通过php / linux在服务器之间同步资源的安全方法

Question

我需要将资源从主服务器同步到从属服务器。 我使用rsync是因为它可以使用增量文件列表来递归同步文件夹。 我已经能够使用ssh-keys使它以最简单的方式工作。 一切都很好，但是不能通过php shell_exec函数运行。 这是我到目前为止所做的事情，也是我陷入困境的地方。 帮助将不胜感激！

主服务器和从服务器在ubuntu 14.04.4上

在用户的主目录中创建ssh-key文件夹。

mkdir ~/.ssh
chmod 0700 ~/.ssh

创建无密码的私钥/公钥ssh密钥

ssh-keygen -f ~/.ssh/id_rsa -q -P ""

不确定从服务器可以接收主公共ssh密钥

// log in slave server
mkdir ~/.ssh
chmod 0700 ~/.ssh
touch ~/.ssh/authorized_keys
chmod 0644 ~/.ssh/authorized_keys

将公钥复制到从属服务器（我要在其中同步资源）

// log in master server
su ssh-copy-id -i ~/.ssh/id_rsa.pub [slave user]@[slave host]

测试现有文件夹的同步...比方说www / js /

rsync -avz -e "ssh -i ~/.ssh/id_rsa -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null" --progress ~/www/js/ [slave user]@[slave host]:~/www/js/

是的，一切正常。

我登录从服务器，递归删除www / js文件夹。

我登录主服务器

我创建了一个简单的php脚本来测试它是否可以作为“ shell命令”运行

test.php

var_dump(shell_exec('rsync -avz -e "ssh -i ~/.ssh/id_rsa -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null" --progress ~/www/js/ [slave user]@[slave host]:~/www/js/'));

同步不适用于php。 可能是因为php运行宽度www-data用户吗？ 如何从pĥp安全地工作？

Answer 1

**编辑：此答案不安全。 请参阅我的其他答案**

---

我终于找到了使它工作的方法

将私人ssh密钥复制到www-data的主文件夹。 然后，PHP将能够通过shell_exec函数进行rsync

www-data的主文件夹是/ var / www /（在我的情况下是Ubuntu 14）

创建.ssh文件夹（如果不存在）

mkdir /var/www/.ssh
chown www-data /var/www/.ssh
chmod 0700 /var/www/.ssh

复制ssh密钥并设置适当的权限

cp ~/.ssh/id_rsa /var/www/.ssh
chown www-data /var/www/.ssh/id_rsa
chmod 0600 /var/www/.ssh/id_rsa

这行现在对我有用：

shell_exec('rsync -avz -e "ssh -i ~/.ssh/id_rsa -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null" --progress [absolute_path]/www/js/ [slave user]@[slave host]:~/www/js/');

如果可以帮助某人...

但是由于我对安全性了解很多，但不能说我是专家，所以我想知道这是否安全吗？

Answer 2

正如symcbean所建议的，我以前的回答是安全风险。 使www-data无需密码即可访问远程主机可能真的很危险 。 更好的方法是设置一个Linux用户，比如说“ wwwsync”，它将处理与远程主机的rsync，并让www-data在“ wwwsync用户下”执行rsync。 这样，我们可以通过设置wwwsync用户可以做什么和不能做什么来控制/保护rsync。

创建一个将处理同步的Linux用户（比方说wwwsync），并在用户的主目录中创建ssh-key文件夹。

// log as root user    
adduser wwwsync
// log as wwwsync
su wwwsync
// create ssh folder for ssh key creation
mkdir ~/.ssh
chmod 0700 ~/.ssh

创建无密码的私钥/公钥ssh密钥

ssh-keygen -f ~/.ssh/id_rsa -q -P ""

不确定从服务器可以接收主公共ssh密钥

// log in slave server
mkdir ~/.ssh
chmod 0700 ~/.ssh
touch ~/.ssh/authorized_keys
chmod 0644 ~/.ssh/authorized_keys

将公钥复制到从属服务器（我要在其中同步资源）

// log in master server as wwwsync
su ssh-copy-id -i ~/.ssh/id_rsa.pub [slave user]@[slave host]

使www数据用户（php）能够在wwwsync用户下执行rsync

// log in as root
su root
// edit sudo configuration
sudo visudo
// add this line at the bottom of the file
www-data ALL=(wwwsync) NOPASSWD: /usr/bin/rsync

这行将然后从PHP正常工作

shell_exec('rsync -H -u wwwsync -avz -e "ssh -i ~/.ssh/id_rsa -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null" --progress ~/www/js/ [slave user]@[slave host]:~/www/js/')

接下来的重要步骤 ：确保根据您的需要正确设置了wwwsync的权限，因此www-data不会将不需要的资源同步到远程服务器。