web-лицо для нескольких сервисов

Для авторизации в системе или авторизация для доступа к этой вебморде?

В системе, например что бы перезапустить pure-ftpd/nginx нужны права root. Но запускать веь-морду от рута это не комильфо.

В /etc/sudoers разреши апачу выполнять определённые скрипты без пароля.

То есть выход только sudo?

Ну можно еще скрипт написать, запустить его от рута, подавать ему команды а он будет ребутить нужное приложение

А это почему-то нежелательно?

Просто меня пугает когда что то вроде ispmanager работает от рута. Гораздо лучше если есть что то вроде api к которому можно обратиться и передать авторизационные данные и команду.

Тоже думал о таком, думал что то подобное уже есть.

пускать поделие от рута - очень опасно, сие есть факт неприложный.

Никто не будет работать от рута. Ты просто разрешишь апачу выполнять два (или больше, по количеству сервисов) определённых скрипта с повышенными привилегиями. Не больше.

На python через fifo:

# mkfifo /tmp/script.fifo

#!/usr/bin/env python
import subprocess

f = open("/tmp/script.fifo")

while True:
    command = f.read().rstrip()
    if not command:
        continue
    subprocess.call(command)

Ну это самый простой случай.

Эпичная уязвимость в Webmin <=1.590

Так для апача и nginx в стстеме создают свои пользователи типа www-data, от их лица и запускается сервис апача, даже если запускает root или юзер через sudo.

sudo service apache2 start

И в системе апач привязан к wwwdata, и запущен от него.

Спасибо

Эти пользователи типа www-data создаются автоматически, после установки apache2 пакета.

Суть понятна, главное ограничить что можно. Спасибо.

Это непривилегированный юзер для дочерних процессов, мастер-процесс работает от рута (и это нормально). Я имел ввиду что нельзя допускать работы веб-морд от рута.

только замечу что тут надо быть очень аккуратным с правами иначе это будет не дыра а дырища.

ещё замечу что через судо потенциально менее опасно потому что код выше выполнит любую команду, что в случае какой-нибудь глупой ошибке в web-интерфейсе приведёт к полному фейлу. а через судо можно выполнять только те команды которые определены, что закрывает многие вещи потенциально возможные с кодом выше и ошибкой в веб морде.

угу, так оно и есть.

Раньше только от рута и запускали апач на 80 порту :-) Конечно, это не круто, но если ваш сервер не для продакшена - то можно оставить апач под рутом, но application (php-fpm) нужно запускать на другом порту уже не под рутом и проксировать через fast-cgi apache+phpfpm.

Ну это просто как пример реализации без sudo. Я бы сделал словарь например { 'stop1' : 'service webserver1 stop', 'start1' : 'service webserver1 start', 'stop2' : 'service webserver2 stop', 'start2' : 'service webserver2 start' } и так далее. То есть ограничил бы выбор действий а сами команды вообще были бы «захардкожены».

согласен, так вполне себе годно на мой взгляд.

Приму к сведению, интересно.