Механизм инициализации конфигурации и прав доступа в Linux

При запуске службы PHP-FPM системный менеджер systemd стартует главный процесс интерпретатора. В процессе инициализации парсер конфигурации пытается прочитать основной файл (например, /etc/php/8.2/fpm/php-fpm.conf) и все включенные пулы в каталоге pool.d/*.conf. Если демон натыкается на запрет чтения на уровне стандартных POSIX-прав файловой системы (DAC), расширенных списков контроля доступа (ACL) или политик безопасности ядра SELinux / AppArmor, служба аварийно останавливается со статусом EXIT_FAILURE:

«ERROR: failed to open configuration file '/etc/php/8.2/fpm/php-fpm.conf': Permission denied (13)»
«ERROR: failed to post process the configuration»
«ERROR: FPM initialization failed»

Бизнес-риски

Полная недоступность всех веб-ресурсов сервера после планового перезапуска или обновления пакетов, сбой автоматических пайплайнов деплоя.

Сравнение уровней блокировки прав доступа к файлам

Регламент восстановления прав доступа к конфигурационным файлам

Шаг 1: Восстановление стандартных прав владения и разрешений

Конфигурационные файлы PHP-FPM должны принадлежать суперпользователю root и иметь права на чтение:

# 1. Проверка текущих прав на дерево каталогов конфигурации:
ls -ld /etc/php/ /etc/php/8.2/ /etc/php/8.2/fpm/ /etc/php/8.2/fpm/php-fpm.conf

# 2. Установка корректных прав владельца root:root:
sudo chown -R root:root /etc/php/

# 3. Выставление прав на директории (755 - rwxr-xr-x) и файлы (644 - rw-r--r--):
sudo find /etc/php/ -type d -exec chmod 755 {} \;
sudo find /etc/php/ -type f -exec chmod 644 {} \;

# 4. Проверка корректности синтаксиса от имени суперпользователя:
sudo php-fpm8.2 -t

Шаг 2: Диагностика и снятие блокировок SELinux (RHEL / CentOS / AlmaLinux)

Если операционная система использует SELinux, некорректный контекст безопасности блокирует чтение даже для root:

# 1. Проверка контекста безопасности SELinux:
ls -lZ /etc/php-fpm.conf /etc/php-fpm.d/

# 2. Восстановление стандартного системного контекста:
sudo restorecon -Rv /etc/php-fpm.conf /etc/php-fpm.d/

# 3. Проверка журнала аудита на наличие блокировок AVC Denial:
sudo ausearch -m avc -ts recent | grep php-fpm

Шаг 3: Проверка ограничений системного юнита Systemd

В современных дистрибутивах systemd изолирует службы с помощью директив безопасности:

# Проверьте оверрайды сервиса systemd:
sudo systemctl cat php8.2-fpm

# Убедитесь, что директивы ProtectSystem или ReadOnlyPaths не блокируют доступ к /etc:
# Если конфигурация верна, выполните запуск:
sudo systemctl restart php8.2-fpm
sudo systemctl status php8.2-fpm

Типовые ошибки администраторов

• Смена владельца конфигурации на www-data: Каталог /etc/php/ не должен принадлежать непривилегированному веб-пользователю www-data в целях безопасности (защита от несанкционированной модификации веб-шеллами).
• Установка прав 777 на каталог /etc/php/: Нарушает требования безопасности и может приводить к игнорированию конфигурации защитными утилитами.