码迷,mamicode.com
首页 > 其他好文 > 详细

时间服务器、日志服务器、sudo

时间:2019-11-10 20:58:42      阅读:87      评论:0      收藏:0      [点我收藏+]

标签:mes   pid   应用   ssl   security   nic   targe   操作系统   mysqld   

时间服务器、日志服务器、sudo
  1. 时间服务器
    centos7以后开始使用chrony做时间服务器,chrony兼容NTP服务。监听123(传统NTP服务端口)和323(chrony服务端口),这样客户端既可以是ntp也可以是chrony。
    接下来以服务端和客户端都是chrony来说明时间同步,
    A机:172.20.10.5(时间服务器),B机:172.20.10.6(客户端)
    A机:
    安装chrony
    #yum install chrony -y
    修改配置文件
    vim /etc/chrony.conf
    server 0.centos.pool.ntp.org iburst
    allow 172.20.10.0/24
    server来指定上一级时间同步服务器,allow表示允许那个IP段以本机为时间服务器同步时间。这里指定 192.168.184.0/24网段配置完重启chrony服务
    #systemctl? restart? chronyd.service
    #ss -tunlp? ?查看端口323

    B机:

    安装chrony
    yum install chrony -y
    修改配置文件
    #vim/etc/chrony.conf
    #server 0.centos.pool.ntp.org iburst
    #server 1.centos.pool.ntp.org iburst
    #server 2.centos.pool.ntp.org iburst
    #server 3.centos.pool.ntp.org iburst
    server 172.20.10.5 iburst
    注释掉其他的server,配置以A机为时间服务器
    然后重启客户端的chrony服务
    #systemctl? restart? chronyd.service
    #systemctl enable chronyd.service 开机自启动服务
    查看同步源(时间服务器)
    chronyc sources
    查看同步状态
    #chronyc sourcestats

    2.日志服务器
    (1)为了更好的管理应用程序和操作系统的日志,使用日志服务器进行管理,我们需要用到rsyslog,它是由早期的syslog的升级版。它可以收集系统引导启动、应用程序启动、应用程序(尤其是服务类应用程序)运行过程中的事件。
    记录的格式为:事件产生日期和时间? 主机? 进程PID? 事件内容。
    rsyslog的特性:多线程,支持TCP、UDP、SSL、TLS、RELP协议。可存储信息于日志、mysql等数据库管理系统。可以对日志信息进行过滤,可以自定义输出格式。
    (2)安装rsyslog

    yum install rsyslog
    它的主程序是rsyslogd
    它的配置文件是/etc/rsyslog.conf,? /etc/rsyslog.d/*.conf
    主配置文件rsyslog.conf?主要由三个部分组成:?
    MODULES? 表示加载的模块列表
    GLOBAL DIRECTIVES? ?表示全局的配置
    RULES? ?表示日志记录规则(重点)
    其中:
    MODULES段的格式为
    $ModLoad? 模块名称
    如果模块名称为im开起表示输入模块,如果以om开头表示输出模块
    GLOBAL DIRECTIVES?段主要定义一些常用设置,比如:
    $WorkDirectory? 表示工作目录
    RULES?段的格式为:
    facility.priority? target
    其中
    facility:设施,从功能上或程序上对日志收集进行分类,如:auth,authpriv,cron,daemon,kern,lpr,mail,mark,news,security,user,uucp,local0~local7,syslog
    priority:优先级,日志级别,如下(从左到右,由低到高):debug,info,notice,warn(warning),err(error),crit(critical),alert,emerg(panic)
    指定级别的方式:
    *:所有级别;
    none:没有级别;
    priority:此级别以及高于此级别的所有级别)
    =priority:仅此级别;
    一般要求日志级别为warn,即warn以及warn以上级别的日志要记录。
    生产上一般不会开debug级别的日志,因为日志记录太多会导致io繁忙。
    target:日志写入目标
    文件:把日志事件写入到指定的文件中,日志文件通常位于/var/log目录下,
    文件路径前面加"-"表示异步写入文件;
    用户:将日志事件通知给指定的用户,通过将信息发送给登录到系统上的用户的终端进行的;
    日志服务器:@host ,把日志发送到指定的服务器主机,
    要保证host日志服务器在tcp或udp协议的514端口有监听并提供日志服务。
    管道:? | COMMAND? 送到某一命令进行处理

    (3)实验:
    A机:172.20.10.5(日志服务器),B机:172.20.10.6(客户端)
    A机器上:

    #?yum install rsyslog
    修改配置文件
    vim /etc/rsyslog.conf
    #Provides UDP syslog reception
    $ModLoad imudp
    $UDPServerRun 514
    $Provides TCP syslog reception
    $ModLoad imtcp
    $InputTCPServerRun 514
    以上配置行的注释去掉后就会开启对tcp和udp协议的514端口进行监听。
    重启rsyslog服务
    #systemctl restart rsyslog.service
    #ss -tunl? 查看有514端口监听。

    B机器上:

    #?yum install rsyslog
    修改配置文件
    # vim? /etc/rsyslog.conf
    #*.info;mail.none;authpriv.none;cron.none? ? ? ? ? ? ? ?/var/log/messages
    *.info;mail.none;authpriv.none;cron.none? ? ? ? ? ? ? ? @172.20.10.5
    把它的target?改为? @日志服务器IP
    然后重启客户端的rsyslog服务
    #systemctl restart rsyslog.service
    这样就不会有日志记录到B机的/var/log/message中了。而是记录到日志服务器A上,由日志服务器上的配置文件决定日志记录到哪里。由我们没有改为A机上RULES?日志规则所以是写入到日志服务器上的/var/log/message(为了较好的看出效果,需要事先设置不同的主机名)

    把日志保存的mysql设备中(A):

    安装rsyslog-mysql的模块
    # yum install rsyslog-mysql
    查看安装文件位置
    #? rpm -ql rsyslog-mysql
    安装mariadb数据库
    # yum install mariadb-server??mariadb
    # vi? /etc/my.cnf.d/server.cnf
    [mysqld]
    skip_name_resolve=ON
    innodb_file_per_table=ON
    启动数据库并导入数据
    systemctl start mariadb.service
    #? mysql?
    mysql>GRANT ALL ON Syslog.* TO ‘rsyslog‘@‘192.168.184.%‘ IDENTIFIED BY ‘rsyspass‘;
    mysql>?flush privileges;
    mysql>quit;
    修改日志服务器上的rsyslog配置文件
    # vi /etc/rsyslog.conf
    #### MODULES ####
    $ModLoad ommysql
    #### RULES ####
    *.info;mail.none;authpriv.none;cron.none :ommysql:192.168.184.136,Syslog,rsyslog,rsyspass
    加载ommysql模块,并配置target为ommysql ,
    后面这串内容为:ommysql:数据库主机,数据库名,数据库用户,数据库密码。
    然后重启rsyslog.service
    # systemctl restart rsyslog.service
    在B机上登录用户和登出用户操作,再查一下A机的数据库发现有新的记录产生。

    web展示接口:loganalyzer

    配置lamp组合
    httpd, php, php-mysql, php-gd
    安装loganalyzer
    #tar  xf  loganalyzer-3.6.5.tar.gz
    #cp  -r  loganalyzer-3.6.5/src  /var/www/html/loganalyzer
    #cp  -r loganalyzer-3.6.5/contrib/*.sh  /var/www/html/loganalyzer/
    #cd /var/www/html/loganalyzer/
    #chmod  +x  *.sh
    # ./configure.sh

    3.sudo安全切换
    sudo?能够让获得授权的用户以另外一个用户(一般为root用户)的身份运行指定的命令
    授权配置文件/etc/sudoers,但是一般使用visudo命令进行编辑。因为误操作引起系统异常。
    授权配置文件的格式:
    users? hosts=(runas)? ?commands
    含义是,users列表中的用户(组),可以在hosts列表的位置上,以runas用户的身份来运行commands命令列表中的命令。
    各个字段可能的值?为:

    users:? sudo命令的发起用户
    用户名?或uid
    %用户组名? 或%gid? ?(这里要注意用户需把基本组切换为该用户组,才能使用sudo)
    User_Alias 用户别名
    hosts:? 允许的地址
    ip地址
    主机名
    NetAddr
    Host_Alias?主机别名
    runas:? ?以某一用户的身份执行
    用户名?或uid
    Runas_Alias 用户别名
    commands:?指定的命令列表
    command(命令建议使用完整的绝对路径)
    !command?表示禁止某一命令
    directory
    sudoedit:特殊权限,可用于向其它用户授予sudo权限
    Cmnd_Alias? ? 命令别名

    这几个字段中hosts,runas, commands都可以用ALL来表示所有。
    定义别名的方法:

    ALIAS_TYPE NAME=item1,item2,item3,...
    NAME:别名名称,必须使用全大写字符
    ALIAS_TYPE :User_Alias,Host_Alias,Runas_Alias ,Cmnd_Alias
    sodu命令执行时会要求用户输入自己的密码,为了避免频繁验密与安全其见,能记录成功认证结果一段时间,默认为5分钟,即5分钟内不需要再验证用户密码。

    以sudo的方式来运行指定的命令
    sudo? ?[options]? COMMAND

    -l? 列出sudo配置文件中用户能执行的命令
    -k? 清除此前缓存用户成功认证结果,之后再次运行sudo时要验证用户密码。
    如果想要让用户输入部分命令时不需要进行密码验证,在sudo配置文件中commands列表部分,可以在命令列表前面加上"NOPASSWD",则其后的命令不需要密码,如果某些命令又需要密码就在前面加上“PASSWD”,所以commands列表可以为这种格式:
    NOPASSWD? 不需要密码的命令列表??PASSWD? 需要密码的命令列表
    安全提示:在sudo配置文件中
    root ALL=(ALL) ALL
    %wheel ALL=(ALL) ALL
    上面配置中root用户这行没有问题,但是%wheel这行要注意,如果把某用户加入到%wheel组,当用户把基本组切换为wheel组时就可以像root用户一样运行命令,较有风险的命令举例如下:
    sudo su - root? ? 不需要密码就可以切换到root用户
    sudo? passwd? root? ? 修改root用户密码,不需要输入原密码。
    建议把%wheel改为
    %wheel ALL=(ALL)? ?ALL,!/bin/su,!/usr/bin/passwd root

时间服务器、日志服务器、sudo

标签:mes   pid   应用   ssl   security   nic   targe   操作系统   mysqld   

原文地址:https://blog.51cto.com/14418331/2449241

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!