0

次のように、nginxを動かしているユーザーtekitouに/var/log/php-fpm以下の所有権を与えると

chown -R tekitou:tekitou /var/log/php-fpm

以下のようなエラーが出ます

/etc/cron.daily/logrotate:
error: skipping "/var/log/php-fpm/error.log" because parent directory has insecure permissions (It's world writable or writable by group which is not "root") Set "su" directive in config file to tell logrotate which user/group should be used for rotation.
error: skipping "/var/log/php-fpm/www-error.log" because parent directory has insecure permissions (It's world writable or writable by group which is not "root") Set "su" directive in config file to tell logrotate which user/group should be used for rotation.

このエラー自体は上のメッセージにあるようにlogrotateの設定ファイルを修正する事で出なくなるようですが、気になるのはこの部分です

because parent directory has insecure permissions (It's world writable or writable by group which is not "root")

ログを書き込むために権限が必要だったので、nginxを動かしているユーザーに所有権を与えたのですが、
このメッセージ(insecure permissions)を見る限りこのような事をするのは止めたほうが良かったのでしょうか?

もし、止めたほうがいいのであるならば、好ましいのはどのような方法でしょうか?

また、このままにする事でどのようなセキュリティー上のリスクがあるのでしょうか?


パーミッションを追記しました。
ユーザー、グループはいずれもtekitou、tekitouです。

/var/log/php-fpm 770
/var/log/php-fpm/error.log 600
/var/log/php-fpm/www-error.log 644

1 件の回答 1

2

エラーの出ている各ログファイル(error.log, www-error.log)の親ディレクトリ、今回の場合は/var/log/php-fpm/のパーミッションが770ということで、グループに対しての書き込み権限が立っており、この部分で怒られているのだと思います。

懸念事項としては、パーミッションの設定が不適切でgroup(グループ)やworld(その他)に対して書き込み権限が付いていた場合、不用意に他のユーザーからログが書き換えられてしまう可能性があるということでエラーが出ているのでしょう。

対策としては、該当ディレクトリのパーミッションを修正するか、参考1

# chmod 750 /var/log/php-fpm/
            or
# chmod g-w /var/log/php-fpm/

メッセージにも出ている通りloglotate.confの中で「どのユーザー権限でロテートするか」をsu ディレクティブで指定してあげるのがよいそうです。参考2

/var/log/php-fpm/*.log {
    ...
    su tekitou tekitou
}
4
  • 済みません。質問が回りくどかったです。エラーメッセージの解消方法はどうでも良くて、insecure permissionsという所が気になったという話なんです。 また、ファイルやディレクトリの所有者の変更は、logrotateの機能を使うためでは無くて、nginx(というかphp-fpm)がログを書き込めるようにするためにしています。 (php-fpmを動かしているユーザーがrootではなく、tekitouなのでフォルダの所有者がrootのままだとログファイルが作成できない) 要するに、nginxrootで動かすとセキュリティ上リスクがあるという話を聞いていたので、 専用のユーザーtekitouを作って動かしていて、 それに合わせてログフォルダの所有者も変えていたけど、その設定が良くないという事を匂わすメッセージが出ていた(insecure permissions)ので、 他の方法を使った方が良いのでしょうか?という問いだったんです・・・。 (フォルダの所有者を変えない場合、nginx(php-fpm)をrootで動かすという方法があるけれど、それは避けたい)
    – user25791
    Commented 2017年12月6日 11:22
  • /var/log/php-fpm/ディレクトリ自体とその配下にある各ファイルのパーミッションがどうなっているか、ls -lの結果を質問本文に追記してみてください。
    – cubick
    Commented 2017年12月6日 11:52
  • 本文追記しました。所有者の変更(chown)はしていますが、パーミッションの変更(chmod)はしていなかったと思います。
    – user25791
    Commented 2017年12月6日 12:16
  • 有難うございます。エラーメッセージの括弧の中にあるように、「root以外のグループがwritableである」事態を回避するべきという話だったのですね。 そして、worldは全世界ではなくその他って事なんですね。勉強になりました。丸見えになっている可能性があるのかと少し恐れていました。(笑)一応、念のための確認なんですが、回答のworidworldchmod g-xchmod g-wの打ち間違いって事でいいですよね?
    – user25791
    Commented 2017年12月6日 21:50

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。