CGI経由でユーザー新規作成するには

Question

CGI経由でユーザー新規作成をしたいです。
コマンドラインなら以下。

useradd test

これをCGI経由でするとなるとApacheにsudoの権限を
持たせるしかないのでしょうか?

ユーザー新規作成自体は
不特定多数の人にやってもらうアクションですが、
セキュリティ的には危険すぎるのはと思い、
これはあまりやりたくありません。

かといって人数が増えると手動追加にも
限界があるのではと思いまして。

何かいい方法があれば教えてください。
よろしくお願いいたします。

Answer 1

sudoersは使えませんか？

# visudo
以下を追加
apache ALL=(ALL) NOPASSWD: /usr/sbin/useradd

これで、apacheユーザーに/usr/sbin/useraddをsudoコマンド（パスワードなし）で実行させることが出来ます。

Comments

[1nakaji]

ありがとうございます。

こういう方法って一般公開するWEBサーバーでも
よく行われるんでしょうか?

apacheユーザーにsudoコマンド（パスワードなし）の
権限ってかなり危険な気がしてしまうのですが・・・。

考えすぎなんでしょうか。

セキュリティ的には確かにそうだが、
実際のサーバー運用などではやむおえず
apacheにsudo権限を持たせているところも多いなど。

その辺りの情報も何か持っていれば教えてください。

[moonphase]

オンライン入力したものでuseraddする（つまりroot権限が必要）なのは要件であれば、その方法しかないと思います。
/usr/sbin/useraddコマンドだけにsudo権限であればそれほど危険とは思えません。もちろんそこに到達するまでの画面に、善意ある人だけが遷移できる仕組みを作りましょう。CAPTCHAを入れたり、課金するのであればカード与信が通った人のみ作成可能にする等。

オンラインでなく、後日まとめて登録でもよければ、オンライン入力されたものをCSV等にしておき、オペレーターによる内容確認後、一括でユーザーを作成できるnewusersを手動で実行してください。

[1nakaji]

なるほど、そういうこともあるということですね。

この質問の発端はレンタルサーバーとかのサービスも
自動でユーザー作成とかしていると思うのですが、
どうやっているんだろうと思いまして。

もちろんユーザー登録から3営業日以内に
レンタルサーバーが使えるようになるという場合は、
手動でやっているのかもしれませんが、
登録直後に使えるようになるものも多いので。

[1nakaji]

あ、すいません。試してみたんですがダメでした。permissionがないと怒られました「apache ALL=(ALL) NOPASSWD: ALL」とか試しにやってみましたがダメそうです。

[moonphase]

useraddではなく/usr/sbin/useraddとしていますか？

[1nakaji]

「/usr/sbin/useradd」にしてます。ブラウザからCGI経由でなく、perlのcgiファイルをrootで実行すると上手く作成できていたのでプログラムは問題ないはずです。パーミッション見直してみます。

[moonphase]

試してみましたがあっさりできました。

#!/usr/bin/perl

print "Content-type: text/html \n\n";
print "Hello\n";

$result = `/usr/bin/sudo /usr/sbin/useradd test`;

[1nakaji]

何度もありがとうございます。あれから色々いじってましたら上手く動きました。結局上手くいかなかった原因はわからずでしたが、教えていただいた方法で解決したのでよかったです。とても勉強になりました。

Answer 2

インターネットにサーバをさらす場合は、自作CGIで実現するのはリスクを伴うかと思います
ので、webminを利用するというのはいかがでしょうか？

http://jp.webmin.com/

Comments

[1nakaji]

知らない情報でした。ありがとうございます。参考になりました。こちらって不特定多数の人がユーザー登録でも使えるんですか?

[nagaetty]

ユーザの追加のみが、できる機能だけを特定のwebmin用のユーザを作成すればできます。
linuxのアカウント作成を公開するのは、危険な行為なので一般的なサービスではあります。webminであればsslで通信は暗号化されます。

[1nakaji]

なるほど。wbmin経由でユーザー追加のみできるユーザーを使って、ユーザー登録をするという感じでしょうか。それも良さそうですね。一度試してみます。

[1nakaji]

webminをインンストールして少し触ってみました。これってあくまでブラウザ経由で設定していく感じでしょうか。
不特定多数の人にユーザー作成させる場合にはhttps://xxx.xxx.xxx.xxx:10000/にアクセスしてもらって、ユーザー作成専用のユーザーでログインしてもらう感じでしょうか。

ちょっとまだつかめていないんですが、CGI経由でユーザー作成ができる感じではないんですね。もう少し調べてみますが。