2 Instanzen von Apache - geht das, wenn ja - wie?

[Hans-Dietrich Kirmse]

Hallo Niels,

Niels Dettenbach schrieb:

> Ja, natürlich kann man einen Apache(2) httpd auch mehrfach - mit
> verschiedenen Konfigurationen und sicher auch verschiedenen Usern -
> starten.

ja, jetzt geht es nur noch darum, dass auch gebacken zu bekommen.

> Fraglich ist nur, ob Du hierzu Deine eigenen Apaches kompilieren
> musst.

dann würde diese Variante ohne Erbarmen gestrichen. Ich sehe mich
durchaus als Linux-Anfänger. Das ist einfach dadurch gekommen, dass ich
Arktur eingesetzt hatte und der hat nunmal eine so "lehrersichere"
Oberfläche, dass man im Gegensatz zu vielen anderen (Schul-)Server-
Lösungen sich nicht erst mit Linux auseinandersetzen muss, um diesen
Server zu betreuen. Dummerweise wird der Server nicht mehr geflegt. Da
es keine wirkliche Alternative gibt, hat sich eine kleine Gruppe
drangemacht, Arktur nachzubauen. - Nur, wir sind bis auf ganz wenige
Ausnahmen eben Laien. Deswegen, wir bleiben so nahe wie möglich am
Original und compilieren entfällt (selbst wenn wir es könnten).

> Dein Freund dürfte in jedem Fall erstmal: man httpd man httpd.conf 
> sein.

Hm. Hier schlagen meine mangelhaften Englischkenntnisse zu. Und mit über
50 Jahren will ich mir nicht auch noch Englisch antun. Deswegen bin ich
in deutschsprachigen Listen ;)

  :

> Wenn ich richtig verstehe, planst Du statt z.B. webmin / usermin eine
> eigene Admin-Anwendung (a la "Confixx", "Plesk" & Co.) 

im Prinzip ja. Ich erstelle (habe erstellt) die Scripte zur User- und
Rechnerverwaltung (Perl-Scripte) und ein anderer Kollege erstellt das
Webinterface dazu (in PHP), genauer gesagt portiert er (s)eine schon
vorhandene Lösung für Arktur 4 auf diesen neuen Server.

> für z.B. Deine
> "Hosting-Anwender" / "-Kunden". Wie "sicher" diese letztendlich ist,
> hängt wohl hauptsächlich von deren Programmierung / Implementierung
> selbst ab und was man "sicher" haben möchte.
> 
> Der die Anwendung "treibende" httpd dürfte da weniger das
> (Sicherheits-)Problem sein - so zumindest einige Erfahrungen mit
> derart Lösungen.

Das sehe ich ganz und gar nicht so. Das zu diskutieren wäre die Sache
wert, weil m.E. eine gute Argumentation dafür erst eine sinnvolle
Entscheidung für oder gegen diese Lösung (mit den 2 Apache-Instanzen)
ermöglicht.

> Wenn Du z.B. einen Großteil der Benutzerkonfigurationen und -Rechte
> (sagen wir mal AAA) über LDAP bzw. eine SQL-Datenbank regelst,
> benötigt der betr. httpd für das Management nur "minimale" Rechte
> (muß aber immerhin Zugriff auf die DB bzw. LDAP bekommen...).

und genau darum gehts. Dazu braucht man sudo. Und dann steht eben
in der sudoers sowas wie:

~~~~~

# Cmnd alias specification
Cmnd_Alias  DELIXS=/usr/local/sbin/delixs-userlist,\
                    /usr/local/sbin/delixs-useradd,\
                    /usr/local/sbin/delixs-userdel, ...

# User alias specification
root	    ALL=(ALL) ALL
www-data    ALL=NOPASSWD:DELIXS

~~~~~

Das bedeutet doch erstmal, dass www-data die Möglichkeit hat, Scripte
zur Userverwaltung mit root-Rechten auszuführen. Das User mit selbst
geschriebenen PHP-Scripten in den "Userdirs" damit prinzipiell auch
unter dieser UID auf diese Scripte zugreifen könnten wird doch nur durch
(hoffentlich korrekte) Konfiguration von PHP sichergestellt. Und da ist
die korrekte Kofniguration schon unter Experten recht strittig.
Umso schwerer wiegt die Tatsache, dass ein Admin bei der Installation
sehr leicht geneigt sein könnte, an dieser Konfiguration zu schrauben,
um irgendwelche PHP-Lösungen zum Laufen zu bringen. Und nicht zuletzt,
diesen ganzen Zinnober bekommen wir nochmal, wenn es um Python oder Java
(als Modul) geht.

Wenn aber www-data die UID des Apache ist, auf dem die nur das Admin-
Webinterface läuft und der Apache mit den Userdirs unter einer anderen
UID läuft, dann kann doch auch bei Fehlkonfiguration von PHP kein User
auf diese User-Scripte zugreifen. Das denke ich immernoch. Und m.E. ist
das ein sehr deutlicher Sicherheitsgewinn. - Wo denke ich da falsch?

MfG Hans-Dietrich