主页 / server / 问题 / 1132693
Accepted
Lars Hanke
Asked: 2023-06-06 15:13:56 +0800 CST

在一个 systemd 服务中启动多个依赖的守护进程

  • 772

我设置了一个 FreeRADIUS 服务器，其 SQL 后端在远程 MariaDB 实例上运行。身份验证和流量加密应由 Kerberos 处理，用于k5start维护票证。该系统在 Debian 11 实例上运行。

我创建了一个覆盖/etc/systemd/system/freeradius.service：

[Service]
Environment="KRB5CCNAME=/run/freeradius/sql.tkt"
ExecStartPre=/usr/bin/k5start -u radius_user -f /etc/freeradius/3.0/freeradius.keytab -o freerad -g freerad -m 600 -H 60 -b -K 30 -L -k /run/freeradius/sql.tkt

这基本上有效。然而，由于这是一项后台服务，因此很可能会k5start在某个邪恶的日子崩溃，然后在票证过期后 RADIUS 将关闭。

另一个不太关心的问题是，k5start在这种情况下以 RADIUS 用户身份运行，即密钥表必须可由 RADIUS 用户读取。我更喜欢将其作为root:root 0600.

当然，我可以k5start作为它自己的服务运行，它有一个/run/freeradius不一定存在的小美感问题，当k5start启动时，即，我必须使用另一个目录来存放票证，并且考虑到PrivateTmp=true它可能不在/tmp.

因此，对于我的理想解决方案，freeradius.service将创建/run/freeradius目录，然后启动类似 a 的内容ticket.service，然后恢复启动 RADIUS。看起来很相似BindsTo=，但还是有些不同。

是否有更好的解决方案来systemd监控k5start并重新启动它，以防它消失？

systemd

1 个回答

  1. Best Answer

    在一个 systemd 服务中启动多个依赖的守护进程

    不。Systemd 明确不支持每个 .service 单元有多个“受监控”进程。它k5start应该是 FreeRADIUS 所依赖的单独服务。

    因此，对于我的理想解决方案，freeradius.service 将创建 /run/freeradius 目录，然后启动类似 Ticket.service 之类的内容，然后恢复启动 RADIUS。看起来与 BindsTo= 类似，但仍然有所不同。

    通过 预先创建目录tmpfiles.d，这是“RuntimeDirectory=”作为一项功能添加到 systemd 之前的常见做法。

    /etc/tmpfiles.d/freeradius.conf
    
d /run/freeradius 0750 半径 半径 -

    完成后，您可以使用常规Requires=和After=依赖项链接这两个服务：

    [Unit]
[email protected]
[email protected]

    请注意，使用最近的 MIT libkrb5，您不需要单独的任务来维护密钥表 - 如果通过环境变量指定，libkrb5 可以使用“客户端密钥表”自行获取票证：

    半径配置文件
    
环境{
    KRB5_CLIENT_KTNAME = '文件：/etc/raddb/radius.keytab'
}

    ...或者如果密钥表位于FILE:/var/lib/krb5/user/%{euid}/client.keytab（请参阅default_client_keytab_namekrb5.conf(5) 中。）

    另一个不太关心的问题是，在这种情况下，k5start 作为 RADIUS 用户运行，即 keytab 必须可由 RADIUS 用户读取。我更喜欢将其设置为root：root 0600。

    k5start 支持使用该选项将票证缓存 chown 给另一个用户-o <user>。

    另一种选择是使用gssproxy，它类似于 Kerberos 票证的 ssh-agent 。启用 gssproxy 后，radius 根本不需要票证缓存 – gssproxy 将代表 radiusd 更新票证并建立 GSS 安全上下文。

    /etc/gssproxy/50-radius.conf
    
[服务/LDAP]
  机甲 = krb5
  cred_store = ccache:/var/lib/gssproxy/clients/krb5cc_%U
  cred_store = client_keytab:/etc/radius.keytab
  信用使用=启动
  euid = 半径_用户

    半径配置文件
    
环境{
    GSS_USE_PROXY = '1'
}
    • 1

相关问题