[Apache] CGI 使うなら suEXEC 設定しとこ

DB&サーバ

2012.01.24

正月気分が抜けねぇぜ〜・・・。2012 年初投稿！今年もよろしくお願いします。nakamura です。今年の一発目は Apache のちょいネタ。Movable Type などの CGI プログラムを Apache で動かす際に設定しておくとちょっといい感じになる suEXEC について解説してみます。Apache をよくさわる人なら何を今更なエントリーだと思いますので、華麗にスルーしちゃってください。

suEXEC ってなんなの

suして exec するんです。要は CGI の実行ユーザを任意のものに指定する為の仕組みです。デフォルトでは Apache の起動ユーザになります。詳細はマニュアルを参照してください。 ●suEXEC サポート - Apache HTTP サーバ

suEXEC を使わない場合の問題点

CentOS のデフォルトでは Apache の起動ユーザである apache ユーザによって CGI プログラムは実行されます。suEXEC を使わない場合、この状態で例えばMTを動かすには二通りの方法があります。 (一)CGI プログラム、及びMTがファイルを出力するディレクトリのオーナーを apache ユーザに変える (二)apache ユーザでも実行、書き込みができるよう CGI プログラム、及びMTがファイルを出力するディレクトリのパーミッションをゆるくする 1の方法でもひとまずMT自体は問題なく動くでしょう。ただ現実的には全てのファイルをMTで管理するわけではなく、css やjsなど手動でアップロードしたいファイルも多いはずです。でもオーナー apache のディレクトリにアップロード用のユーザで書き込みはできない・・・、となるとMTで出力するディレクトリと手動でアップロードするディレクトリでオーナーを細かく分けて・・・云々カンヌン・・・。あーもうシャラクセェ！パーミッション変えちまえ！という事でよくないとは思いつつも結局2の方法に逃げてしまったりするんですね～。

suEXEC を使ってみる

suEXEC を使うと上記のようなメンドクサイ状況があっさり解決できてしまいます。要は CGI の実行ユーザとファイルアップロード用のユーザが同じならいいわけですね。まずはファイルアップロード用のユーザを作成します。ユーザ名はお好みで。

useradd deployer
passwd deployer

CGI と出力先のディレクトリのオーナーをアップロード用のユーザに変更します。

chown deployer:deployer -R /var/www/cgi-bin/mt/
chown deployer:deployer -R /home/projects/c-brains.jp/htdocs/

CGI ファイルには実行権限が必要です。念のため。

find /var/www/cgi-bin/mt -maxdepth 1 -mindepth 1 -type f -name "*.cgi" | xargs chmod +x

CentOS のデフォルトであれば、後は Apache の設定をして再起動するだけです。ソースからコンパイルしているとか、OSが違うとかであれば、mod_suexec が有効になっているか確認してください。 Apache の設定はだいたいこんな感じ。

<VirtualHost *:80>
 ServerName www.example.com
 DocumentRoot /home/projects/c-brains.jp/htdocs
 ServerAdmin nakamura@example.com

 # これを追加するだけ
 SuexecUserGroup deployer deployer

 <Directory "/home/projects/c-brains.jp/htdocs">
  Options FollowSymLinks
  AllowOverride All
  Order Deny,Allow
 </Directory>

 Alias /cgi-bin /var/www/cgi-bin
 <Directory /var/www/cgi-bin>
  AllowOverRide All
  Options ExecCGI
  AddHandler cgi-script .cgi .pl
  Order Deny,Allow
 </Directory>
</VirtualHost>