it-swarm.com.de

Verwirrt durch ExecStartPre-Einträge in der systemd-Einheitendatei

Ich habe einen systemd-Dienst, der ein Verzeichnis in /run Erstellen muss, aber ansonsten als Nicht-Root-Benutzer ausgeführt wird. Aus einem Blog-Beispiel habe ich die folgende Lösung abgeleitet:

[Unit]
Description=Startup Thing

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 -u /opt/thing/doStartup
WorkingDirectory=/opt/thing
StandardOutput=journal
User=thingUser
# Make sure the /run/thing directory exists
PermissionsStartOnly=true
ExecStartPre=-/bin/mkdir -p /run/thing
ExecStartPre=/bin/chmod -R 777 /run/thing

[Install]
WantedBy=multi-user.target

Die Magie liegt in den 3 Zeilen, die dem Kommentar folgen. Anscheinend werden die ExecStartPre auf diese Weise als root ausgeführt, aber die ExecStart werden als der angegebene Benutzer ausgeführt.

Dies hat jedoch zu 3 Fragen geführt:

  1. Was macht der - Vor dem /bin/mkdir? Ich weiß nicht, warum es da ist oder was es tut.
  2. Wenn eine Einheitendatei mehrere ExecStartPre enthält, werden sie nur seriell in der Reihenfolge ausgeführt, in der sie in der Einheitendatei gefunden werden? Oder eine andere Methode?
  3. Ist dies tatsächlich die beste Technik, um mein Ziel zu erreichen, das Ausführungsverzeichnis so zu erstellen, dass der Nicht-Root-Benutzer es verwenden kann?
24
Travis Griggs

Bei Fragen zu systemd-Direktiven können Sie mit man systemd.directives Die Manpage nachschlagen, die die Direktive dokumentiert. Im Fall von ExecStartPre= Finden Sie es dokumentiert in man systemd.service.

Dort in den Dokumenten für ExecStartPre= Wird erklärt, dass das führende "-" verwendet wird, um festzustellen, dass Fehler für diese Befehle toleriert werden. In diesem Fall wird es toleriert, wenn /run/thing Bereits vorhanden ist.

In den dortigen Dokumenten wird auch erklärt, dass "mehrere Befehlszeilen zulässig sind und die Befehle nacheinander seriell ausgeführt werden".

Eine Verbesserung Ihrer Methode zum Vorab-Erstellen des Verzeichnisses besteht darin, es nicht für die Welt beschreibbar zu machen, wenn Sie es nur für einen bestimmten Benutzer beschreibbar benötigen. Eingeschränktere Berechtigungen würden erreicht werden mit:

 ExecStartPre=-/bin/chown thingUser /run/thing
 ExecStartPre=-/bin/chmod 700       /run/thing

Dadurch wird das Verzeichnis eines bestimmten Benutzers vollständig zugänglich.

33
Mark Stosberg

Antwort auf # 3:

Probier das aus RuntimeDirectory= & RuntimeDirectoryMode= Direktiven. Vollständige Dokumentation hier . Aber zusammenfassend (geringfügige Änderung des Textes, aber das Wesentliche sollte bleiben):

RuntimeDirectory=

       This option take a whitespace-separated list of directory names. The 
       specified directory names must be relative, and may not include "..". If
       set, one or more directories by the specified names will be created
       (including their parents) below /run (for system services) or below 
       $XDG_RUNTIME_DIR (for user services) when the unit is started. Also, the  
       $RUNTIME_DIRECTORY environment variable is defined with the full path of 
       directories. If multiple directories are set, then in the environment 
       variable the paths are concatenated with colon (":").

       The innermost subdirectories are removed when the unit is stopped. It is 
       possible to preserve the specified directories in this case if 
       RuntimeDirectoryPreserve= is configured to restart or yes. The innermost 
       specified directories will be owned by the user and group specified in 
       User= and Group=.

       If the specified directories already exist and their owning user or group 
       do not match the configured ones, all files and directories below the 
       specified directories as well as the directories themselves will have their 
       file ownership recursively changed to match what is configured. As an 
       optimization, if the specified directories are already owned by the right 
       user and group, files and directories below of them are left as-is, even if 
       they do not match what is requested. The innermost specified directories 
       will have their access mode adjusted to the what is specified in 
       RuntimeDirectoryMode=.

       Use RuntimeDirectory= to manage one or more runtime directories for the 
       unit and bind their lifetime to the daemon runtime. This is particularly 
       useful for unprivileged daemons that cannot create runtime directories in 
       /run due to lack of privileges, and to make sure the runtime directory is 
       cleaned up automatically after use. For runtime directories that require 
       more complex or different configuration or lifetime guarantees, please 
       consider using tmpfiles.d(5).


RuntimeDirectoryMode=

       Specifies the access mode of the directories specified in 
       RuntimeDirectory= as an octal number. Defaults to 0755. See "Permissions" 
       in path_resolution(7) for a discussion of the meaning of permission bits.

Um dies zu nutzen, sollte dies den Trick tun:

[Unit]
Description=Startup Thing

[Service]
Type=oneshot
ExecStart=/usr/bin/python3 -u /opt/thing/doStartup
WorkingDirectory=/opt/thing
StandardOutput=journal
User=thingUser
# Make sure the /run/thing directory exists
PermissionsStartOnly=true
RuntimeDirectory=thing
RuntimeDirectoryMode=0777

[Install]
WantedBy=multi-user.target
3
Jeremy Davis