git自動デプロイのスクリプト設置時のディレクトリパーミッションについて

Question

前提・実現したいこと

githubにpushした際にサーバーに自動デプロイされる
フックスクリプトを書いてます。言語はphpです。

スクリプトの中身は、
該当のディレクトリで

$git fetch origin
$git reset --hard origin/develop

を実行するシンプルなものです。

発生している問題・エラーメッセージ

問題はディレクトリのパーミッションです。
実行をしても、パーミッションのエラーになります。

error: cannnot open .git/FETCH/HEAD Permission Denied

試したこと

(1) apacheの実行ユーザをグループに追加し、
プロジェクトディレクトリのパーミッションを775 or 2775にしてみる

・フックスクリプトの実行ユーザはapacheに準じてwww-data。

・プロジェクトディレクトリの所有権をadmin:projectaにする

・プロジェクトディレクトリのパーミッションを775にする。
後に2775でも試したがだめでした。

(2) プロジェクトディレクトリのパーミションを777にする

→ フックスクリプト自体は動きましたが、パーミッションがゆるすぎる。

次に試そうとしていること

(1) apacheでsudo実行できるように設定を変える

(2) apacheでwww-data以外のユーザで実行するように変える

最後に

上記の通り、足りない知識で考えているのですが、
最終的にどの方向性が安全なパーミッション設定なのか
わからず悩んでおります。

何かアドバイスをいただけますと幸いです。

Answer 1

セキュリティーポリシーのバランスは各々違うと思うのでどこら編がベターか難しいですが
個人的には非公開エリアに xxx.php を設置し
sudo設定で Apacheユーザの実行する 非公開エリアの xxx.php だけ 本来のユーザとして実行という内容を書き

apache ALL=(本来の実行ユーザ) NOPASSWD: /var/www/bin/xxx.php

公開ようPHPに以下のようなコード書くと比較的安全かなとおもいます。

exec('sudo -u 本来の実行ユーザ " /var/www/bin/xxx.php"', $output);
var_dump($output);

この時/var/www/bin/xxx.phpはスクリプトとして実行するので
文頭に

#!/bin/php
<?php //(↑PHPのinstall先は各々違うで調整する)をついかすること

とつけることを忘れないでください。

Comments

[gano]

ご回答ありがとうございます。
ご回答頂いた手順を元に実施したらうまく行きました。

phpのスクリプト実行がうまくできなかったので、
hook.php（公開）から pull.sh (非公開)を呼び出す形にしました。

hook.phpは apacheユーザでアクセス可。
pull.sh は git reset を行うユーザ(git_hook)を所有者にして パーミッション700にしてあります。

方向性が定まらなかったので、とても助かりました。
この度は本当にありがとうございました。