Least Privilege(最小特権機能)でApache2を完全に非特権ユーザで実行する。～Solaris User

【検証環境】
# more /etc/release
                         Solaris 10 3/05 s10_74L2a SPARC
           Copyright 2005 Sun Microsystems, Inc. All Rights Reserved.
                        Use is subject to license terms.
                            Assembled 22 January 2005
# uname -a
SunOS s10test 5.10 Generic sun4u sparc SUNW,Ultra-5_10

【Apache2の起動】

とりあえずSolaris10に標準で入っているApache2がSMF環境で正しく動くか確認してみる。
Apache2のバージョンは2.0.52のようだ。
# /usr/apache2/bin/httpd -v
Server version: Apache/2.0.52
Server built:   Jan 8 2005 01:51:11

まぁ設定ファイルの場所などは想像できるが、
以下のコマンドでApache2サービスの起動スクリプトを確認してみる。

# svcprop -p start/exec apache2
/lib/svc/method/http-apache2\ start

というわけで上記ファイルの中身を確認すると、
予想通り/etc/apache2/httpd.confが設定ファイルだね。

# more /lib/svc/method/http-apache2
#!/sbin/sh
...
...
APACHE_HOME=/usr/apache2
CONF_FILE=/etc/apache2/httpd.conf
PIDFILE=/var/run/apache2/httpd.pid
...
...

というわけで設定ファイルを作成しましょ。
いつも通りテンプレートをコピーしてServerNameくらいは変更しましょうか。
ちなみにSolaris10のApache2は実行ユーザ、グループはwebservd(80)の権限で動く。
(80番ポートをバインドするメインのデーモンはデフォルトではroot権限)

# cd /etc/apache2
# ls
highperformance-std.conf httpd.conf-example        ssl-std.conf
highperformance.conf      magic                     ssl.conf
httpd-std.conf            mime.types
# cp httpd.conf-example httpd.conf
# vi httpd.conf
...
User webservd
Group webservd
...
ServerName s10test <--- 適当に修正

httpd.confの修正をしたら、あとは以下のようにapache2サービスの起動をする。
→ サービスの起動方法の説明はこちら

# svcadm enable apache2
# svcs -a | grep apache2
online         17:30:38 svc:/network/http:apache2

# svcs -p apache2
STATE          STIME    FMRI
online         17:30:38 svc:/network/http:apache2
               17:30:38      842 httpd
               17:30:39      843 httpd
               17:30:39      844 httpd
               17:30:39      845 httpd
               17:30:39      846 httpd
               17:30:39      847 httpd

# ps -ef | grep httpd
webservd   845   842   0 17:30:39 ?           0:00 /usr/apache2/bin/httpd -k start
    root   842     1   0 17:30:38 ?           0:00 /usr/apache2/bin/httpd -k start
webservd   847   842   0 17:30:39 ?           0:00 /usr/apache2/bin/httpd -k start
webservd   846   842   0 17:30:39 ?           0:00 /usr/apache2/bin/httpd -k start
webservd   844   842   0 17:30:39 ?           0:00 /usr/apache2/bin/httpd -k start
webservd   843   842   0 17:30:39 ?           0:00 /usr/apache2/bin/httpd -k start

上記のように通常起動は確認できた。
これからが本題で上記のrootで実行されているプロセスを
Solaris10のLeast Privilege機能を使ってwebservdで実行するように変更する。

【Least Privilege機能の適用】

まずapache2のmanifestに以下のようにエントリを追加する。
net_privaddr特権は特権付きポート番号にバインドできるようにします。
特権付きポート番号は 1 ～ 1023 の番号を持つポート(従来の UNIX 特権付きポート) と、"udp/tcp_extra_priv_ports" とマークされているポート (NFS で使用するために予約されているポートを除く) です。
→ Least Privilege機能の特権一覧はこちら

# vi /var/svc/manifest/network/http-apache2.xml
...
...
                <exec_method
                        type='method'
                        name='start'
                        exec='/lib/svc/method/http-apache2 start'
                        timeout_seconds='60'>   <--- ここの / を削除し以下を追加
                        <method_context>
                                <method_credential user="webservd"
                                        group="webservd"
                                        privileges="basic,net_privaddr" />
                        </method_context>
                </exec_method>

そして上記ファイルをimportする。

# svccfg import http-apache2.xml
# svcadm restart apache2
# svcs -a | grep apache2
maintenance    17:43:17 svc:/network/http:apache2

ぬぉ！なんとmaintenanceになってしまった。
しかしmanifestの記述を間違えたわけではないのでご安心を。以下のように原因を確認するとスタートメソッド中にエラーがあった様子。

# svcs -xv apache2
svc:/network/http:apache2 (Apache 2 HTTP server)
状態: 2005年04月01日 (金) 17時43分17秒以降maintenanceです
原因: 開始メソッドに繰り返し失敗しました。最後は状態 1 で終了しました.
   参照: http://sun.com/msg/SMF-8000-KS
   参照: man -M /usr/share/man -s 1M apache2
   参照: /var/svc/log/network-http:apache2.log
影響: このサービスは動作していません。

というわけでサービスのログファイルを確認してみると、
apacheのログファイルへのパーミッションがなかったみたい。

# tail /var/svc/log/network-http:apache2.log
Unable to open logs
[ 4月 1 17:43:16 Method "start" exited with status 1 ]
[ 4月 1 17:43:16 Executing start method ("/lib/svc/method/http-apache2 start") ]
(13)Permission denied: httpd: could not open error log file /var/apache2/logs/error_log.
Unable to open logs
[ 4月 1 17:43:16 Method "start" exited with status 1 ]
[ 4月 1 17:43:16 Executing start method ("/lib/svc/method/http-apache2 start") ]
(13)Permission denied: httpd: could not open error log file /var/apache2/logs/error_log.
Unable to open logs
[ 4月 1 17:43:17 Method "start" exited with status 1 ]

以下のようにパーミッションを確認してwebservdに変更してみる。

# cd /var/apache2/logs
# ls -l
合計 2
-rw-r--r--   1 root     root           0 4月 1日 17:30 access_log
-rw-r--r--   1 root     root         717 4月 1日 17:43 error_log

# chown webservd:webservd *
# ls -l
合計 2
-rw-r--r--   1 webservd webservd       0 4月 1日 17:30 access_log
-rw-r--r--   1 webservd webservd     717 4月 1日 17:43 error_log

maintenanceステータスをクリアしてもう一度起動にチャレンジ。

# svcadm clear apache2
# svcadm enable apache2
# svcs apache2
STATE          STIME    FMRI
offline*       17:53:01 svc:/network/http:apache2
# svcs apache2
STATE          STIME    FMRI
online*        17:53:03 svc:/network/http:apache2
# svcs apache2
STATE          STIME    FMRI
online         17:53:04 svc:/network/http:apache2
# svcs apache2
STATE          STIME    FMRI
online*        17:53:05 svc:/network/http:apache2
# svcs apache2
STATE          STIME    FMRI
offline*       17:53:05 svc:/network/http:apache2
# svcs apache2
STATE          STIME    FMRI
online*        17:53:07 svc:/network/http:apache2
# svcs apache2
STATE          STIME    FMRI
online         17:53:08 svc:/network/http:apache2

むむっ！どうもデーモンが見えないと思ったら、
何やら起動＆停止がループしているみたいだ。

以下のようにログファイルをみるとPIDファイルに関係ありそうだ。

# tail /var/svc/log/network-http:apache2.log
httpd (no pid file) not running
[ 4月 1 17:56:15 Method "stop" exited with status 0 ]
[ 4月 1 17:56:15 Executing start method ("/lib/svc/method/http-apache2 start") ]
[ 4月 1 17:56:16 Method "start" exited with status 0 ]
[ 4月 1 17:56:17 Stopping because all processes in service exited. ]
[ 4月 1 17:56:17 Executing stop method ("/lib/svc/method/http-apache2 stop") ]
httpd (no pid file) not running
[ 4月 1 17:56:17 Method "stop" exited with status 0 ]
[ 4月 1 17:56:17 Executing start method ("/lib/svc/method/http-apache2 start") ]
[ 4月 1 17:56:18 Method "start" exited with status 0 ]

次のようにApache2のエラーログファイルも確認してみる。
なんと、httpd.pidファイルの作成に失敗しているじゃないか。
よく考えればwebservd権限で実行しているので当たり前だが
まったく世話がやけるね。

# tail /var/apache2/logs/error_log
[Fri Apr 01 17:57:56 2005] [notice] Digest: generating secret for digest authentication ...
[Fri Apr 01 17:57:56 2005] [notice] Digest: done
[Fri Apr 01 17:57:57 2005] [error] (13)Permission denied: could not create /var/run/apache2/httpd.pid
[Fri Apr 01 17:57:57 2005] [error] httpd: could not log pid to file /var/run/apache2/httpd.pid
[Fri Apr 01 17:57:58 2005] [notice] Digest: generating secret for digest authentication ...
[Fri Apr 01 17:57:58 2005] [notice] Digest: done
[Fri Apr 01 17:57:59 2005] [error] (13)Permission denied: could not create /var/run/apache2/httpd.pid
[Fri Apr 01 17:57:59 2005] [error] httpd: could not log pid to file /var/run/apache2/httpd.pid
[Fri Apr 01 17:58:00 2005] [notice] Digest: generating secret for digest authentication ...
[Fri Apr 01 17:58:00 2005] [notice] Digest: done

というわけで/var/run/apache2のパーミッションを確認。
やっぱりだ・・・。

# cd /var/run
# ls -l
合計 128
drwxr-xr-x   2 root     root         117 4月 1日 17:22 apache
drwxr-xr-x   2 root     root         117 4月 1日 17:43 apache2
drwx------   2 root     root         419 3月 30日 10:42 atokserver
drwxr-xr-x   2 daemon   daemon       117 3月 30日 10:42 daemon
srwxrwxrwx   1 root     root           0 3月 30日 10:42 jd_sockV6
Dr--r--r--   1 daemon   daemon         0 3月 30日 10:42 kcfd_door
-rw-r--r--   1 root     root           0 3月 30日 10:42 metaset.265
Dr--r--r--   1 root     root           0 3月 30日 10:42 name_service_door
-rw-r--r--   1 root     root           0 3月 30日 10:42 nfs4_domain
Dr--r--r--   1 root     root           0 3月 30日 10:42 picld_door
-r--r--r--   1 root     root           4 3月 30日 10:42 powerd.pid
drwxrwxrwt   2 root     root         186 3月 30日 10:42 rpc_door
drwxr-xr-x   3 root     root         191 3月 30日 10:42 sysevent_channels
-rw-r--r--   1 root     root           4 3月 30日 10:42 syslog.pid
Drw-r--r--   1 root     root           0 3月 30日 10:42 syslog_door

以下のように変更すれば、バッチリのはず。

# chown webservd:webservd apache2
# ls -ld apache2
drwxr-xr-x   2 webservd webservd     183 4月 1日 18:02 apache2

念のためapache2をdisableにしてからenableにして動作確認。

# svcadm disable apache2
# svcs apache2
STATE          STIME    FMRI
disabled       18:03:50 svc:/network/http:apache2

# svcadm enable apache2
# svcs -p apache2
STATE          STIME    FMRI
online         18:04:04 svc:/network/http:apache2
               18:04:04     5220 httpd
               18:04:05     5221 httpd
               18:04:05     5222 httpd
               18:04:05     5223 httpd
               18:04:05     5224 httpd
               18:04:05     5225 httpd

今度はうまく動いている様子。
しかも以下の通りすべてのプロセスがwebservdで実行されている。

# ps -ef | grep apache2
webservd 5223 5220   0 18:04:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5222 5220   0 18:04:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5221 5220   0 18:04:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5224 5220   0 18:04:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5220     1   0 18:04:04 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5225 5220   0 18:04:05 ?           0:00 /usr/apache2/bin/httpd -k start

しかーし、実はこれでもダメなのよ。

賢明な人ならわかるはずだけど、/var/run/apache2のパーミッション変更をしても、
Solarisの/var/runはtmpfsなので再起動するとすべてのファイルが消えるわけさ。
ということは、上記設定で再起動すれば、結局は同じことの繰り返しになるわけ。

なので面倒臭いけど、apache2の設定ファイル側でPIDファイルの生成場所を変更しないとダメみたい。

# vi /etc/apache2/httpd.conf
...
<IfModule !mpm_netware.c>
#PidFile /var/run/apache2/httpd.pid
PidFile /var/apache2/run/httpd.pid
</IfModule>
...
当然、上記設定の通り/var/apache2ディレクトリにwebservdがオーナーのrunディレクトリを作成する。

# mkdir /var/apache2/run
# chown webservd:webservd /var/apache2/run

さらにapache2の制御スクリプトである /lib/svc/method/http-apache2 を以下のように修正する。

# vi /lib/svc/method/http-apache2
...
. /lib/svc/share/smf_include.sh

APACHE_HOME=/usr/apache2
CONF_FILE=/etc/apache2/httpd.conf
#PIDFILE=/var/run/apache2/httpd.pid
PIDFILE=/var/apache2/run/httpd.pid

[ ! -f ${CONF_FILE} ] && exit $SMF_EXIT_ERR_CONFIG

case "$1" in
start)
        /bin/rm -f ${PIDFILE}
#       /bin/mkdir -p /var/run/apache2    <--- この作業が不要になったのでコメントアウト
        ssl=`svcprop -p httpd/ssl svc:/network/http:apache2`
...

これで概ね問題ないはずだが、svcadmコマンドでapache2をenableにしてもまだ、挙動が怪しい。
/var/apache2/logs/error_logで確認すると以下のようになっていた。

# tail /var/apache2/logs/error_log
...
[Fri Apr 01 18:08:04 2005] [notice] Digest: done
[Fri Apr 01 18:08:05 2005] [emerg] (2)No such file or directory: Couldn't create accept lock
[Fri Apr 01 18:08:06 2005] [notice] Digest: generating secret for digest authentication ...
[Fri Apr 01 18:08:06 2005] [notice] Digest: done
[Fri Apr 01 18:08:07 2005] [emerg] (2)No such file or directory: Couldn't create accept lock

というわけでまたもやhttpd.confの編集で、以下のようにしてみた。
...
<IfModule !mpm_netware.c>
#LockFile /var/apache2/logs/accept.lock
LockFile /var/apache2/logs/accept.lock
</IfModule>
...

これでもう一度apache2をリスタートするとエラーログは以下のようになり、OKそうだ。
# tail /var/apache2/logs/error_log
...
[Fri Apr 01 18:10:00 2005] [notice] Digest: done
[Fri Apr 01 18:10:01 2005] [notice] Apache/2.0.52 (Unix) DAV/2 configured -- resuming normal operations

システム再起動後も以下のようにpsコマンドでデーモンを確認しても正常稼働が確認できた。
# ps -ef | grep apache2
webservd 5223 5220   0 18:14:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5222 5220   0 18:14:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5221 5220   0 18:14:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5224 5220   0 18:14:05 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5220     1   0 18:14:04 ?           0:00 /usr/apache2/bin/httpd -k start
webservd 5225 5220   0 18:14:05 ?           0:00 /usr/apache2/bin/httpd -k start

ふぅ～やっとうまくいったかな。

今回は身近なapacheで検証したが、おそらく25/tcpポートをroot権限でバインドする必要のある
sendmailなどのデーモンでも設定できるはず。

注意ポイントはPIDファイルやログファイルの置き場のパーミッションだね。

【アンケート】
この記事はためになりましたか？
　　　はい　　/　　いいえ