[Comm] Ошибка su

[Comm] Ошибка su

[Michael A. Kangin]

Здравствуйте.

[root@vserv-1 vargus]# su - -s /bin/bash vargus
su: cannot assume uid
[root@vserv-1 vargus]# id vargus
uid=115(vargus) gid=131(vargus) groups=131(vargus),123(video)


У меня это странное "su: cannot assume uid" вообще не гуглится.
После перезагрузки сервера su сработало нормально.

$ ulimit
unlimited

Куда смотреть насчёт такого?

Система p6, x86_64


-- 
wbr, Michael A. Kangin

Re: [Comm] Ошибка su

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 1080 bytes --]

On Mon, Feb 04, 2013 at 04:59:44PM +0400, Michael A. Kangin wrote:
> [root@vserv-1 vargus]# su - -s /bin/bash vargus
> su: cannot assume uid

В su, происходящем из пакета SimplePAMApps, такое сообщение выдаётся,
если системный вызов setuid() завершился с ошибкой (к сожалению, код
ошибки при этом не выводится).

Наиболее вероятная причина, по которой может не пройти setuid() -
превышение лимита на количество процессов, уже выполняющихся с правами
указанного пользователя.

> [root@vserv-1 vargus]# id vargus
> uid=115(vargus) gid=131(vargus) groups=131(vargus),123(video)
> 
> 
> У меня это странное "su: cannot assume uid" вообще не гуглится.

Потому что в других дистрибутивах обычно не используют реализацию su
из SimplePAMApps.

> После перезагрузки сервера su сработало нормально.
> 
> $ ulimit
> unlimited

Это ulimit -f, а в данном случае могло не хватить ulimit -u.  Можно от
рута либо поднять лимит для своего процесса (хотя в данном случае его
может резать pam_limits по /etc/security/limits.conf), либо
предварительно поубивать лишнее.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Comm] Ошибка su

[Michael A. Kangin]

04.02.2013 23:10, Sergey Vlasov пишет:

> Наиболее вероятная причина, по которой может не пройти setuid() -
> превышение лимита на количество процессов, уже выполняющихся с правами
> указанного пользователя.

Да, действительно, похоже процессиков не хватало.

А вот здесь интересный вопрос...
Сервис исполняется от пользователя vargus (опускает полномочия с помощью
perl-Privileges-Drop), и форкается преизрядно, ему так надо.

Допустим мы хотим упаковать его дистрибутивненько и сочиняем
/etc/security/limits.d/60-vargus.conf такого содержания:
vargus		soft	nproc	4096
vargus		hard	nproc	8192

Однако, запустив сервис и заглянув в /proc/<PID>/limits, понимаем, что
свои nproc он получает не от лимитов пользователя vargus, а от
пользователя root.

Как тут быть? Наверное, паковать в пакеты лимиты для root было бы не
очень правильно...




-- 
wbr, Michael A. Kangin

Re: [Comm] Ошибка su

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 1001 bytes --]

On Tue, Feb 05, 2013 at 02:07:53AM +0400, Michael A. Kangin wrote:
> Сервис исполняется от пользователя vargus (опускает полномочия с помощью
> perl-Privileges-Drop), и форкается преизрядно, ему так надо.
> 
> Допустим мы хотим упаковать его дистрибутивненько и сочиняем
> /etc/security/limits.d/60-vargus.conf такого содержания:
> vargus		soft	nproc	4096
> vargus		hard	nproc	8192

Этот файл используется модулем pam_limits, и сделанные в нём настройки
действуют только на приложения, которые используют PAM (например, login и
su).  Разумеется, perl-Privileges-Drop не будет читать этот файл.

> Однако, запустив сервис и заглянув в /proc/<PID>/limits, понимаем, что
> свои nproc он получает не от лимитов пользователя vargus, а от
> пользователя root.
> 
> Как тут быть? Наверное, паковать в пакеты лимиты для root было бы не
> очень правильно...

Можно устанавливать лимиты в скрипте запуска сервиса, и при необходимости
конфигурировать переменными в /etc/sysconfig/$service.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 190 bytes --]