[sisyphus] RFC: новая сборка bacula

[sisyphus] RFC: новая сборка bacula

[Евгений Терешков]

Привет,

в задании http://git.altlinux.org/tasks/169821/ собрана новая сборка
текущей сизифной bacula-5.2.13, просьба тестировать. При отсутствии
противопоказаний собираюсь в течении недели-двух отправить в Сизиф.

Изменения в основном в нативной поддержке systemd и "нового" logrotate.
Также проведены изменения в сторону усиления безопасности под systemd для
bacula-sd/bacula-dir. В силу чего на системах с systemd демон(ы) могут не
запустаться/не останавливаться корректно (но испортить ничего не должны,
все изменения в сторону понижения полномочий). Конечно, работу под sysvinit
тоже хорошо бы проверить.

Для подключения репозитория задания добавьте в ваш sources.list
следующую строку:

rpm http://git.altlinux.org/repo/169821/ x86_64 task

(для x86_64, для i586 аналогично)

-- 
С уважением, Терешков Евгений.
Jabber ID: evg@altlinux.org, evg_krsk@jabber.ru

Re: [sisyphus] RFC: новая сборка bacula

[Anton Gorlov]

23.09.2016 04:04, Евгений Терешков пишет:
> Изменения в основном в нативной поддержке systemd и "нового" logrotate.
> Также проведены изменения в сторону усиления безопасности под systemd для
> bacula-sd/bacula-dir. В силу чего на системах с systemd демон(ы) могут не
> запустаться/не останавливаться корректно (но испортить ничего не должны,
> все изменения в сторону понижения полномочий). Конечно, работу под sysvinit
> тоже хорошо бы проверить.


Какие именно полномочия понижены и на сколько?

Re: [sisyphus] RFC: новая сборка bacula

[Евгений Терешков]

Anton Gorlov пишет:

>> Изменения в основном в нативной поддержке systemd и "нового" logrotate.
>> Также проведены изменения в сторону усиления безопасности под systemd для
>> bacula-sd/bacula-dir. В силу чего на системах с systemd демон(ы) могут не
>> запустаться/не останавливаться корректно (но испортить ничего не должны,
>> все изменения в сторону понижения полномочий). Конечно, работу под sysvinit
>> тоже хорошо бы проверить.
>
> Какие именно полномочия понижены и на сколько?

Виноват, неясно выразился.

На деле это означает, что запуск, например, "bacula-sd -u bacula -g bacula"
в юнит-файле systemd заменён на:

=8<===================================
User=bacula
Group=bacula
ExecStart=/usr/sbin/bacula-sd -f
=8<===================================

Т.е. при запуске под systemd не будет использоваться код понижения
полномочий из bacul-ы, запуск будет происходить сразу под нужными
пользователем/группой (силами systemd), без исполнения кода бакулы от рута
вообще. Вытекающие отсюда проблемы я вроде бы устранил, но дополнительное
тестирование помешает.

-- 
С уважением, Терешков Евгений.
Jabber ID: evg@altlinux.org, evg_krsk@jabber.ru

Re: [sisyphus] RFC: новая сборка bacula

[Anton Gorlov]

Аха.. а в bacula-fd ничего не менялось?

23.09.2016 11:15, Евгений Терешков пишет:
> Anton Gorlov пишет:
>
>>> Изменения в основном в нативной поддержке systemd и "нового" logrotate.
>>> Также проведены изменения в сторону усиления безопасности под systemd для
>>> bacula-sd/bacula-dir. В силу чего на системах с systemd демон(ы) могут не
>>> запустаться/не останавливаться корректно (но испортить ничего не должны,
>>> все изменения в сторону понижения полномочий). Конечно, работу под sysvinit
>>> тоже хорошо бы проверить.
>> Какие именно полномочия понижены и на сколько?
> Виноват, неясно выразился.
>
> На деле это означает, что запуск, например, "bacula-sd -u bacula -g bacula"
> в юнит-файле systemd заменён на:
>
> =8<===================================
> User=bacula
> Group=bacula
> ExecStart=/usr/sbin/bacula-sd -f
> =8<===================================
>
> Т.е. при запуске под systemd не будет использоваться код понижения
> полномочий из bacul-ы, запуск будет происходить сразу под нужными
> пользователем/группой (силами systemd), без исполнения кода бакулы от рута
> вообще. Вытекающие отсюда проблемы я вроде бы устранил, но дополнительное
> тестирование помешает.
>

Re: [sisyphus] RFC: новая сборка bacula

[Евгений Терешков]

Anton Gorlov пишет:

> Аха.. а в bacula-fd ничего не менялось?

Нет в том смысле что ему нужно работать под рутом, чтобы прочитать любой
файл в системе.

Конфигурации от sysvinit, где можно указать понижение привилегий до нужного
уровня, я постарался полностью учесть, чтобы после миграции на родной юнит
systemd bacula-fd работал так же как прежде (собственно, тестировал это на
себе).

-- 
С уважением, Терешков Евгений.
Jabber ID: evg@altlinux.org, evg_krsk@jabber.ru

Re: [sisyphus] RFC: новая сборка bacula

[Евгений Терешков]

Евгений Терешков пишет:

> в задании http://git.altlinux.org/tasks/169821/ собрана новая сборка
> текущей сизифной bacula-5.2.13, просьба тестировать. При отсутствии
> противопоказаний собираюсь в течении недели-двух отправить в Сизиф.
>
> Изменения в основном в нативной поддержке systemd и "нового" logrotate.
> Также проведены изменения в сторону усиления безопасности под systemd для
> bacula-sd/bacula-dir. В силу чего на системах с systemd демон(ы) могут не
> запустаться/не останавливаться корректно (но испортить ничего не должны,
> все изменения в сторону понижения полномочий). Конечно, работу под sysvinit
> тоже хорошо бы проверить.
>
> Для подключения репозитория задания добавьте в ваш sources.list
> следующую строку:
>
> rpm http://git.altlinux.org/repo/169821/ x86_64 task
>
> (для x86_64, для i586 аналогично)

Упс. Похоже из-за моей ошибки тестовая задача ушла прямо в Сизиф (раньше,
чем я собирался.). На всякий случай прошу проверить работу бакулы после
обновления.

-- 
С уважением, Терешков Евгений.
Jabber ID: evg@altlinux.org, evg_krsk@jabber.ru