George Y's questions

Isso é realmente irritante que systemdapenas respondeu que minha configuração de um arquivo de serviço está errada, mas não especifica exatamente onde está errado:

/lib/systemd/system/auto_pgha.service:

[Unit]
Description=PostgreSQL High Availability
After=network.service
After=firewalld.service


[Service]
Type=simple
WorkingDirectory=/etc/repmgr
ExecStartPre=/bin/bash -c 'echo -e "\n"  `date +"%Y/%m/%d %a, %X"`": STARTING \n"  >> pgha.log'
ExecStart=/bin/bash -c "python3 pg_high_availability.py  &>> pgha.log"
Restart=always
RestartSec=3

[Install]
WantedBy=multi-user.target

Dentro do diretório, /etc/repmgros dois comandos funcionaram perfeitamente. Mas o serviço systemd respondeu com um erro:

# systemctl start auto_pgha
Failed to start auto_pgha.service: Unit auto_pgha.service has a bad unit file setting.
See system logs and 'systemctl status auto_pgha.service' for details.

# systemctl status -l auto_pgha
○ auto_pgha.service - PostgreSQL High Availability
     Loaded: bad-setting (Reason: Unit auto_pgha.service has a bad unit file setting.)
......
auto_pgha.service: Unit configuration has fatal error, unit will not be be started. 

Comandos perigosos como rm, kille systemctl stop podem ser ocultos fora das entradas do bash - ou seja - um usuário mal-intencionado pode facilmente ocultá-los dentro de um script python usando o osmódulo e apenas executar o script python como um proxy para ocultar o que eles realmente pretendiam prejudicar, e o histórico do bash ou qualquer coisa assim deixará apenas o registro que eles executam antes de excluir python3 [the malicious script].pyesse script para ocultar o que realmente fizeram.

O que eu quero fazer é registrar esses comandos críticos (todos os comandos além dos 3 são bem-vindos para apontar) toda vez que forem executados, não importa de onde vieram. E o log não deve ser descartado por nenhum usuário, exceto pelo root.

Recentemente, me deparei com um cenário de alta disponibilidade em que o programa de manutenção precisa vincular um IP virtual ao servidor em que ele se encontra e, em seguida, transmiti-lo pela rede. Para fazer isso, ele executa ipe arpcomanda, respectivamente. No entanto, notei que qualquer programa de manutenção precisa sudoerde privilégio para executar ipou arp. Não dou o mesmo rootprivilégio a ele, mas quero que ele ainda seja capaz de executar esses dois comandos. Então, há uma solução? Desde já, obrigado.

Eu configurei um ambiente python no caminho \pyenv\1st\ por

cd /
mkdir pyenv
python3 -m venv /pyenv/1st

O método oficial para ativar este ambiente é digitar este comando manualmente:

. /pyenv/1st/bin/activateou source /pyenv/1st/bin/activate,

o que resultará na (1st)frente do prompt e carregará as bibliotecas python correspondentes.

Quero economizar digitação e colocar este comando em um arquivo mypy, mas sh mypynão vou alterar o terminal atual para o 1stambiente python enquanto digito manualmente esse comando. Adicionar esse comando \etc\bashrctambém não ajudará. Ouvi dizer que o sourcecomando terminará no subprocesso, sh mypymas não afetará o terminal.

Alguém pode resolver este problema? Um comando simples ou carregar automaticamente esse ambiente ao abrir um terminal ajudará. Desde já, obrigado.

O que eu quero alcançar é isso

[Banco de dados Postgresql] -- TCP transparente -- [clientes na nuvem]

[Banco de Dados Postgresql] -- TCP transparente -- [nginx no servidor de salto] --SSL TCP-- [clientes fora da nuvem]

Gostaria de adicionar uma camada adicional de criptografia SSL por proxy reverso nginx em fluxo com parâmetro SSL.

A configuração adicionada nginx.confé esta (com certificados SSL e chaves já feitas)

stream{
        upstream pg{
                server [postgresql server ip]:5432;
        }
        server{
                listen  5430;
                #ssl_preread on;
                ssl_protocols       TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
                ssl_ciphers         AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5;
                ssl_certificate /etc/nginx/cert/server.crt;
                ssl_certificate_key /etc/nginx/cert/server.key;
                ssl_session_timeout 2h;
                ssl_verify_client off;
                proxy_pass pg;
        }
}

Eu tentei telnet [jump server public ip] 5430e a conexão abriu. No entanto, como uso o cliente dbeaver para conectar-me a esse gateway, ele respondeu 'SSL não é permitido no servidor'. O que está errado? O postgresql sabe que a conexão deste cliente dbeaver com nginx é criptografada por SSL e respondeu uma mensagem de erro?

Eu quero instalar o ntpdate como de costume no CentOS8. No entanto, não está disponível:

# cat /proc/version
Linux version 4.18.0-240.1.1.el8_3.x86_64 (mockbuild@kbuilder.bsys.centos.org) (gcc version 8.3.1 20191121 (Red Hat 8.3.1-5) (GCC)) #1 SMP Thu Nov 19 17:20:08 UTC 2020

# yum install -y ntpdate
Last metadata expiration check: 2:21:14 ago on Mon 11 Apr 2022 07:39:43 PM CST.
Module yaml error: Unexpected key in data: static_context [line 9 col 3]
Module yaml error: Unexpected key in data: static_context [line 9 col 3]
No match for argument: ntpdate
Error: Unable to find a match: ntpdate

Além disso, também acho links lynxindisponível. Existe alguma maneira de instalar o ntpdate no CenOS 8?

Eu quero executar algum programa confidencial em um servidor em nuvem. Para protegê-lo de ser copiado, posso criptografá-lo em uma unidade e montar a unidade descriptografada para executá-la. No entanto, quero desmontar a unidade descriptografada assim que ela for configurada em execução na memória para minimizar a janela de tempo da descriptografia.

É sempre possível fazê-lo? Ou o Linux bloqueia esta unidade para o programa que está sendo executado?

Uma situação semelhante é executar um programa em uma unidade e, em seguida, desmontar essa unidade.