3

Утилита logrotate ругается на то, что у /var/log небезопасные права (permissions):

root@home:~# logrotate /etc/logrotate.d/foo

error: skipping "/var/log/foo.log" because parent directory has insecure permissions (It's world writable or writable by group which is not "root") Set "su" directive in config file to tell logrotate which user/group should be used for rotation.

root@home:/var/log# ls -hal foo.log
-rw-r----- 1 root adm 161K Jan 25 17:16 foo.log

root@home:/var/log# ls -ld
drwxrwxr-x 9 root syslog 4.0K Jan 25 16:26 .

Похоже, права действительно слишком свободные. Вопрос: насколько нужно их ограничить? Какие права должны быть у этой директории? Нужно ли ограничивать права всех вложенных директорий?

Было бы здорово получить объяснение, а не только три числа для chmod. :)


По поводу предлагаемого в сообщении решения.

В файле /etc/logrotate.conf уже есть такие строки:

# use the syslog group by default, since this is the owning group
# of /var/log/syslog.
su root syslog

В /etc/logrotate.d/foo директива su не переопределяется.

4
  • А что за группа syslog ? Обычно syslog под рутом работает и спец-права ему не нужны. А если каким то службам надо писать логи не через syslog, а самим, то я предпочитаю завести внутри /var/log для них отдельный каталог на который поставить права для них лично (apache, mail, mysql). а на сам /var/log root.root 755
    – Mike
    25 янв 2016 в 11:02
  • @Mike: не знаю, не я создавал. Дело в том, что syslog сейчас как-то работает и я не хочу это сломать. Но при этом нужно добавить ещё логи в ротацию, а это вызывает ошибки.
    – Nick Volynkin
    25 янв 2016 в 11:08
  • @Mike: кстати, зачем последнее 5? Разве для others нужен вообще хоть какой-то доступ?
    – Nick Volynkin
    25 янв 2016 в 11:09
  • В принципе не нужен. но дистрибутивы почему то предпочитают делать так. Достаточно было бы 'x' всем дать, что бы какой нибудь mysql свободно прошел сквозь /var/log в свой подкаталог /var/log/mysql. Если будет 750 - то он не пройдет. А --x редко кто и на что ставит, проще не задумываясь особо дать r-x :)
    – Mike
    25 янв 2016 в 11:22

2 ответа 2

7

добавьте в конфигурационный файл /etc/logrotate.conf требующуюся директиву:

su root syslog

а менять права/принадлежность файлов и каталогов в /var/log обычно не сто́ит.


дополнительная информация: https://bugs.launchpad.net/ubuntu/+source/logrotate/+bug/1278193


обновление в связи со всплывшей информацией

по поводу команды:

$ sudo logrotate /etc/logrotate.d/foo
  1. для тестирования изменений, вносимых в конфигурацию, сто́ит запускать программу logrotate с опцией -d (debug, отладка, реальных изменений произведено не будет).
  2. в качестве параметра сто́ит указывать конфигурационный файл программы (/etc/logrotate.conf), а не «кусочек» конфигурации из файла, находящегося в каталоге /etc/logrotate.d/. эти «кусочки» и так будут подключены в то место конфигурационного файла, где написана директива include /etc/logrotate.d.
  3. ошибка про «неправильные» права при выполении этой команды связана с тем, что по умолчанию программа logrotate использует не ту связку пользователь-группа, которая задана в конфигурационном файле (в дистрибутивах ubuntu последних версий — это root:syslog; директива: su root syslog), а, скорее всего, связку root:root, которая, естественно, не соответствует актуальной принадлежности каталога /var/log. но конфигурационный файл /etc/logrotate.conf не интерпретируется при запуске (указан совсем другой файл — /etc/logrotate.d/foo), вот программа и сообщает об ошибке.
5
  • Тут пишут, что /var/log нужно беречь, как кощееву иглу. Ошибаются? Why not permit read access for all in /var/log?
    – Nick Volynkin
    25 янв 2016 в 11:16
  • Тут пишут — пишут фактически то же самое, что и в моём ответе: не стоит менять права на файлы/каталоги в /var/log. 25 янв 2016 в 11:19
  • Давайте продолжим обсуждение в чате.
    – Nick Volynkin
    25 янв 2016 в 11:34
  • Я понимаю, что это немного старая тема, но у меня на Ubuntu 18.04.1 LTS логи kern и ufw не обрабатываются - файлы логов просто пучит, когда пытаешься отладить ufw. su root syslog не помогает. Помогает su root adm. groups user возвращает adm, но не syslog. Насколько все секурно, и куда копать, чтобы узнать, какие настройки правильные? 1 окт 2018 в 8:35
  • 1
    @oshliaer, если у вас появился новый вопрос, задайте его, пожалуйста, с помощью кнопки «задать вопрос» в правом вернем углу страницы 1 окт 2018 в 8:48
-1

Необходимо просто снять излишнии права с папки и ругаться перестанет

 ls -ld

drwxr-xr-x 2 root root 4096 Jun 23 08:12 .

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.