主页 / unix / 问题 / 510358
Accepted
Stewart
Asked: 2019-04-04 12:36:59 +0800 CST

如何让特定组具有对 systemd 日志的读取权限？

  • 772

如何授予阅读somegroup系统日志的只读权限？（我在 Debian10 buster 上）。 

$ journalctl  
Hint: You are currently not seeing messages from other users and the system.
      Users in the 'systemd-journal' group can see all messages. Pass -q to
      turn off this notice.
No journal files were opened due to insufficient permissions.

我知道我可以将用户添加到systemd-journal组中，但是如何授予组读取权限？

debian systemd

1 个回答

  1. Best Answer

    tl;博士

    创建以下文件：

    # /etc/tmpfiles.d/somegroup_journal.conf
#Type  Path                           Mode User Group Age Argument
a+     /run/log/journal               -    -    -     -   d:group:somegroup:r-x
a+     /run/log/journal               -    -    -     -   group:somegroup:r-x
a+     /run/log/journal/%m            -    -    -     -   d:group:somegroup:r-x
a+     /run/log/journal/%m            -    -    -     -   group:somegroup:r-x
a+     /run/log/journal/%m/*.journal* -    -    -     -   d:group:somegroup:r--
a+     /run/log/journal/%m/*.journal* -    -    -     -   group:somegroup:r--

    如何弄清楚：

    man systemd-journald.service(8)具有以下内容：

    可以通过文件系统访问控制列表 (ACL) 授予其他用户和组访问日志文件的权限。发行版和管理员可以选择使用如下命令授予“wheel”和“adm”系统组的所有成员读取权限：

    # setfacl -Rnm g:wheel:rx,d:g:wheel:rx,g:adm:rx,d:g:adm:rx /var/log/journal/

    虽然这听起来很完美，但该示例涉及到/var/log/journal/，但journalctl优先级/run/log/journal/如下所示：

    if (laccess("/run/log/journal", F_OK) >= 0)
        dir = "/run/log/journal";
else
        dir = "/var/log/journal";

/* If we are in any of the groups listed in the journal ACLs,
 * then all is good, too. Let's enumerate all groups from the
 * default ACL of the directory, which generally should allow
 * access to most journal files too. */
r = acl_search_groups(dir, &g);

    /run挂载为tmpfs，因此以下 ACL 规则可能不会持续存在：

    # setfacl -Rnm g:somegroup:rx,d:g:somegroup:rx /run/log/journal/

    要使这种情况持续存在，请配置用于生成的任何内容/run/log/journal。浏览更多来源，我们发现tmpfiles.d/systemd.conf.m4：

    z /run/log/journal 2755 root systemd-journal - -
Z /run/log/journal/%m ~2750 systemd-journal - -
m4_ifdef(`HAVE_ACL',`
a+ /run/log/journal/%m - - - - d:group:adm:r-x
a+ /run/log/journal/%m - - - - group:adm:r-x
a+ /run/log/journal/%m/*.journal* - - - - d:group:adm:r--
')'m4_dnl

    这表明需要在tmpfiles.d. 上述文件的编译版本可在本地找到/usr/lib/tmpfiles.d/systemd.conf。将该示例与 man tmpfiles.d(5)相结合，提供了一些有助于创建有效解决方案的详细信息。

    创建以下文件：

    # /etc/tmpfiles.d/somegroup_journal.conf
#Type  Path                           Mode User Group Age Argument
a+     /run/log/journal               -    -    -     -   d:group:somegroup:r-x
a+     /run/log/journal               -    -    -     -   group:somegroup:r-x
a+     /run/log/journal/%m            -    -    -     -   d:group:somegroup:r-x
a+     /run/log/journal/%m            -    -    -     -   group:somegroup:r-x
a+     /run/log/journal/%m/*.journal* -    -    -     -   d:group:somegroup:r--
a+     /run/log/journal/%m/*.journal* -    -    -     -   group:somegroup:r--

    快速测试加上重新启动确认这是有效的！

    • 8

相关问题