ssh автоматизация развертывания пользователя www-data или другого пользователя

Question

У нас есть проект на /var/www и он принадлежит пользователю www-data .

Я хотел бы создать автоматизацию для развертывания, поэтому я делаю:

• Подключайтесь через SSH как пользовательские www-data
• Перейдите в /var/www/somefolder
• Выполните git pull и все соответствующие вещи.

Безопасно ли входить в систему через www-data через ssh и выполнять эти действия?

Или я должен войти в систему с другим пользователем, а затем дать ему www-data group? Или войти с другим пользователем, а затем su www-data и чем заниматься?

Answer 1

Проблема не столько в том, что вход в систему с использованием www-data небезопасен, но и в том, что весь ваш веб-сайт доступен для записи этой учетной записью. Вы должны использовать другую учетную запись для управления файлами вашего сайта, которая имеет права на запись в каталоги. Этот пользователь должен владеть файлами (и, как правило, также входит в группу www-data но это не является абсолютно необходимым). После этого вы сможете использовать необходимые разрешения, используя разрешения группы, чтобы указать, что может делать веб-сайт, и права пользователя, чтобы указать, что может делать ваша учетная запись управления. Вам, вероятно, никогда не понадобится давать какие-либо разрешения others для этих файлов.

Эта учетная запись управления также должна иметь возможность sudo chmod (и, вероятно, sudo chown) по мере необходимости, чтобы разрешить веб-сайту права на запись в определенные папки вашего сайта (например, временную папку). Если вы не хотите разрешать это этому пользователю, вам необходимо предоставить папки для этой цели, которые вам понадобятся для использования менеджерами веб-сайтов.