主页 / server / 问题 / 1160267
Accepted
David Tonhofer
Asked: 2024-06-01 20:06:23 +0800 CST

Fedora 40：Apache Httpd 拒绝写入“/home”文件系统，但我检查了 SELinux 设置

  • 772

我正在Fedora 40 机器上安装FosWiki 。 FosWiki 顶级目录应为/home/wikis/foswiki_company.下面有各种内容目录以及log目录。

/home是一个单独的文件系统（不是NFS，只是本地机器上的一个单独的分区）

FosWiki 是一组廉价且令人愉悦的 Perl CGI 脚本，因此它只是通常的 CGI 设置。

事实证明，我什至无法进入FosWiki的设置页面，因为设置脚本无法创建日志文件（即Perl的open()调用失败）。明显的问题是“文件系统是只读的”。

SELinux 已启用，我正在检查 AVC 拒绝消息。好像没有。

下面是文件系统的相关结构。

  • 橙色元素是日志文件应该存放的位置，但事实证明这样做是不可能的。我也尝试过tmp子目录，同样的问题。
  • 棕色元素是一个实验，我修改了 CGI 脚本，以便将日志文件写入（适当许可的）目录/home/tmp，但失败了。
  • 绿色元素是一个实验，我修改了 CGI 脚本，以便将日志文件写入（适当许可的）目录/var/www/tmp。这有效。

另外，允许httpd访问主目录的SELinux布尔值，通常是关闭的，已经打开了，没有区别，似乎与这个问题无关：

# semanage boolean -l -C
SELinux boolean                State  Default Description

httpd_can_network_connect      (on   ,   on)  Allow httpd to can network connect
httpd_enable_homedirs          (on   ,   on)  Allow httpd to enable homedirs
selinuxuser_execmod            (on   ,   on)  Allow selinuxuser to execmod

此外，如果我（在 中su - apache为用户配置 shell 之后），我可以创建或写入任何日志文件。apache/etc/passwd

所以这是一个与流程相关的事情，而不是与用户相关的事情。

此外，我尝试禁用 SELinux，但遇到了同样的问题。

所以不太可能是SELinux。

我缺少什么？什么可以阻止 Apache httpd 写入/home文件系统？

当前文件系统

apache-2.4

1 个回答

  1. Best Answer

    该问题是由于systemd最近扩展到控制进程访问/home.这可能很有用，但对已经具有 POSIX 访问控制和 SELinux 访问控制的系统没有帮助。

    突然灵机一动并搜索“让 systemd 阻止访问 /home”是关键。

    该选项是ProtectHome（在版本 214 中添加，事实上，我使用的是版本 255）。手册说：

    ProtectHome=

    采用布尔参数或特殊值“只读”或“tmpfs”。如果为 true，则目录/home/、/root和/run/user对此单元调用的进程不可访问且为空。如果设置为“只读”，则这三个目录将变为只读。如果设置为“tmpfs”，临时文件系统将以只读模式挂载在三个目录上。值“tmpfs”对于隐藏与单元调用的进程不相关的主目录很有用，同时仍然允许在BindPaths=或 中列出时使必要的目录可见BindReadOnlyPaths=。

    ETC。

    默认情况下该选项是read-only。我们需要将其更改为no.

    # systemctl show httpd | grep Home
ProtectHome=read-only

    那么，让我们开始吧。跑步

    systemctl edit httpd

    并设置覆盖文件以包含：

    [Service]
ProtectHome=no

    保存该文件并重新启动 Apache httpd 后：

    systemctl restart httpd

    该进程可以在各自的目录下创建和写入文件/home。

    • 2

相关问题