php-fpmでVirtualHostごとにuid/gidを変える

Rev.5を表示中。最新版はこちら。

概要

Apache+CGIの環境ではsuExecで、実行するCGIプログラムのユーザIDを指定することができる。同様にphp-fpmにおいても、設定ファイルでuser/groupを指定すれば、ユーザID、グループIDを指定できる。これをVirtualHostごとにphp-fpmのユーザIDを指定できるようにする。

前提条件

WebサーバーにはApacheを使用。php-fpmが動作する設定は完了済みとする。

OSはFedora28を使用した。

修正方針

php-fpmにはPoolというものがあり、Pool単位で設定を変更することができる。デフォルトではwwwプールが一つだけ定義されており、Fedoraでは/etc/php-fpm.d/www.confに設定ファイルがある。修正の方針としては、VirtualHostごとにプールを作成し、各プールでユーザIDを指定するようにする。

手順

まずは、新しいプールを作成する(User:tomitaで実行するのでtomitaプールとする)。wwwプールをベースに作成すると楽なので/etc/php-fpm.d/www.confをコピーして作成する。

cp /etc/php-fpm.d/www.conf /etc/php-fpm.d/tomita.conf

tomita.confの修正箇所は以下のとおり。

プール名を修正(ファイル先頭の[www]を[tomita]に変更)
user/group設定を変更
listen用socketファイルの名前を変更
必要に応じてログファイルの名前を変更

修正の差分例は以下のようになる。

# diff www.conf tomita.conf 
4c4
< [www]
---
> [tomita]
24c24
< user = apache
---
> user = tomita
26c26
< group = apache
---
> group = tomita
38c38
< listen = /run/php-fpm/www.sock
---
> listen = /run/php-fpm/tomita.sock
319c319
< slowlog = /var/log/php-fpm/www-slow.log
---
> slowlog = /var/log/php-fpm/tomita-slow.log
413c413
< php_admin_value[error_log] = /var/log/php-fpm/www-error.log
---
> php_admin_value[error_log] = /var/log/php-fpm/tomita-error.log

新しいプールの定義は完了したので、設定を読み込む。

# systemctl reload php-fpm

設定が正常に反映されていれば、以下のようにtomitaプールのphp-fpmが指定したユーザ(以下の例ではtomita)で実行されている。

#1ps aux | grep php-fpm
root     108635  0.0  0.2 327988 19684 ?        Ss    8月29   0:00 php-fpm: master process (/etc/php-fpm.conf)
tomita   110097  0.0  0.1 342524 11652 ?        S    00:12   0:00 php-fpm: pool tomita
<略>
apache   110102  0.0  0.1 342524 11672 ?        S    00:12   0:00 php-fpm: pool www
<略>

今度はVirtualHostからtomitaプールを使うようにapacheの設定を修正する。

apacheのVirtualHost設定例

 <VirtualHost *:80>
    ServerAdmin xxxx@xxxxxx
    DocumentRoot /var/www/html.foo
    ServerName foo.xxxx
    ErrorLog logs/foo-error_log
    CustomLog logs/foo-access_log combined
    AddDefaultCharset Off

    # tomitaプールのsocketファイルを指定
    <FilesMatch \.(php|phar)$>
        SetHandler "proxy:unix:/run/php-fpm/tomita.sock|fcgi://localhost"
    </FilesMatch>

</VirtualHost>

上記設定で、foo.xxxx仮想ホストにアクセス時はtomitaプールのphp-fpmを使用するようになり、tomitaユーザでphpスクリプトが実行されることになる。

これをVirtualHost毎に設定すれば、各VirtualHostで異るUID/GIDでphpを実行できる。SetHandlerを指定していないVirtualHostではデフォルト設定のwwwプールが使用される。

最後にapacheの設定を再読み込みするのを忘れずに。

 # systemctl reload httpd

注意点

プールごとに待機プロセスが作成されるため、プールをあまり増やしすぎるとメモリが少ないサーバーでは厳しくなるかもしれない。