Question

配置文件（PetInit.conf）：

＆＃13;

   

WSGISocketPrefix run/wsgi  
<VirtualHost *:80>  
ServerName xx.xx.xx.xxx  
WSGIScriptAlias / /usr/share/PetInit/PetInit.wsgi  
WSGIDaemonProcess PetInit group=root threads=5 home=/usr/share

<Directory /usr/share/PetInit>
    WSGIScriptReloading On
    WSGIProcessGroup PetInit
    WSGIApplicationGroup %{GLOBAL}
    Order deny,allow
    Allow from all
</Directory>
</VirtualHost>

＆＃13;

wsgi文件（PetInit.wsgi）：

 import sys  
    import logging  
    logging.basicConfig(stream=sys.stderr) 
    sys.path.append("/usr/local/lib/python2.7/site-packages") 
    sys.path.append("/usr/local/lib/python2.7/site-packages/PetInit")  
    from PetInitServer import app as application

app（服务器）代码：

import paramiko
from paramiko import SSHClient  
ssh = paramiko.SSHClient()    
ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())     
ssh.connect(remotenodeip,username='root', password='*****',key_filename='/root/.ssh/id_rsa.pub')

服务器日志：

[Tue Oct 03 05:39:45 2017] [error]     ssh.connect(ip,username='root', password='*****',key_filename='/root/.ssh/id_rsa.pub')  
[Tue Oct 03 05:39:45 2017] [error]   File "/usr/lib/python2.6/site-packages/paramiko/client.py", line 290, in connect  
[Tue Oct 03 05:39:45 2017] [error]     sock.connect(addr)  
[Tue Oct 03 05:39:45 2017] [error]   File "<string>", line 1, in connect  
[Tue Oct 03 05:39:45 2017] [error] error: [Errno 13] Permission denied

注意： 如果我在端口5000上启动我的烧瓶应用程序（没有mod_wsgi），ssh中没有问题。所以我怀疑Wsgidaemon进程没有权限。如何授予wsgidaemon进程或任何其他方法来解决此问题？

Answer 1

Apache下的代码将作为特殊的Apache用户运行，通常无法访问文件/root/.ssh/id_rsa.pub。此外，由于/root/.ssh目录只能由用户root访问，而且通常不会通过group到WSGIDaemonProcess的群组访问设置root，这可能还不够。运行：

ls -lasd /root/.ssh

并检查目录权限。如果是这样的话：

 0 drwx------  11 root  root   374 28 Aug 13:02 .

然后无法通过群组访问。

您不一定要添加组访问权限，因为我认为工具不会接受其中的内容，因为它们可能会验证权限。

由于它只是公钥而不是私钥，因此您可以将其复制到可以访问的位置。

您可能希望将守护程序模式进程组作为全新用户运行，而不是Apache用户，只有该新用户才能访问公钥。

Answer 2

终于找到了解决方案并且工作正常。 httpd_can_network_connect参数在我的Linux系统中受到限制。

要检查“httpd_can_network_connect”值，请运行以下命令：

/ usr / sbin / getsebool -a | grep“httpd_can_network_connect”

如果输出如下：

httpd_can_network_connect - ＆gt;关闭

然后将值设置为on。

setsebool -P httpd_can_network_connect

SSH权限被拒绝：在我的烧瓶应用程序中使用paramiko模块并使用mod_wsgi（Apache）模式进行部署

2 个答案: