Apache2 Worker mit PHP5 fcgi und SuExec

[developr]

Ich hatte am vergangenen Wochenende versucht, auf meinen 2. Server (Debian Lenny) PHP5 als fcgi mit SuExec einzurichten und ich muss gestehen, es hat eine Weile gedauert. Um euch viel Zeit zu sparen, gebe ich hier meine Erfahrungen weiter.

1. Wie immer, loggen wir uns auf unserern Root per SSH ein und statten uns mit Root-Rechten aus.
   Nun laden wir uns einige Pakete. Sollte der Apache mpm-prefork vorhanden sein, wird dieser vorher automatisch entfernt.
   

   apt-get install libapache2-mod-fcgid php5-cgi apache2-common apache2-mpm-worker apache2-suexec

2. Anschließend aktivieren wir unsere Module fcgi und suexec.
   

   a2enmod fcgid
   a2enmod suexec

3. Nun brauchen wir einen Account bzw. einen User, unter desses Rechten PHP5 in Zukunft läuft. Danach muss er noch der Gruppe www-data zugewiesen werden.
   

   adduser example
   usermod -G www-data example

4. Verzeichnisse anlegen
   Nun legen wir die Verzeichnisse für den User an und weisen ihm die Rechte zu:
   

   mkdir /var/www/example.de
   chown root:example /var/www/example.de
   chmod 750 /var/www/example.de
   mkdir /var/www/example.de/conf
   mkdir /var/www/example.de/www
   mkdir /var/www/example.de/logs
   mkdir /var/www/example.de/tmp
   mkdir /var/www/example.de/php5
   chown example:example /var/www/example.de/*
   chmod 750 /var/www/example.de/*

5. php.ini anpassen
   Nun kopieren wir die php.ini in das Userverzeichnis.
   

   cp /etc/php5/cgi/php.ini /var/www/example.de/conf

6. Anschließend sorgen wir noch für ein bisschen Sicherheit und editieren die php.ini (optional). Diese Einstellungen sind dafür da, um den Zugriff des PHP Prozesses auf das Userverzeichnis zu beschränken und die Sessiondaten, sowie die Uploads in ein eigenes temporäres Verzeichnis zu speichern.
   

   mcedit /var/www/example.de/conf/php.ini

   open_basedir = /var/www/example.de/www/:/var/www/example.de/tmp/
   upload_tmp_dir = /var/www/example.de/tmp
   session.save_path = /var/www/example.de/tmp

7. fcgi Starter erstellen
   

   cat > /var/www/example.de/php5/php-fcgi-starter << "EOF"
   #!/bin/sh
   PHPRC="/var/www/example.de/conf/"
   export PHPRC
   exec /usr/bin/php5-cgi
   EOF

8. Nun müssen wir wieder mal Benutzer- und Zugriffsrechte setzen.
   

   chown example:example /var/www/example.de/php5/php-fcgi-starter
   chmod 750 /var/www/example.de/php5/php-fcgi-starter

9. Nun setzen wir einen Schreibschutz auf unseren Starter, damit sie nicht mehr verändert werden kann. Um dies Rückgängig zu machen, muss statt dem Parameter +i, -i verwendet werden.
   chattr +i -V /var/www/example.de/php5/php-fcgi-starter
10. Vhost anlegen
    

    cat > /etc/apache2/sites-available/example.de << "EOF"
    <VirtualHost *>
        ServerAdmin me@example.de
        ServerName example.de
        SuexecUserGroup example example
        AddHandler fcgid-script .php
        DocumentRoot "/var/www/example.de/www"
        DirectoryIndex index.htm index.html index.php
    <Directory />
        Options FollowSymLinks
        AllowOverride None
    </Directory>
    <Directory "/var/www/example.de/www">
        Options Indexes MultiViews FollowSymLinks +ExecCGI
        FCGIWrapper /var/www/example.de/php5/php-fcgi-starter .php
        Order allow,deny
        allow from all
    </Directory>
    ErrorLog /var/www/example.de/logs/error.log
    LogLevel warn
    CustomLog /var/www/example.de/logs/access.log combined
    ServerSignature On
    </VirtualHost>
    EOF

11. Nun muss der Vhost noch aktiviert werden:
    

    a2ensite example.de

12. Apache neu starten nicht vergessen ;-).
    /etc/init.d/apache2 restart

Herzlichen Glückwunsch.

[Moestchen]

Hallo developr,
vielen dank für deine super Anleitung.

Ich bin Schritt für Schritt genau deiner Anleitung gefolgt, jedoch stoße ich auf das Problem,
das die Dateien im VHost (im Beispiel example.de/www) nicht aufgerufen werden.
Im Log (/var/log/apache2/error.log) finde ich den Eintrag "(13)Permission denied".

Mittlerweile habe ich schon soviel ausprobiert, das ich nicht mehr weiter weiß.
Den VHOST rufe ich im Browser doch über http://DOMAIN/example/www auf, oder?


Was mache ich verkehrt?


vielen Dank

PS: Die einzige Veränderung die ich entgegen deiner Anleitung gemacht habe ist, das ich in der
VHOST-Datei die ServerName-Direktive auf den Namen meiner Domain geändert habe.

[developr]

Wie schaut denn der Inhalt deiner vHost Datei aus ?

[Moestchen]

Genauso, wie deine oben beschriebene VHOST-Datei.

Einzige Ausnahme, das ich

ServerName sub.domain.de

(mein Domainnamen bzw. Subdomain).

Die Pfade hab ich alle entsprechend deiner Anleitung gelassen, weil ich das Vorgehen
erst nachvollziehen wollte (in einer Test-VM) und dann, wenn alles funktioniert,
mit "richtigen" Benutzernamen und Pfaden erstellen wollt.

Das seltsame ist bspw. auch, das ich keine /var/log/apache2/suexec.log bei mir vorfinde!

Viele Grüße

[developr]

Ist das Modul suexec denn vorhanden und aktiviert?
Schau mal unter /etc/apache2/enable-modules/ nach.