为什么我必须 sudo 来自守护进程的命令？

Question

我对@9​​87654322@ 有疑问。

我从一个守护进程调用一个 Erlang 脚本。 （这个守护进程是由xinetd定义的，这个进程会在里面执行一个bash脚本，我把我的Erlang脚本命令写进了bash脚本）。 Erlang 脚本是这样的：

#! /usr/bin/env escript
main(_) ->
    ok.

脚本很简单，在shell命令行下执行就ok了。

但是当我从 守护进程 调用它时，它失败了，返回码非零。我真的不知道。

当我尝试sudo /path/to/my/erlang_script 时，一切正常！！

我自己就是root。为什么一定要加sudo？

我的 xinetd conf 是这样的：（如您所见，“用户”设置为“root”）

service gtpgwagent
{
        type            = UNLISTED
        flags           = REUSE
        disable         = no
        socket_type     = stream
        protocol        = tcp
        wait            = no
        user            = root
        instances       = UNLIMITED
        server          = /lab/subsysserv/sbin/in.gtpgwagent
        server_args     = gtpgw
        log_type        = FILE /tmp/ggsnagent_logfile
        log_on_success  += DURATION USERID HOST EXIT
        log_on_failure  += USERID HOST
        env             = /usr/bin:/bin
        port            = 1761
}

Answer 1

守护进程既不是以 root 身份运行，也不是以有权运行该脚本的用户身份运行（或者，最常见的情况，不允许执行该脚本执行的操作），所以事情不劳而获。

你以root身份运行，所以无论你尝试什么总是有效的（这有点可怕，所以要小心）。

更改脚本的权限以适应 xinetd 将守护进程用户设置为的任何内容，并确保脚本执行的任何操作都是允许守护进程用户执行的操作。但是，无论您做什么，不要设置一个守护进程以 root 身份运行——这只是等待发生的意外（或崩溃）。

编辑

RHEL 6.x 几乎可以保证阻止以 root 身份运行的守护进程执行几乎任何事情。

• 尝试关闭 SELinux，看看是否会改变结果（执行 setenforce 0，然后运行您的测试，然后执行 setenforce 1 以重新打开它）。
• 将用户设置为不同的用户（如果需要，请为此创建一个系统用户：useradd -r [blahblah]）。
• 检查基于角色的权限如何工作 (http://www.ibm.com/developerworks/library/l-rbac-selinux/)。
• 在 unix.se 或 serverfault.se 或 RHEL/SL/CentOS IRC 频道或论坛之类的地方寻找与此问题相关的主题 - 几乎可以肯定，您不是唯一遇到此问题的人。
• 无论你做什么don't disable SELinux because of this！ 说真的，don't。作为开发人员或系统操作员或开发人员，您应该learn how it works - 这是一个非常重要的工具。 Don't stoop to the pixels-first mindset.