Ubuntu-fr

duddy67

Apache PHP-FPM configurer plusieurs pools ?

Bonjour,

Je galère depuis 2 jours en essayant de configurer Apache et PHP-FPM afin de compartimenter les espaces utilisateurs (pools) sur le serveur.
Voici pas à pas mon installation (Ubuntu 16.04) et ma configuration serveur:

sudo apt-get install apache2 libapache2-mod-fastcgi php7.0-fpm php7.0
a2enmod actions fastcgi alias
sudo service apache2 restart

Configuration du vhost par défaut:

vi /etc/apache2/sites-available/000-default.conf

ServerAdmin webmaster@localhost
DocumentRoot /var/www

<IfModule mod_fastcgi.c>
  AddHandler php7-fcgi .php
  Action php7-fcgi /php7-fcgi virtual
  Alias /php7-fcgi /usr/lib/cgi-bin/php7-fcgi
  FastCgiExternalServer /usr/lib/cgi-bin/php7-fcgi -socket /var/run/php/php7.0-fpm.sock -pass-header Authorization
  <Directory /usr/lib/cgi-bin>
    Require all granted
   </Directory>
</IfModule>

Ensuite j'ai créé un utilisateur nommé "web"

sudo adduser web

et j'ai configuré son home dans /var/www/web

sudo mkdir/var/www/web
sudo usermod -d /var/www/web web

Création et configuration du fichier pool pour le nouvel utilisateur:

sudo cp /etc/php/7.0/fpm/pool.d/www.conf /etc/php/7.0/fpm/pool.d/web.conf

[web]
 ...
 user = web
 group = web
 ...
 listen = /run/php/php7.0-fpm.web.sock
 ...
 listen.owner = web
 listen.group = web

sudo service php7.0-fpm reload

Création du vhost pour le nouvel utilisateur:

vi /etc/apache2/sites-available/web.conf

ServerAdmin webmaster@localhost
DocumentRoot /var/www/web

<IfModule mod_fastcgi.c>
  AddHandler php7-fcgi-web .php
  Action php7-fcgi-web /php7-fcgi-web virtual
  Alias /php7-fcgi-web /usr/lib/cgi-bin/php7-fcgi-web
  FastCgiExternalServer /usr/lib/cgi-bin/php7-fcgi-web -socket /var/run/php/php7.0-fpm.web.sock -pass-header Authorization
  <Directory /usr/lib/cgi-bin>
    Require all granted
  </Directory>
</IfModule>

sudo a2ensite web.conf
sudo service apache2 reload

Maintenant pour m'assurer que les fichier PHP sont exécutés avec les bon droits utilisateur j'ai placé le script user.php dans /var/www et dans var/www/web

<?php
  $processUser = posix_getpwuid( posix_geteuid() );
  var_dump($processUser);
?>

Quand je lance /var/www/user.php il m'affiche "www-data" ce qui est normal.
Par contre quand je lance /var/www/web/user.php il m'affiche toujours "www-data" alors qu'il devrait afficher "web"

Je ne comprend vraiment pas ce qui ne va pas dans ma configuration.
Quelqu'un pourrait m'aider ?

Merci d'avance.

koshieIsYourDaddy

Re : Apache PHP-FPM configurer plusieurs pools ?

Salut,

Pourquoi vouloir utiliser un autre groupe que www-data pour ton serveur web? C'est ce que propose par défaut Debian et à priori, Ubuntu, et c'est une excellente pratique. Cet utilisateur est fait pour ça.

J'ai comme toi, quand j'en ai besoin, des pools pour chaque projet qui contient du PHP. Personnellement, j'ai un utilisateur qui n'a pas de droit root pour qu'il puisse bosser dans le dossier (l'user qui a read, write et execute) et le groupe est www-data, comme ça NGinX chez moi (et Apache chez toi) peut utiliser le répertoire avec des règles restreintes. Et ça marche.

En gros, si j'ai bien compris ton problème, t'embête pas, comme propriétaire si tu as tonuser:www-data c'est très bien.

Koshicalement

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Salut et merci pour ta réponse.

Tout laisser sur "www-data" est une option en effet, mais je dois "hoster" plusieurs users et je préfère
pour des raisons de sécurité que chaque user exécute ses scripts indépendamment.
De plus ce n'est pas une bonne chose que l'utilisateur "web" exécute des scripts en tant que "www-data" car
il va avoir des problèmes de permissions (avec ZipArchive par ex) et il ne pourra pas exécuter
son script et sera bloqué.

Aurais tu une idée de ce qui coince dans ma config ?

koshieIsYourDaddy

Re : Apache PHP-FPM configurer plusieurs pools ?

Alors, désolé je reste un peu planter dans mon idée, mais, en quoi est-ce un problème si tu host plusieurs users avec leur projet d'avoir www-data en groupe pour chacun d'entre eux?

Sur mon serveur j'ai deux utilisateurs qui ont chacun des droits rwx sur leur dossier, dans leur home, avec comme groupe pour les dossiers www-data, puisqu'il sert à ça. Et de toute façon, les scripts seront exécuté par le groupe (le serveur web, quoi) et non pas par les utilisateurs Unix qui modifient éventuellement les fichiers dans leur Document Root.

www-data permet juste à Apache (dans ton cas) d'avoir la possibilité d'exécuter, lire voir écrire dans les Document Root. Il n'y aura pas de problèmes de permissions si tu configure correctement ces derniers pour le groupe. Par exemple, pour un projet PHP perso je présume que le groupe n'a souvent pas besoin de write, tandis qu'avec un CMS comme Wordpress il lui faudra bien pour qu'il puisse intéragire avec le contenu du Document Root.

Donc j'ai franchement l'impression que tu tape à côté du problème. Sans vouloir t'offusquer.

Pour moi ce qui coince c'est ta façon de voir les choses, mais je peux me tromper.

Koshicalement

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Je reste un peu perplexe sur ce sujet.
Sur mes serveurs Ubuntu 14.04 j'utilise le module suPHP qui est très simple à configuer et fait exactement ce que je veux.
Malheureusement suPHP n'est plus dispo en 16.04 et les seules options sont le module Ruid2 ou PHP-FPM, mais j'ai
vu qu'il y avait des problèmes avec Ruid2 c'est pour ça que j'ai opté pour PHP-FPM.

Concernant www-data en groupe, j'ai donc ajouté le groupe www-data au user web:

sudo usermod -a -G www-data web

Mais lorsque que j'essais d'exécuter le script suivant:

set_time_limit(0);
 
$zip = new ZipArchive;
if ($zip->open('file.zip') === TRUE) {
    $zip->extractTo('.');
    $zip->close();
    echo 'ok';
} else {
    echo 'failure';
}

J'ai l'erreur suivante

FastCGI: server "/usr/lib/cgi-bin/php-fcgi" stderr: PHP message: PHP Warning: ZipArchive::extractTo(): Permission denied in /var/www/web/unzip.php on line 6

koshieIsYourDaddy

Re : Apache PHP-FPM configurer plusieurs pools ?

Quels sont les droits et propriétaires (ls -l) de /var/www/ et son contenu?

bruno

Re : Apache PHP-FPM configurer plusieurs pools ?

Bonjour,

Contrairement à koshieIsYourDaddy, je pense que c'est une très bonne chose d'utiliser les pools FPM pour avoir des utilisateurs différents pour chaque site.
N.B. : dans ce contexte c'est toujours l'utilisateur www-data qui lance les processus Apache, par contre les scripts PHP sont exécutés par PHP-FPM par l'utilisateur spécifié dans le pool. En cas de faille exploitée dans l'un des sites les dégâts seront strictement limités au site en question.

Reprenons ta configuration :

- pour le vhost par défaut, je ne vois pas l’intérêt, il devrait simplement être désactivé…
- pour tes autres vhosts tu devrais avoir cette structure :

<VirtualHost *:80>
        ServerAdmin webmaster@localhost
        # la directive ServerName est obligatoire
        ServerName ton_nom_de_domaine.com

        DocumentRoot /var/www/web

        # si mod_php n'est pas utilisé, les scripts php sont pris en charge par php-fpm via le socket spécifique défini dans le pool
       	<IfModule !mod_php7.c>
	# Enable http authorization headers
	SetEnvIfNoCase ^Authorization$ "(.+)" HTTP_AUTHORIZATION=$1

	<FilesMatch ".+\.ph(p[3457]?|t|tml)$">
		SetHandler "proxy:unix:/run/php/php7-fpm.web.sock|fcgi://localhost"
	</FilesMatch>
	<FilesMatch ".+\.phps$">
		# Deny access to raw php sources by default
		# To re-enable it's recommended to enable access to the files
		# only in specific virtual host or directory
		Require all denied
	</FilesMatch>
	# Deny access to files without filename (e.g. '.php')
	<FilesMatch "^\.ph(p[3457]?|t|tml|ps)$">
		Require all denied
	</FilesMatch>
	</IfModule>

        <Directory /var/www/web>
                Options -Indexes +FollowSymLinks +MultiViews
                Require all granted
                # et autres directives
       </Directory>
</VirtualHost>

Pour ton fichier de pool, user et group sont l'utilisateur et le groupe qui exécutent les scripts PHP; listen.owner et listen.group sont l'utilisateur et le groupe qui exécute le serveur web (www-data dans notre cas) :

[web]
 ...
 user = web
 group = web
 ...
 listen = /run/php/php7.0-fpm.web.sock
 ...
 listen.owner = www-data
 listen.group = www-data

Cela devrait fonctionner ainsi.
Ne pas oublier de recharger Apache et php-fpm si tu modifies sa configuration :

sudo service apache2 relaod
sudo service php7.0-fpm restart

Autres remarques :

Quand tu créées ton utilisateur il est probable (et préférable) que celui-ci n'as pas besoin d'un accès au shell, donc :

sudo usermod -s /bin/false web

Il serait judicieux de créer un groupe pour les différents utilisateurs des différents sites.

Dernière modification par bruno (Le 16/09/2016, à 11:25)

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Quels sont les droits et propriétaires (ls -l) de /var/www/ et son contenu?

ls -l /var/www

-rw-r--r-- 1 root root 11321 Sep 13 11:28 index.html
-rw-r--r-- 1 root root    25 Sep 13 11:54 phpinfo.php
drwxr-xr-x 4 web  web   4096 Sep 13 17:57 web

Dernière modification par duddy67 (Le 16/09/2016, à 11:24)

koshieIsYourDaddy

Re : Apache PHP-FPM configurer plusieurs pools ?

Contrairement à koshieIsYourDaddy, je pense que c'est une très bonne chose d'utiliser les pools FPM pour avoir des utilisateurs différents pour chaque site.

Mais, j'ai jamais dis le contraire, c'est ce que je fais .

Alors, j'ai peut-être mal compris le problème, mais j'ai cru comprendre qu'il voulait pas passer par www-data. Or c'est intéressant. Il peut très bien avoir des utilisateurs différents pour chaque pool (c'est ce que je fais, bis) mais il devrait conserver le groupe dédié au serveur web, pré-configuré avec Apache, avec qui il marche très bien, ça évite de le faire soi-même et éventuellement oublier un détail qui poserait un problème de sécurité.

J'ai du mal m'exprimer et mal lire...

@duddy67, je commencerai pas essayer de vérifier si le dossier web aurait pas besoin, au niveau du groupe, de plus de permission (simplement pour tester, un chmod -R g+w sur /var/www/web, ce qui donne pour le groupe un 7, c'est pas top mais parfois il le faut bien je crois, et pense à enlever rx sur o, je ne pense pas que ça te servira et ça peut être un risque). Aussi, de laisser www-data comme groupe et configurer tes pools avec l'user de ton choix et le groupe par défaut, www-data, donc.

Dernière modification par koshieIsYourDaddy (Le 16/09/2016, à 11:32)

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

@Bruno
Bonjour et merci pour ton aide.
J'ai donc bien suivi tes instructions mais malheureusement ça ne marche toujours pas
Je ne comprends vraiment pas ce qui se passe avec ma config.
Pourtant si je fais un top j'ai bien mon user "web" dans les processus

2709 web       20   0  219148   6436   1588 S  0.0  0.8   0:00.00 php-fpm7.0   
2710 web       20   0  219148   6436   1588 S  0.0  0.8   0:00.00 php-fpm7.0

Donc ça devrait fonctionner.
Une idée ?

J5012

Re : Apache PHP-FPM configurer plusieurs pools ?

il faut mettre web ailleurs que dans /var/www , certains utilisateurs conseillent /srv ...

bruno

Re : Apache PHP-FPM configurer plusieurs pools ?

Est-ce que tu as bien désactivé ton vhost par défaut ?

sudo a2dissite 000-default.conf

(ou default.conf)

Comme tu n'as pas de directives ServerName, je suppose que lorsque tu fais tes tests c'est le premier vhost qui est utilisé (donc 000-default.conf).

EDIT : pour l'epmplacement des sites effectivement c'est logiquement dans /srv, par exemple /srv/web/site1/www, mais cela n'as pas vraiment d'importance. Beaucoup d'nfrastructures mutualisées utilisent /home. Cequi compte c'est d'avoir les doits les plus restrictifs possibles sur le dossier racine de site et son contenu. Dans ce cas ce dervait  être : web:web rw(x)r-(x)--- (le x uniquement sur les dossiers).

Dernière modification par bruno (Le 16/09/2016, à 12:13)

koshieIsYourDaddy

Re : Apache PHP-FPM configurer plusieurs pools ?

il faut mettre web ailleurs que dans /var/www , certains utilisateurs conseillent /srv ...

Rien à voir dans le contexte (je crois), et c'est même mieux selon certains dans l'home de l'utilisateur qui va s'en servir. De mon avis, la seule chose qui fait que /var/www n'est pas la meilleurs place (et pourtant, c'est celle par défaut sur pas mal de Linux) c'est que tu utilise l'endroit évident où beaucoup de gens mettront leur Document Root, ainsi que l'ajout de permission d'accès pour le ou les utilisateurs Unix qui devront bosser dedans. Si tu met ça dans ton /home tu n'as pas ça à faire et en plus en jouant avec le groupe, le serveur web y aura directement accès.

M'est avis à deux francs.

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

J'ai bien désactivé le vhost par défaut

sudo a2dissite 000-default.conf

mais maintenant j'ai une erreur 404

The requested URL /web/ was not found on this server.

bruno

Re : Apache PHP-FPM configurer plusieurs pools ?

Encore une fois tu n'as pas de

ServerName

donc si web.conf est ton seul site activé il est accessible via http://localhost si tu est sur ta machine locale ou http://ip_du_serveur si tu travailles sur un serveur distant

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Je ne sais pas quoi mettre comme ServerName.
Mon serveur est un guest VirtualBox (je suis sous Windows 7) et j'y accède via http://192.168.56.105
J'ai edité /etc/hosts du serveur et j'ai ajouté:

192.168.56.105 monserveur

puis dans le vhost j'ai mis:

ServerName monserveur

J'ai tout redémarré mais j'ai toujours cette erreur 404.

bruno

Re : Apache PHP-FPM configurer plusieurs pools ?

Assure-toi d'avoir comme seul hôte virtuel web.conf, voir le résultat de :

ls -l /etc/apache2/sites-enabled

Vérifie la configuration d'Apache avec :

sudo apche2ctl -t

Qu'obtiens-tu en allant sur http://192.168.56.105 ? (sans le /web)

Et donnes-nous le contenu complet de web.conf.

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Voici les résultats:

ls -l /etc/apache2/sites-enabled
lrwxrwxrwx 1 root root 27 Sep 14 08:09 web.conf -> ../sites-available/web.conf

sudo apache2ctl -t
AH00558: apache2: Could not reliably determine the server's fully qualified domain name, using 127.0.1.1. Set the 'ServerName' directive globally to suppress this message
Syntax OK

Qu'obtiens-tu en allant sur http://192.168.56.105 ? (sans le /web)

Je tombe sur le index.html (It works) de Apache.

web.conf

<VirtualHost *:80>
        ServerName monserveur
        ServerAdmin webmaster@localhost
        DocumentRoot /var/www/web

          <Directory /var/www/web>
                Options Indexes FollowSymLinks MultiViews
                AllowOverride None
                Require all granted
          </Directory>

        <IfModule !mod_php7.c>
                # Enable http authorization headers
                SetEnvIfNoCase ^Authorization$ "(.+)" HTTP_AUTHORIZATION=$1

                <FilesMatch ".+\.ph(p[3457]?|t|tml)$">
                        SetHandler "proxy:unix:/run/php/php7-fpm.web.sock|fcgi://localhost"
                </FilesMatch>
                <FilesMatch ".+\.phps$">
                        # Deny access to raw php sources by default
                        # To re-enable it's recommended to enable access to the files
                        # only in specific virtual host or directory
                        Require all denied
                </FilesMatch>
                # Deny access to files without filename (e.g. '.php')
                <FilesMatch "^\.ph(p[3457]?|t|tml|ps)$">
                        Require all denied
                </FilesMatch>
        </IfModule>

        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

Dernière modification par duddy67 (Le 16/09/2016, à 15:30)

bruno

Re : Apache PHP-FPM configurer plusieurs pools ?

Ce n'est pas normal… Ta configuration semble correcte et donc normalement tu devrais tomber sur le fichier index.php qui est dans /var/www/web pas sur le index.html qui est dans /var/www/html

Soit tu as oublié de redémarrer Apache, soit tu as modifié d'autres fichiers de configuration…

J5012

Re : Apache PHP-FPM configurer plusieurs pools ?

le servername 'monserveur' est dns-isé correctement ? si non le /etc/hosts est ok ?

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Bon, j'ai tout repris depuis le début pour être sûr.
Ceci dit j'ai modifié légèrement le répertoire user.

Installation:

sudo apt-get install apache2 libapache2-mod-fastcgi php7.0-fpm php7.0
a2enmod actions fastcgi alias
sudo service apache2 restart

Création du user et de son répertoire:

sudo adduser web
sudo mkdir -p /var/www/web05.dev/html
sudo chown -R web:web /var/www/web05.dev
sudo usermod -d /var/www/web05.dev web 

Configuration du virtualhost:

sudo vi /etc/apache2/sites-available/web05.dev.conf

<VirtualHost *:80>
        ServerName web05.dev
        ServerAdmin webmaster@localhost
        DocumentRoot /var/www/web05.dev/html

        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

edition du fichier hosts du serveur:

sudo vi /etc/hosts
192.168.56.105 web05.dev

(même chose dans le fichier hosts de Windows.)

Note: J'ai placé un fichier index.html dans /var/www/web05.dev/html qui affiche "Web05.dev".

sudo a2dissite 000-default.conf
sudo a2ensite web05.dev.conf
sudo service apache2 reload
sudo service apache2 restart

Lorsque je tape http://web05.dev dans mon browser je tombe bien sur le index.html qui affiche "Web05.dev".
Donc jusque là tout va bien.

Maintenant rebelotte pour PHP-FPM :

sudo cp /etc/php/7.0/fpm/pool.d/www.conf /etc/php/7.0/fpm/pool.d/web05.dev.conf

[web05.dev]
 ...
 user = web
 group = web
 ...
 listen = /run/php/php7.0-fpm.web05.dev.sock
 ...
 listen.owner = www-data
 listen.group = www-data

sudo service php7.0-fpm reload
sudo service php7.0-fpm restart

et enfin je rajoute cette partie dans /etc/apache2/sites-available/web05.dev.conf

       	<IfModule !mod_php7.c>
	# Enable http authorization headers
	SetEnvIfNoCase ^Authorization$ "(.+)" HTTP_AUTHORIZATION=$1

	<FilesMatch ".+\.ph(p[3457]?|t|tml)$">
		SetHandler "proxy:unix:/run/php/php7-fpm.web05.dev.sock|fcgi://localhost"
	</FilesMatch>
	<FilesMatch ".+\.phps$">
		# Deny access to raw php sources by default
		# To re-enable it's recommended to enable access to the files
		# only in specific virtual host or directory
		Require all denied
	</FilesMatch>
	# Deny access to files without filename (e.g. '.php')
	<FilesMatch "^\.ph(p[3457]?|t|tml|ps)$">
		Require all denied
	</FilesMatch>
	</IfModule>

sudo service apache2 reload
sudo service apache2 restart

mais lorsque j'essais de lancer le script phpinfo.php que j'ai mis dans /var/www/web05.dev/html
le code n'est pas interprété. Le browser m'affiche:

<?
echo phpinfo();
?>

Quelqu'un pourrait il me dire ce qui va pas dans cette config ?

bruno

Re : Apache PHP-FPM configurer plusieurs pools ?

Il faudrait regarder les logs…
Est-ce que les mod fcgid et proxy_fcgi sont activés ? (requis par la ligne que je ta'ai indiqué pour le vhost : Sethandler… etc.

sudo a2enmod fcgid proxy_fcgi

et relancer apache2 et php7.0-fpm.

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Le module fcgid n'était pas installé. Je l'ai donc installé puis activé en même temps que proxy_fcgi

sudo a2enmod fcgid proxy_fcgi
sudo service apache2 restart

Et là j'ai une erreur 503

Service Unavailable
The server is temporarily unable to service your request due to maintenance downtime or capacity problems. Please try again later.

Voilà ce que dit le log d'erreur d'Apache:

[Sun Sep 18 09:49:28.657393 2016] [proxy:error] [pid 2210:tid 140560102840064] (2)No such file or directory: AH02454: FCGI: attempt to connect to Unix domain socket /var/run/php/php7-fpm.web05.dev.sock (*) failed
[Sun Sep 18 09:49:28.657437 2016] [proxy_fcgi:error] [pid 2210:tid 140560102840064] [client 192.168.56.1:49309] AH01079: failed to make connection to backend: httpd-UDS

Une idée ?

bruno

Re : Apache PHP-FPM configurer plusieurs pools ?

Apache ne trouve pas le fichier : /var/run/php/php7-fpm.web05.dev.sock
Vérifie que ce fichier existe et qu'il appartient bien à www-data. Normalement ce fichier (socket) devrait être créé au lancement de php-fpm suivant les directives de configuration du pool (à vérifier aussi) et éventuellement relancer php-fpm.

duddy67

Re : Apache PHP-FPM configurer plusieurs pools ?

Le fichier /var/run/php/php7-fpm.web05.dev.sock existe bien et les droits www-data:www-data sont correcte.
Quel peut être le problème alors ?