Ситуация
Ты – админ узла с сервисом онлайн-опросов anketa. Ночью CI выкатил релиз 1.7.0, и с утра опросы не собираются: процесс падает и перезапускается по кругу, лог полон ошибок.
Что известно:
- тикет лида разработки:
/root/ticket-482.txt; - лог сервиса:
/var/log/anketa/anketa.log; - скрипт релиза (улика):
/opt/anketa/release-1.7.0.sh; - сервис работает не под root, а под служебным пользователем anketa – права нужно смотреть его глазами;
- обертка anketa-wrap сама перезапускает процесс каждые 2 секунды – руками ничего запускать не нужно;
- код
/opt/anketa/app.pyне трогать.
Запрет от безопасников: никаких chmod 777 – ключ API не должен быть доступен посторонним.
Что проверим
4 пункта · по состоянию системы, а не по командам
Верните сервису доступ к каталогу конфигов
Пользователь anketa должен попадать внутрь /etc/anketa. Посторонним писать в каталог нельзя.
Верните сервису доступ к конфигу
Конфиг должен читаться пользователем anketa. Посторонний не должен иметь права его переписать.
Закройте ключ от посторонних
Ключ API – секрет. Сервис под пользователем anketa обязан его прочитать, а любой посторонний пользователь – ни прочитать, ни изменить.