ラベル CentOS の投稿を表示しています。 すべての投稿を表示
ラベル CentOS の投稿を表示しています。 すべての投稿を表示

2015年3月19日木曜日

sftpの権限だけのユーザを作成する(ディレクトリの制限も)

今回満たしたい要件は下記です
・ssh接続をさせない
・sftp接続は可能
・サーバ内のとあるディレクトリ配下しか利用させない。閲覧もさせたくない。
・umask 002でファイル配置
・ログインはパスワード(鍵ファイルではない)


・まずはユーザを作成します

adduser sftp-user -g www

※-g www はグループを指定しています。
(これは通常のユーザと同じにしてあります。そうすることにより、sftp-userが配置したファイルを通常ユーザが利用できる状態になります。(umask 002の設定しているので))

passwd sftp-user


・それでは、実際に今回の要件を満たす設定をしていきます。
修正するファイルは下記のみです。
/etc/ssh/sshd_config

○sshd_config 1カ所目
Subsystem sftpと記載のある箇所をかきの様に書き換えます。

Subsystem sftp /usr/libexec/openssh/sftp-server

Subsystem sftp internal-sftp -u 002

sftp-serverからinternal-sftpへの変更は、ディレクトリ制限をする都合上こちらのほうが都合がいいという理由です。
-u 002はumask 002という意味になります。
これで、sftpで作成されたファイルはumask 002の状態となります。

○sshd_config 2カ所目
ファイルの最終行に下記を追加してください。

Match User sftp-user
PasswordAuthentication yes
PubkeyAuthentication no
RSAAuthentication no
ChrootDirectory /home/neostage
ForceCommand internal-sftp -u 002


解説
・Subsystem sftp internal-sftp
これは、sftpでディレクトリ制限を付与するときにstfp-serverよりも楽に設定ができる記述のようです。
・Match User ユーザ名
これ以降の設定は、指定したユーザのみ適応されるという記述になります。
・PasswordAuthentication yes
パスワード認証にする
・PubkeyAuthentication no
公開鍵認証しない
・RSAAuthentication no
RSA認証しない
・ChrootDirectory
sftpの際のrootディレクトリとなる。これ以降のディレクトリしか操作出来ない
・ForceCommand internal-sftp -u 002
sftpにinternal-sftpを利用し、umaskを002設定する

上記設定後にsshdを再起動します。
/etc/rc.d/init.d/sshd restart

※再起動時には絶対に接続中の端末はログアウトしないでください。
再起動後は、別のターミナルで接続確認を行い、問題ないことを確認してください。
そうしないと、一生SSHでログインできない環境が出来上がってしまいます!


★上記設定のハマりポイント!
ChrootDirectory で指定しているディレクトリのPermissionには気をつけてください。
必ず、所有者はroot、グループもroot、権限は755で作成してください。
ChrootDirectory で指定している全ての階層のディレクトリが対象です。これをやらないとsftpが使えません!

2014年7月29日火曜日

インストールした直後のLinux(Redhat,CentOS系)が外に繋げない(名前解決してくれない。yumできない)。

VMとかにLinuxをインストールして、yumでミドルウェアをインストールしようとしたら、、、WorldWideWebに繋がっていないなんてことありますよね。

そんな場合は、慌てずに下記を試してください。

1.pingってみる
ping yahoo.co.jp
これで100% packet loss


2.まずは、問題の切り分けです。
/etc/hostsに下記を追記してください。
182.22.59.229 yahoo.co.jp


3.外につながるか確認
ping yahoo.co.jp
これで、つながる。


手順3でつながるなら、下記手順で対応出来る可能性があります。

4./etc/nsswitch.confを確認
hosts:と書かれている行を探す。
"files"としか書かれていなければ、アウト。
"files dns"と記述してください。

5.手順4で無理なら、/etc/resolve.confを確認
nameserverの記述があるか?
なければ、下記を追加
nameserver 8.8.8.8
※8.8.8.8はGoogleのpublic DNSです。

これで外の世界につながるようになっているはずです。

※手順2でhostsファイルに追記した設定は消しておいてください。

2014年7月12日土曜日

MySQL起動時に /etc/sysconfig/network: No such file or directoryと言われたら

Dockerを利用してCentOS上のMySQLを起動しようとすると下記感じでエラーが出る事がある。
$ /etc/rc.d/init.d/mysqld start
/etc/rc.d/init.d/mysqld: line 23: /etc/sysconfig/network: No such file or directory

その場合は、networkファイルを作ってあげれば解決する。
$ touch /etc/sysconfig/network

2014年4月11日金曜日

MacでDockerにMonitを入れてApacheを動かす

Dockerで起動したCentOS上にMonitをインストールしてApacheを起動させます。

Monitとは、プロセス監視ツールです。
なぜ、このMonitを利用するかというと、、、Dockerは起動時に1つしかプロセスを起動するコマンドが使えないためです。
このMonitを利用すると、プロセスが立ち上がっていない場合Monitがかわりに起動してくれる様な設定が可能です。
なので、Dockerの起動時に立ち上げるプロセスをMonitにしておけば、Monitに監視させている他のプロセス(ApacheやSSHなど)をMonitが立ち上げてくれるんです!

それではインストールの仕方と設定方法を書いていきます。
・用意するもの
Dockerがインストールされた環境のみ。
もし、DockerがインストールされていなければMacでDockerを動かすでインストールしてみてください。

・まずはDockerを使ってcentosを起動
$ docker run -i -t centos /bin/bash

・続いて、とりあえずサーバを最新化します
$ yum update

・Monitのインストール
$ rpm --import http://apt.sw.be/RPM-GPG-KEY.dag.txt
$ rpm -ivh http://apt.sw.be/redhat/el5/en/i386/rpmforge/RPMS/rpmforge-release-0.5.1-1.el5.rf.i386.rpm
$ yum install --enablerepo=rpmforge monit

・Apacheのインストール
$ yum install httpd
・index.html作成
$ echo test > /var/www/html/index.html

・一旦、centosをコミットしておく(ここは飛ばしてもOK)
$ exit
上記で、Dockerから抜ける。
$ docker ps -l
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES 20cafcb9639e        centos:6.4          /bin/bash           3 days ago          Exit 0                                  grave_shockley       
$ docker commit 20c ak220/centos 
・コミット確認
$ docker images
 REPOSITORY          TAG                 IMAGE ID            CREATED             VIRTUAL SIZE
 ak220/centos        latest              d83459021df6        3 days ago          668 MB 
commitしたimageが存在することを確認。
・commitした状態の続きを操作するの
$ docker run -i -t ak220/centos /bin/bash

・Monitの設定
$ vi /etc/monit.conf 
変更項目は下記
変更前
set httpd port 2812 and
    use address localhost
    allow localhost
    allow admin:monit
    allow @monit
    allow @users readonly
変更後
set httpd port 2812 and
    use address 0.0.0.0
    allow admin:monit
続いて、MonitにApacheを監視させる。
$ vi /etc/monit.d/httpd.conf
check process httpd with pidfile /var/run/httpd.pid
    start program = "/etc/init.d/httpd start" with timeout 60 seconds
    stop program  = "/etc/init.d/httpd stop"
    if failed port 80 protocol http
    then restart
    group apache

・Monitの設定ファイルが正しいかを確認
$ monit -t
Control file syntax OK #と表示されればOK

・Monit起動
$ service monit start
Starting monit: Starting monit daemon with http interface at [0.0.0.0:2812]
                                                           [  OK  ]
もし「/etc/init.d/monit: line 18: /etc/sysconfig/network: No such file or directory」というエラーがでたら、下記のコマンドを実行して下さい。
$ touch /etc/sysconfig/network
Apacheが起動していることを確認する。ApacheのプロセスがあればOK。
$ ps -ef | grep httpd
root        53     1  0 14:10 ?        00:00:00 /usr/sbin/httpd
apache      55    53  0 14:10 ?        00:00:00 /usr/sbin/httpd
apache      56    53  0 14:10 ?        00:00:00 /usr/sbin/httpd
apache      57    53  0 14:10 ?        00:00:00 /usr/sbin/httpd
ここまでできたら、Dockerから抜けます。
$ exit


・構築したコンテナをコミットして、Monitを起動
$ docker ps -l
CONTAINER ID        IMAGE                 COMMAND             CREATED             STATUS              PORTS               NAMES
d99e2f8dc5bc        ak220/centos:latest   /bin/bash           3 days ago          Exit 0                                  hungry_engelbart    
$ docker commit d99e2f ak220/centos
Dockerで構築したimageをコミットしたので、このイメージをRunさせるときにMonitのプロセスを実行します。
ついでに、localhost:10080をDockerのCentOSで稼働しているApacheの80番ポートに紐付けます。
$ docker run -d -t -p 10080:80 -p 12812:2812 ak220/centos /usr/bin/monit -I

で、http://localhost:10080にアクセスすると、、、ん、見れない。EC2上ではうまく行ったのに・・・。
だいぶ困った。同じ設定なのに。
EC2上とMac上でのDockerの起動の違いはMacではboot2docker上でDockerが起動していること。VirtualBoxのポートフォワードが犯人でした。
ということで、boot2dockerの設定をします。
$ ./boot2docker stop
$ for i in {49000..49900}; do
 VBoxManage modifyvm "boot2docker-vm" --natpf1 "tcp-port$i,tcp,,$i,,$i";
 VBoxManage modifyvm "boot2docker-vm" --natpf1 "udp-port$i,udp,,$i,,$i";
done
$ ./boot2docker start
$ docker run -d -t -p 49080:80 -p 49812:2812 ak220/centos /usr/bin/monit -I
http://localhost:49080/
で「test」っていう文字がブラウザに表示されたらOK。(このtestはecho text > /var/www/html/index.htmlで書き込んだやつ)
・Monitの管理画面
http://localhost:49812/
これでMonitの管理画面が見れます。プロセスの停止、起動が出来たりします。

VirtualBoxのポートフォワードにははめられました。みなさん気をつけて下さい。