Запуск сборщика Graylog от имени пользователя root — есть ли другие варианты?

Похоже, что единственный способ собрать журналы nginx, apache и системы через сборщик Graylog — это запустить его от имени пользователя root.

В соответствии с передовой практикой запуск служб с правами root, как правило, не рекомендуется.

Есть ли способ собрать указанные журналы, кроме запуска службы от имени пользователя root, или это общий способ?


graylog2
person Werner    schedule 09.08.2015    source источник

Ответы (2)


arrow_upward
0
arrow_downward

Я знаю, что этой теме почти 20 дней, но все же:

Я запускаю Graylog-сборщик как пользовательский пользователь, используя сценарий инициализации со следующим содержимым:

do_start () {
        log_daemon_msg "Starting system $NAME Daemon"
        if [ ! -e $PIDDIR ] ; then
                mkdir $PIDDIR
                chown ${DAEMON_USER}:${DAEMON_USER} $PIDDIR
        fi
        start-stop-daemon --background --start \
                --user $DAEMON_USER \
                --chuid $DAEMON_USER \
                --make-pidfile \
                --pidfile $PIDFILE \
                --startas /bin/bash -- -c "exec $DAEMON $DAEMON_OPT >> /var/log/graylog-collector/console.log 2>&1" || return 2
        sleep 2
        log_end_msg $?
}

Может быть интересно узнать, что я сделал выборочную установку, так как нет пакетов, созданных для Debian 6.

Надеюсь это поможет.

person Pier    schedule 26.08.2015
comment
Проблема в том, что пользовательский пользователь без полномочий root будет иметь те же ограничения, что и пользователь без полномочий root в Graylog. Он по-прежнему не сможет прочитать указанные файлы журнала. - person Werner; 26.08.2015
comment
Упс, я невнимательно прочитал вашу проблему, я не знаю о логах nginx, но я не сталкивался с проблемой доступа к различным логам... Добавления пользователя-сборщика в группу adm мне было достаточно. - person Pier; 01.09.2015

arrow_upward
0
arrow_downward

В Centos6 многие элементы, которые я хочу отслеживать через Graylog, имеют разрешения 600, принадлежащие root: root. Если не считать смены владельца/разрешений для всех файлов /var/log на всех моих серверах, у Graylog-collector нет хорошего способа получить доступ к этим файлам без запуска от имени пользователя root.

Я новичок в Graylog, но понимаю, что Graylog-сборщик просто отправляет информацию (не прослушивает какие-либо порты). Так что это несколько снижает риск. Запуск tomcat, apache или другого демона прослушивания от имени пользователя root сопряжен с более высокими рисками.

person MichaelS    schedule 21.04.2016