Symfony2 Capifony deploy setfacl 缓存目录不允许操作

Question

我正在使用 Capifony 多阶段部署将我的 Symfony2 网络应用部署到 Ubuntu 机器上的 Apache 网络服务器上，托管在 AWS 上。

我有用户设置

set :user,        "ubuntu"

像这样设置缓存的可写目录

set :writable_dirs,     ["app/cache"]
set :webserver_user,    "www-data"
set :use_set_permissions, true
set :permission_method, :acl

除了运行时，一切都部署良好

executing "setfacl -R -m u:ubuntu:rwx -m u:www-data:rwx /var/www/releases/20140310012814/app/cache"

我收到多个操作不允许的错误，例如

setfacl: /var/www/releases/20140310012814/app/cache/prod/classes.php: Operation not permitted

似乎用户(大概是“www-data”)无法对“ubuntu”创建的文件设置权限。但是，我已经从/var/www/current 目录在服务器上运行了以下命令，但我不完全确定它们的作用:

sudo setfacl -R -m u:www-data:rwX -m u:`whoami`:rwX app/cache
sudo setfacl -dR -m u:www-data:rwx -m u:`whoami`:rwx app/cache

这是一些 acl 信息

getfacl app/cache

# file: app/cache
# owner: ubuntu
# group: ubuntu
user::rwx
user:www-data:rwx
user:ubuntu:rwx
group::rwx
mask::rwx
other::rwx
default:user::rwx
default:user:www-data:rwx
default:user:ubuntu:rwx
default:group::rwx
default:mask::rwx
default:other::rwx

我看过类似的问题 here我应该运行类似的东西吗？比如:

sudo sh -c 'setfacl -R -m u:ubuntu:rwX -m u:www-data:rwX /var/www/current/app/cache'

谢谢

Answer 1

Capifony 有一个食谱条目解释了如何 automatically set proper permissions .基本上你需要的是:

set :writable_dirs,       ["app/cache", "app/logs"]
set :webserver_user,      "www-data"
set :permission_method,   :acl
set :use_set_permissions, true

:use_sudo 不需要是 true 只要 :writable_dirs 属于 :user >.

问题

setfacl: /var/www/releases/20140310012814/app/cache/prod/classes.php: Operation not permitted

此消息表示任务运行时缓存目录不为空(setfacl 对该目录中的 prod/classes.php 进行操作)，这是 < em>不 属于:user(不允许setfacl)。

文件不属于:user 的事实是很正常的，因为网络服务器会创建大量缓存文件，从而使它们属于:webserver_user。

奇怪的是缓存目录不是空的。通常新版本应该有一个空的缓存目录。一个常见的原因是缓存目录是共享的，这意味着您已将其添加到 :shared_children。如果是这样，请将其删除。不应共享缓存目录。

如果不是这种情况，则尝试找出运行 setfacl 任务时缓存目录不为空的原因。也许其他任务即将运行。

可写的共享子级

如果你真的想要一个共享目录对网络服务器来说是可写的怎么办？这实际上很常见，想想应该共享的 media 或 uploads 目录。

应该在实际的共享目录上设置权限，而不是发布目录中的符号链接(symbolic link)。只要 :writable_dirs 中的完全相同的短语也在 :shared_children 中，Capifony 会为您处理这件事。

# this will work:
set :shared_children, ["web/uploads"]
set :writable_dirs,   ["web/uploads"]

# this will also work:
set :web_path,        "web"                    # is default
set :shared_children, [web_path + "/uploads"]
set :writable_dirs,   ["web/uploads"]

# this will not:
set :web_path,        "web"                    # is default
set :shared_children, [web_path + "/uploads"]
set :writable_dirs,   ["web/uploads/"]         # trailing /

请检查错误中提到的目录是否是实际的共享目录(不是符号链接(symbolic link))。

共享目录的所有者必须是将运行 setfacl 命令的用户。换句话说，它必须是 :user。当您更改了 :user 的值，或者在过去启用了 :use_sudo 时，这可能会导致问题。请检查目录(在 :writable_dirs 中设置)是否确实属于 :user。

Capifony 将检查权限是否已设置。如果是这样，它就不会再尝试这样做了。这是通过以下命令完成的:

getfacl --absolute-names --tabular #{dir} | grep #{webserver_user}.*rwx | wc -l"

尝试手动运行此命令(将 #{dir} 和 #{webserver_user} 替换为实际值)以查看结果。如果它没有产生任何结果，则 Capifony 会假定权限尚未设置，并将尝试这样做。

在这种情况下，请使用 getfacl 手动检查权限。如果它们确实不正确，请手动设置它们(再次替换 #{user}、#{webserver_user} 和 #{dir})使用“根的力量”:

sudo setfacl -R -m u:#{user}:rwX -m u:#{webserver_user}:rwX #{dir}
sudo setfacl -dR -m u:#{user}:rwx -m u:#{webserver_user}:rwx #{dir}

然后再次运行 Capifony。如果一切顺利，这次应该会成功!