Passenger/mod_rails не инициализируется в Fedora 12 при запуске Apache

Я сделал то же самое, что и Фред, за исключением того, что вместо того, чтобы делать это по одной ошибке за раз:

1. Перейдите в разрешительный режим, запустив setenforce 0
2. Перезапустите apache, зайдите на свой сайт и используйте его некоторое время как обычно.
3. Беги grep httpd /var/log/audit/audit.log | audit2allow -M passenger
4. semodule -i passenger.pp
5. Вернитесь в принудительный режим, запустив setenforce 1
6. Перезапустите apache и проверьте свой сайт — надеюсь, все будет работать как прежде!

Обратите внимание, что это в основном конкретный пример процедуры в справке Centos SELinux — проверить это.

У меня такая же проблема в CentOS 5.4, SELinux мешает Passenger.

Установка PassengerTempDir в /var/run/passenger просто дает вам те же ошибки разрешений в новом каталоге вместо /tmp :

[Mon Feb 22 11:42:40 2010] [error] *** Passenger could not be initialized because of this error: Cannot create directory '/var/run/passenger/passenger.3686'

Затем я могу изменить контекст безопасности /var/run/passenger, чтобы обойти эту ошибку:

chcon -R -h -t httpd_sys_content_t /var/run/passenger/

... и это позволяет Passenger создавать временный каталог, но не файлы в этом каталоге:

[Mon Feb 22 12:07:06 2010] [error] *** Passenger could not be initialized because of this error: Cannot create FIFO file /var/run/passenger/passenger.3686/.guard: Permission denied (13)

Как ни странно, повторный запуск рекурсивного chcon снова не устраняет эту ошибку, он продолжает умирать в этот момент, и именно здесь мои знания SELinux становятся туманными.

Разделы 6.3.5 и 6.3.7 Phusion Passenger содержат некоторые полезные мысли, но они, похоже, не решают проблему полностью.

Вам нужно больше, чем просто разрешение httpd_sys_content_t. Для начала я использую следующую технику:

• начать хвост в журнале аудита: tail -f /var/log/audit/audit.log
• перезагрузить апач: apachectl restart
• Перейдите в каталог /tmp/: cd /tmp
• Если добавляется только 1 строка, используйте команду: tail -1 /var/log/audit/audit.log | audit2allow -M httpdfifo
• Обратите внимание, что имя «httpdfifo» — это просто имя, выбранное для отражения типа наблюдаемой ошибки.
• Это создаст файл с именем «httpdfifo.pp». Чтобы разрешить Apache создавать FIFO с этого момента после того, как вы должны выполнить команду: semodule -i httpdfifo.pp
• Продолжайте делать это до тех пор, пока все ошибки аудита не будут устранены (в моей системе с Centos 5.4 потребовалось 4 разных разрешения)

Запуск setenforce 0 перед запуском позволит вам проверить, является ли это SELinux. Не забудьте потом запустить setenforce 1.

Я попробовал то, что предложили Дэн Скетчер и Фред Эпплман, то есть повторил следующее:

yum install setroubleshoot
echo > /var/log/audit/audit.log # clear irrelevant errors
cd ~
service httpd restart # try booting passenger -- audit.log now shows the relevant permission errors
tail -f /var/log/httpd/error_log # check that passenger is still failing due to permission errors
sealert -a /var/log/audit/audit.log > selinux-diag.txt # translate the permission errors
# read and check that you are happy with selinux-diag.txt 
# and either follow its specific advice, or if it just wants you to grep into audit2allow, then:
cat /var/log/audit/audit.log | audit2allow -M mypol  # grant everything just denied
semodule -i mypol.p # commit new permissions

Но после того, как я сделал это 5 или 6 раз, я продолжал сталкиваться с новыми ошибками, и некоторые из тех же ошибок появлялись даже после того, как я пытался разрешить их с помощью «audit2allow».

В конце концов я просто отключил SELinux с помощью:

echo 0 >/selinux/enforce