40087


次のように、nginxを動かしているユーザーtekitouに/var/log/php-fpm以下の所有権を与えると

[code]

    chown -R tekitou:tekitou /var/log/php-fpm
    
[/code]

以下のようなエラーが出ます

[code]

    /etc/cron.daily/logrotate:
    error: skipping "/var/log/php-fpm/error.log" because parent directory has insecure permissions (It's world writable or writable by group which is not "root") Set "su" directive in config file to tell logrotate which user/group should be used for rotation.
    error: skipping "/var/log/php-fpm/www-error.log" because parent directory has insecure permissions (It's world writable or writable by group which is not "root") Set "su" directive in config file to tell logrotate which user/group should be used for rotation.
    
[/code]

このエラー自体は上のメッセージにあるようにlogrotateの設定ファイルを修正する事で出なくなるようですが、気になるのはこの部分です

[code]

    because parent directory has insecure permissions (It's world writable or writable by group which is not "root")
    
[/code]

ログを書き込むために権限が必要だったので、nginxを動かしているユーザーに所有権を与えたのですが、  
このメッセージ(insecure permissions)を見る限りこのような事をするのは止めたほうが良かったのでしょうか？

もし、止めたほうがいいのであるならば、好ましいのはどのような方法でしょうか？

また、このままにする事でどのようなセキュリティー上のリスクがあるのでしょうか？

* * *

パーミッションを追記しました。  
ユーザー、グループはいずれもtekitou、tekitouです。

[code]

    /var/log/php-fpm 770
    /var/log/php-fpm/error.log 600
    /var/log/php-fpm/www-error.log 644
    
[/code]


CC BY-SA 3.0
2017-12-06T08:59:36.700
40086
2020-07-23T16:57:47.113
2020-07-23T16:57:47.113
3060
25791
question
php linux centos nginx
logrotate時に出るparent directory has insecure permissionsに関して


エラーの出ている各ログファイル(error.log, www-error.log)の親ディレクトリ、今回の場合は`/var/log/php-
fpm/`のパーミッションが`770`ということで、グループに対しての書き込み権限が立っており、この部分で怒られているのだと思います。

懸念事項としては、パーミッションの設定が不適切でgroup(グループ)やworld(その他)に対して書き込み権限が付いていた場合、不用意に他のユーザーからログが書き換えられてしまう可能性があるということでエラーが出ているのでしょう。

対策としては、該当ディレクトリのパーミッションを修正するか、[参考1](http://gakumon.tech/nginx/nginx_permission_etc.html)

[code]

    # chmod 750 /var/log/php-fpm/
                or
    # chmod g-w /var/log/php-fpm/
    
[/code]

メッセージにも出ている通りloglotate.confの中で「どのユーザー権限でロテートするか」を`su
ディレクティブ`で指定してあげるのがよいそうです。[参考2](https://qiita.com/tjinjin/items/b2108b5178c096795a76)

[code]

    /var/log/php-fpm/*.log {
        ...
        su tekitou tekitou
    }
    
[/code]


CC BY-SA 3.0
2017-12-06T09:31:34.110
40087
2017-12-07T01:56:35.433
2017-12-07T01:56:35.433
3060
3060
40086
answer