如何配置Apache2管道CustomLog使日志处理程序以非root用户运行

你遇到的启动报错由两个问题导致：

• 配置中管道符|和sudo之间多了一个前导空格，Apache会将|之后的完整字符串作为命令解析，带前导空格的命令串会被直接识别为不存在的可执行文件路径
• Apache启动管道日志进程时使用的PATH环境变量非常精简，即使去掉多余空格，不写sudo的绝对路径也会因为找不到命令触发报错
  你手动在交互Shell中测试能跑通，是因为交互Shell会自动拆分命令参数、加载完整的PATH环境变量，和Apache的运行时解析逻辑、环境变量配置都不相同。

推荐方案：使用Apache原生管道日志降权语法 #

Apache 2.4及以上版本原生支持指定管道日志程序的运行身份，完全不需要依赖sudo，没有额外配置开销，稳定性更高。
语法规则为管道符后紧跟$+目标用户名，如需指定所属用户组可以使用$用户名:组名格式，直接修改配置为：

CustomLog "|$a2logger /usr/bin/a2log2pg" combined

保存配置后重启Apache即可生效，Apache主进程（默认以root启动以绑定特权端口）会在fork日志处理进程时自动将权限切换到a2logger用户，不需要额外配置sudo规则。

注意：如果你的Apache主进程本身不是以root身份启动，该原生降权功能无法使用。

备选方案：显式调用Shell执行sudo命令 #

如果你的Apache版本低于2.4，不支持原生降权语法，可以通过显式调用Shell执行命令的方式实现，需要同时配置sudo免密规则：

1. 修改Apache配置，去掉|后的多余空格，写全所有命令的绝对路径，显式调用sh解析执行命令：

CustomLog "|/bin/sh -c '/usr/bin/sudo -u a2logger /usr/bin/a2log2pg'" combined

2. 执行visudo命令编辑sudoers配置文件，添加如下免密规则（将www-data替换为你系统上Apache的工作运行用户，Debian/Ubuntu系默认是www-data，RHEL/CentOS系默认是apache）：

www-data ALL=(a2logger) NOPASSWD: /usr/bin/a2log2pg

保存配置后重启Apache即可生效。

内容的提问来源于stack exchange，提问作者twisted