如何提升Upstart权限？项目通过Upstart启动提示权限不足

这种权限问题在Upstart切换到高权限需求项目时很常见，咱们一步步来排查解决：

1. 确认Upstart Job的运行用户 #

终端手动运行时用的是当前登录用户的权限，但Upstart Job默认（未配置时）会以root运行，不过很多人为了安全会给Job指定普通用户。你先检查下Upstart脚本里的setuid/setgid配置：

• 如果项目确实需要root权限才能运行，那脚本里要是错误设置了普通用户，就会导致权限不足。直接移除setuid和setgid行即可，让Job以root身份启动。
• 如果必须用普通用户运行，要确保这个用户拥有项目所需的所有权限：
  • 给项目的工作目录、配置文件、日志目录设置正确的所有者和权限：比如chown -R youruser:yourgroup /path/to/project，chmod -R 750 /path/to/project。
  • 如果项目需要访问特定系统设备（比如串口、USB设备），把用户加入对应的系统组，比如访问串口加dialout组：usermod -aG dialout youruser。

2. 授予必要的Linux Capabilities（无需root全权限） #

如果项目只需要特定的系统权限（比如绑定1024以下端口、修改网络配置），但不想用root运行，可以给项目的二进制文件添加Linux Capabilities，而不是直接用root：

• 比如要允许程序绑定低端口，执行：setcap 'cap_net_bind_service=+ep' /path/to/your/project-binary
• 注意：Capabilities不能直接加在shell脚本上，如果你的launch.sh是脚本，要找到脚本里调用的最终二进制文件，给它加Capabilities。

3. 检查SELinux/AppArmor的安全限制 #

有时候“Operation not permitted”不是用户权限不够，而是系统安全模块阻止了进程的操作：

• SELinux：临时关闭测试（重启后会恢复）：setenforce 0，如果关闭后Job能正常启动，说明是SELinux的规则限制了。你需要编写SELinux策略模块，允许进程访问所需资源，或者用semanage调整文件的安全上下文。
• AppArmor：用aa-status查看是否有针对项目的限制profile，如果有，修改对应的profile文件（通常在/etc/apparmor.d/下），或者临时禁用该profile：aa-disable /etc/apparmor.d/your-profile测试。

4. 同步Upstart的环境变量 #

终端的环境变量（比如PATH、HOME）和Upstart运行时的环境可能不一样，这也可能导致看似权限的问题：

• 在Upstart脚本里添加环境变量配置，比如：

  env PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
  env HOME=/home/youruser
  

• 这样可以确保Job运行时的环境和你终端手动运行时一致。

5. 调试Job的运行细节 #

如果还是找不到问题，就给Job加调试日志，看看具体哪里出了问题：

• 修改Upstart脚本的exec行，添加调试命令：

  exec /bin/bash -c "whoami; id; ls -l /path/to/your/resource; ./launch.sh >> /var/log/your-project-debug.log 2>&1"
  

• 这样会把运行用户的信息、资源权限都输出到调试日志里，你可以从日志里定位到底是哪个资源访问被拒绝了。
• 另外，还可以提高Upstart的日志级别：initctl log-priority debug，然后查看/var/log/upstart/your-job.log获取更详细的启动日志。

举个简单的修改例子，如果你原来的Upstart脚本是给低权限项目写的：

start on runlevel [2345]
stop on runlevel [016]
setuid myuser
setgid mygroup
exec /path/to/launch.sh

现在项目需要root权限，直接修改成：

start on runlevel [2345]
stop on runlevel [016]
exec /path/to/launch.sh

内容的提问来源于stack exchange，提问作者Ali Niestani