Demo
Demo
База знаний PMTA›Блок Global›Директива§ 3.3.1.59.4

log-file-world-readable

Global

Открывать ли журнал на чтение всем пользователям системы
в конфигурации это строкаlog-file-world-readable falseвнутри блока Global
Кто на узле прочитает журнал

Строка со значением true открывает журналы MTA на чтение любому пользователю машины. Умолчание — false.

Что именно открывается — стоит представлять. При включённых переключателях подробностей в журнале оказываются адреса отправителей и получателей (log-commands пишет весь разговор SMTP), содержимое команд, а при log-data — каждый байт переписки в двух видах сразу.

Открывается и журнал веб-монитора. В нём — адреса, которым отказано в доступе, и, при http-log-requests, обращения к управляющим интерфейсам.

Повод включить один: журнал читает служба, работающая от другого пользователя. И тут та же оговорка, что у файлов учёта: права по группе точнее, но такой настройки у директивы нет.

Главная ловушка — включить на узле, где есть учётные записи людей. Журнал с подробностями — это переписка ваших клиентов и устройство вашей защиты в одном файле, открытом каждому.
Что делает Хаб. Не пишет — журналы остаются закрытыми.

Читать их снаружи нам не требуется: телеметрия приходит вебхуком, а разбор неисправностей идёт по SSH от административной учётной записи.

Рекомендуемые значения

Ответ почти всегда «нет»:

Значение Когда
false (умолчание) всегда
true журнал читает служба от другого пользователя, и группу настроить нельзя

Перед включением стоит посмотреть, какие переключатели подробностей стоят: с log-commands и log-data цена другая.

Умолчание false и охват (журналы, создаваемые MTA) — из руководства (§ 3.3.1.59.4). Перечень того, что в них оказывается при включённых подробностях, — наш.
Пример в конфигурации
# служба сбора читает журнал от другого пользователя
log-file /var/log/pmta/log
log-file-world-readable true
Стоит проверить, не включены ли рядом log-commands или log-data: с ними открывается переписка целиком.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается1 ошибка▶

Открывают журнал, не глядя на переключатели подробностей

наш опыт

Чем чреватоС log-commands в журнале лежит весь разговор SMTP — адреса, темы, ответы приёмников. Открыв файл всем, вы открываете переписку.
Как заметитьНа узле включены подробности и стоит world-readable true.
Как правильноЛибо закрыть журнал, либо выключить подробности; лучше и то и другое, а доступ дать через группу.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · платформа: любая
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
log-file-world-readable <boolean>
Значения
yes | no | true | false
Умолчание
false § 3.3.1.59.4
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
Global
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Наследования нет: строка пишется в корне файла, раздел Global, и касается всех журналов узла разом — MTA, монитора и SNMP. Выборочно открыть один из них нельзя.
⇄

Связанные директивы

2 связи

Работают в паре

Закрыть права на файлы конфигурацииТот же вопрос о правах, что и у файла конфигурации: журнал с подробностями хранит не меньше. § 1.6.3http-accessGlobalОткрытый на чтение журнал монитора показывает адреса, которым отказано, — то есть выдаёт устройство самого списка. § 3.3.1.58.3

Сюда ссылаются

log-commands<source>Вместе с открытым на чтение журналом эта строка отдаёт переписку каждому пользователю машины. § 3.3.1.59.4

Как проверить на узле
Проверка прямая — смотрим права:
ls -l /var/log/pmta/
Права вида -rw-r–r– означают, что строка включена. Права даются при создании файла: уже существующие сохраняют прежние.
◇

Что ещё почитать

3 статьи

◇Кому разрешено сдавать почту и для кого её приниматьИз коробки узел принимает подачу только с самой машины; два разных вопроса — «кто может слать через нас» и «на чьи адреса мы принимаем» — решаются разными директивами.◇Группа, дающая право управлятьЧленство в группе pmta даёт непривилегированному пользователю право звать команды узла и пользоваться подачей.◇Как узел выбирает источник и складывает его настройкиСоединение попадает под все блоки источника, чьи адреса его накрывают, и действуют они слитно — узкий перекрывает широкий; именованные блоки подключаются только по прямой ссылке.

В Хабе
Цена ошибки
обратимо: вредит, пока стоит
Сценарии
Безопасность узла
Соседние настройки блока Global:http-accesshttp-api-keyrun-as-roothttp-csrf-protectionhttp-redirect-to-httpsВсе 108 директив блока →