Elastic Beanstalk上Django/Celery的权限问题求助

问题根源分析 #

你的核心问题是Celery进程以nobody用户运行，而Django的WSGI进程使用wsgi用户，两者权限隔离导致Celery无法访问WSGI创建的日志目录和临时文件。下面是针对性的解决方案：

1. 修改Celery运行用户为wsgi（最直接的解决办法） #

你的celery_configuration.txt中Celery默认以nobody用户启动，这是权限冲突的关键。将其改为WSGI进程使用的wsgi用户即可：

找到配置片段：

[program:celeryd-worker]
; Set full path to celery program if using virtualenv
command=/opt/python/run/venv/bin/celery worker -A clads -b <broker_url> --loglevel=INFO --without-gossip --without-mingle --without-heartbeat
directory=/opt/python/current/app
user=nobody

修改两处：

• 将user=nobody改为user=wsgi
• 把占位符<broker_url>替换为环境变量引用$BROKER_URL，确保Celery能正确连接消息队列：

[program:celeryd-worker]
; Set full path to celery program if using virtualenv
command=/opt/python/run/venv/bin/celery worker -A clads -b $BROKER_URL --loglevel=INFO --without-gossip --without-mingle --without-heartbeat
directory=/opt/python/current/app
user=wsgi

修改后重新部署Celery服务，它会和Django WSGI进程共用同一用户，自动获得日志写入和临时文件操作权限。

2. 确保日志目录权限配置生效（可选） #

你的logging.config已经设置了日志目录的setgid位和属主为root:wsgi：

commands:
01_change_permissions:
command: chmod g+s /opt/python/log
02_change_owner:
command: chown root:wsgi /opt/python/log

如果第一步修改Celery用户生效，这个配置已经足够。若仍有问题，可以额外添加目录读写权限：

chmod 775 /opt/python/log

3. 修复临时文件权限问题 #

如果WSGI创建的临时文件默认权限是644（仅所有者可写），可以在Django创建临时文件时显式设置组可写权限：

# 示例：创建临时文件时指定mode为664（所有者和组均可读写）
with open(os.path.join(settings.TEMP_FOLDER, tfile_name), 'w', mode=0o664) as f:
    # 写入文件内容
    pass

或者直接修改临时目录的权限，让组内用户拥有读写权限：

chmod g+w /path/to/your/temp/folder

4. 验证配置是否生效 #

部署完成后，通过以下命令检查Celery进程的运行用户：

ps aux | grep celery

输出中应该能看到wsgi用户运行的Celery进程，此时日志写入和临时文件删除操作应该正常工作。

内容的提问来源于stack exchange，提问作者sammyhafs