Linux+Apache+Python(mod_wsgi daemon) нет доступа к wsgi.sock | Форум

4 Апрель 2016, 11:16

Отклики: 4

4 Апрель 2016, 11:16

Отклики: 4

Цель: Запустить Apache2-mpm-itk от имени специально созданного пользователя, в домашнем каталоге которого будут храниться все файлы проекта. Статика, python virtualenv, django project.

ОС: Ubuntu 15.10 apache 2.4 python3.4.3 django1.9

Создаю пользователя и группу, домашнюю папку. Создаю виртуальное окружение для питона, устанавливаю джанго, создаю проект.

    <VirtualHost *:8080>
        ServerAdmin webmaster@localhost
        ServerName localhost
        DocumentRoot /home/www/xdsl_rtk_ru/html

WSGIDaemonProcess xdsl_rtk_ru python-path=/home/www/xdsl_rtk_ru/xdsl_rtk_ru_django/xdsl_rtk_ru_django:/home/www/xdsl_rtk_ru/pyth/lib/python3.4/site-packages user=xdsl_rtk_ru group=xdsl_rtk_ru processes=1
       WSGIProcessGroup xdsl_rtk_ru
       WSGIScriptAlias / /home/www/xdsl_rtk_ru/xdsl_rtk_ru_django/xdsl_rtk_ru_django/wsgi.py

        <Directory /home/www/xdsl_rtk_ru/xdsl_rtk_ru_django/xdsl_rtk_ru_django>
                Order deny,allow
                Require all granted
            </Directory>
        <Directory /home/www/xdsl_rtk_ru/html>
            Order deny,allow
            Require all granted
        </Directory>

        <Directory /home/www/xdsl_rtk_ru/run>
            Order deny,allow
            Require all granted
        </Directory>

        <Directory /home/www/xdsl_rtk_ru/pyth>
            Order deny,allow
            Require all granted
        </Directory>
AssignUserID xdsl_rtk_ru xdsl_rtk_ru
</VirtualHost>

В конфигурации модуля wsgi прописываю

WSGISocketPrefix /home/www/xdsl_rtk_ru/run/wsgi

Права на домашнюю папку пользователя xdsl_rtk_ru = 777 (в целях отладки) Все файлы и папки принадлежат пользователю.

При запуске выдаёт ошибку 503. В логах:

[pid 4842] (13)Permission denied: [client 127.0.0.1:36046] mod_wsgi (pid=4842): Unable to connect to WSGI daemon process 'xdsl_rtk_ru' on '/home/www/xdsl_rtk_ru/run/wsgi.4813.0.1.sock'.

Сам сокет принадлежит root, и все права исключительно у него. Если сделать chown xdsl_rtk_ru /home/www/xdsl_rtk_ru/run/wsgi.4813.0.1.sock всё тут же заработает, но, как мы понимаем, до рестарта сервера.

Вопрос: Почему сокет создаётся из под root? Как изменить подобное поведение?

P.S. Попрошу сильно не пинать, если что-то не так. Рад любой помощи.

Ответ | 0

4 Апрель 2016, 12:12

vadiq

Отклики: 96

4 Апрель 2016, 12:12

vadiq

Отклики: 96

В VirtualHost также нужно указать:

<Directory /home/www/xdsl_rtk_ru/xdsl_rtk_ru_django/xdsl_rtk_ru_django>
<Files wsgi.py>
Require all granted
</Files>
</Directory>

Значение <Directory> просто предоставляет Apache доступ к файлу wsgi.py.

Для папки xdsl_rtk_ru можно давать права 770, а не 777, чтобы посторонние пользователи не имели доступ (только для группы и владельца пусть будет). Попробуйте chmod -R 770 xdsl_rtk_ru, чтобы на все файлы внутри давать доступ. Ну а если сокет создаётся из под root, то надо как-то обойти это. Поидее изменить нельзя. Возможно я ошибаюсь.

Ответ | 0

4 Апрель 2016, 13:06

mr_nobody

Отклики: 4

4 Апрель 2016, 13:06

mr_nobody

Отклики: 4

http://serverfault.com/questions/322131/wsgi-says-permissions-denied-on-my-ubuntu-server-no-wsgisocketprefix-setting

 You are using ITK MPM for Apache. You will need to be using mod_wsgi 3.3 or later, which contains fix:

    When compiled against ITK MPM for Apache, if using daemon mode, the listener socket for daemon process will be marked as being owned by the same user that daemon process runs. This will at least allow a request handled under ITK MPM to be directed to daemon process owned by same user as script. See issue:

    http://code.google.com/p/modwsgi/issues/detail?id=187

You cannot though just use binary supplied by operating system as those available are likely only going to be for worker and prefork MPM. For ITK MPM you will need to compile mod_wsgi from source code and you MUST have the appropriate headers files for the ITK MPM installed and not those for worker or prefork MPM.

вот что я нашёл! Похоже на решение! Пойду компилировать mod_wsgi

Ответ | 0

4 Апрель 2016, 21:36

mr_nobody

Отклики: 4

4 Апрель 2016, 21:36

mr_nobody

Отклики: 4

Делаю отчёт. Может кому и пригодиться. В общем и целом в репозитарии Ubuntu 15.10 включен mod_wsgi (libapache2-mod-wsgi3) без поддержки mpm-itk, из-за чего и возникает ошибка доступа к сокету(сокет создаётся от имени пользователя запустившего Apache, в нашем случае root). Анализ буржуйских сайтов показал, что необходимо скомпилировать mod_wsgi из исходников с поддержкой mpm-itk. Для этого берём исходники mod_wsgi, клонируем, ставим пакет apache2-dev (необходим для сборки).

В директории с исходниками mod_wsgi идём в директорию src/server, ищем mod_wsgi.c Добавляем в начало файла:

#define MPM_ITK

!!!ВНИМАНИЕ!!! Именно так, на оф. сайте написано иначе, но анализ кода показывает что, видимо, уже не актуально.

Делаем

./configure --with-python=/usr/bin/python3

--with-python=/usr/bin/python3 это для того чтобы использовать третью версию пайтона

make
sudo make install

Модуль установится в /usr/lib/apache2/modules

А дальше подгружаем и настраиваем как нужно.

Ссылки:

http://serverfault.com/questions/322131/wsgi-says-permissions-denied-on-my-ubuntu-server-no-wsgisocketprefix-setting

http://modwsgi.readthedocs.org/en/develop/

https://code.google.com/archive/p/modwsgi/issues/187

Тему можно считать закрытой. Надеюсь мой опыт сэкономит чьё-то время и нервы.

Ответ | 1

4 Апрель 2016, 21:39 mr_nobody Отклики: 4	4 Апрель 2016, 21:39 mr_nobody Отклики: 4 P.S. Возможно так же необходимо установить mod_wsgi в окружение пайтона, но у меня заработало и так
	Ответ \| 0

1 Июнь 2016, 23:49 asteryx Отклики: 1	1 Июнь 2016, 23:49 asteryx Отклики: 1 Как же ты мне помог добрый человек. Спасибо тебе. Я сам дошел до того что файл .lock создается с неправильными правами но не знал что его создает. Сейчас перекомпилил и все запустилось.
	Ответ \| 0