Вопрос или проблема
Я пытался настроить nginx для работы с одним из моих приложений на rails, и, посмотрев на вывод команды ps -e | grep nginx, я понял, что рабочие процессы nginx работают под пользователем nobody.
Есть ли причина, по которой они не работают под www-data?
Есть ли причина, по которой они не работают под www-data?
Да. Вы, скорее всего, не указали пользователя в конфигурации nginx.
Директива пользователя: http://nginx.org/en/docs/ngx_core_module.html#user
синтаксис: user user [group];
по умолчанию:
user nobody nobody;
контекст: основной
Как запустить nginx от имени конкретного пользователя?
Вы можете указать пользователя/группу, от имени которых будет работать nginx, в конфигурации nginx.
Вот пример того, как может выглядеть конфигурация nginx (обратите внимание на директиву пользователя):
pid /path/to/nginx.pid;
user www-data www-data;
worker_processes 1;
events {
worker_connections 1024; # обычно 1024 - это хорошее значение по умолчанию
}
http {
# здесь размещается дополнительный код
}
Просто обновите вашу конфигурацию, а затем перезагрузите или перезапустите nginx, и вы будете в порядке.
Конечно, вы должны выбрать пользователя, который лучше всего подходит для вашей системы, в Debian/Ubuntu по умолчанию есть www-data, так что это разумный выбор.
Мастер-процесс выполняется от имени root, затем nginx выполнит setuid()/setgid() на USER/GROUP. Если GROUP не указан, то nginx использует такое же имя, как USER.
По умолчанию это пользователь nobody и группа nobody или nogroup, или --user=USER и --group=GROUP из скрипта ./configure.
Вы можете отредактировать nginx.conf и set user to www www;
.
Ответ или решение
Когда вы настраиваете Nginx для работы с вашим приложением на Rails и замечаете, что процессы рабочих процессов Nginx запускаются от имени пользователя nobody, это чаще всего связано с тем, что в конфигурационном файле Nginx не была прописана директива user. Вместо этого Nginx по умолчанию использует пользователя nobody. Давайте подробнее рассмотрим, почему это происходит и как можно запустить Nginx от имени другого пользователя, например, www-data.
Причины использования пользователя nobody
-
Безопасность: Пользователь
nobodyобычно используется для процессов, которым не требуется доступ к файловой системе или ресурсам системы. Это снижает риск безопасности, поскольку у этого пользователя минимальные права и возможность доступа к критически важным системным файлам и директориям. -
Отсутствие конфигурации: Если в вашем конфигурационном файле Nginx не указано, какого именно пользователя использовать для рабочих процессов, сервер по умолчанию запускает их от имени
nobody. Это может произойти, если вы используете стандартные настройки, либо не вносили изменения в конфигурацию.
Как указать пользователя и группу для Nginx
Для того чтобы запустить Nginx от имени определенного пользователя, вам необходимо внести изменения в конфигурационный файл nginx.conf, добавив директиву user. Вот пример того, как это можно сделать:
pid /path/to/nginx.pid;
user www-data www-data;
worker_processes 1;
events {
worker_connections 1024;
}
http {
# Дополнительные настройки
}В этом примере Nginx будет работать от имени пользователя и группы www-data, что является стандартным для систем на базе Debian/Ubuntu.
Принцип работы с правами доступа
При запуске Nginx процесс-мастер запускается от имени пользователя root, после чего происходит вызов функций setuid() и setgid(), которые меняют текущего пользователя и группу на указанные в конфигурации. Если группа не указана, то Nginx использует то же имя, что и у пользователя. Это означает, что если в вашей конфигурации указано только имя пользователя, то группа будет унаследована автоматически.
Заключение
Если вы хотите улучшить безопасность вашего сервера и контролировать учетные записи, от имени которых работают рабочие процессы Nginx, рекомендуется явно устанавливать пользователя и группу в конфигурации. После внесения изменений в файл конфигурации, не забудьте перезагрузить Nginx, чтобы изменения вступили в силу:
sudo systemctl reload nginxЭтот простой шаг обеспечит вам больший контроль над правами доступа и повысит безопасность вашего приложения.