным проблемам, например, с АппОптима АппОптима или сетью. Если есть проблема с разрешениями, вы увидите такие записи в журнале установки, как:

<sudo: pam_open_session: System error
sudo: policy plugin failed session initialization

Также вы увидите проблемы в этих журналах:

• /var/opt/appoptima-АппОптима/log/dtrun.log (логи dtrun)
• /var/opt/appoptima-АппОптима/log/launch-logging.log (логи скриптов запуска служб)

При устранении неполадок с sudo или повышенными разрешениями лучший подход — запустить всю конфигурацию сразу и сравнить. Под пользователем root все приведенные ниже команды должны генерировать вывод:

<cat /etc/sudoers | grep -i include
cat /etc/sudoers.d/appoptima

su - appoptima-s /bin/bash -c 'sudo /opt/dtrun/dtrun iptables -L -n'

cat /etc/sudoers | grep appoptima
cat /etc/passwd | grep appoptima
cat /etc/shadow | grep appoptima

chage -l appoptima

Команда chage сообщает вам, истекает ли срок действия пароля (это также может вызвать проблемы с доступом к sudo). Когда вы выполняете дополнительные проверки безопасности, чтобы контролировать, что разрешено выполнять dtrun, вы можете легко узнать, работает ли sudo должным образом, выполнив следующую команду от имени пользователя root:

su - appoptima -s /bin/bash -c 'sudo /opt/dtrun/dtrun service appoptima-server status'

Следующая команда является примером проверки повышения разрешений с помощью альтернативы sudo, pbrun:

su - appoptima -s /bin/bash -c 'pbrun /opt/dtrun/dtrun service appoptima-server status'