2.5. Периодически запускаемые процессы

За запуск в определённое время, а также за периодический запуск пользовательских процессов отвечают две службы: cron и at (они могут иметь свойственные демонам имена crond и atd).

Демон crond запускается во время начальной загрузки системы и остается в активном состоянии до ее выключения (если администратор его принудительно не завершит). Эта относительно простая программа-демон, как и другие демоны, проводит свободное время в состоянии «спячки», ежеминутно «просыпаясь» для чтения файлов заданий. Если задание на данную минуту имеется, демон «вырезает» из соответствующей строки запланированную команду/программу или последовательность команд/программ с параметрами либо без них и передает всё это для исполнения командному интерпретатору. Затем он снова «засыпает».

Служба crond обычно используется для периодического уничтожения старых журналов аудита, чистки файловой системы и прочих подобных потребностей.

Для управления демоном crond (точнее – его «озадачивания») предусмотрена отдельная утилита, именуемая crontab. Она запускается пользователем из командной строки, и ей можно передать один из трех ключей (если команду запускает суперпользователь, то в качестве параметра команды он может указать имя учетной записи пользователя, в этом случае действия будут выполняться над файлом заданий пользователя):

–l – вывести содержимое файла заданий;

–e – отредактировать файл с заданиями;

–r – удалить файл с заданиями.

Каждое задание в файле заданий представляет собой текстовую строку (как обычно, строка, начинающаяся символом # , является комментарием и демоном не исполняется), в которой записано пять временных отметок, определяющих время и/или периодичность исполнения команды: минуты, часы, дни месяца, порядковые номера месяца, дни недели и сама команда/последовательность команд либо программа/последовательность программ с параметрами или без них. Итого в строке шесть полей, разделенных пробелами:

минуты часы день месяц день_недели команда ,

причем в поле команда пробелы выполняют свою обычную роль разделителя аргументов. Команду следует вводить с указанием полного пути к программному файлу.

Временные параметры задаются числами, которые должны соответствовать своему диапазону:

минуты – от 0 до 59

часы – от 0 до 23

день – от 1 до 31

месяц – от 1 до 12

день_недели – от 0 до 6 (0 – воскресенье)

Символом-джокером * обозначается любое число. Для указания диапазонов могут использоваться дефисы и запятые. Вот некоторые примеры задания временных параметров в файле crontab

*	*	*	*	*	каждую минуту
10	*	*	*	*	через 10 минут после начала каждого часа
*/6	*	*	*	*	через каждые 10 минут
20	12	*	*	*	каждый день в 12:20
15	9, 21	7	*	*	в 9:15 и в 21:15 каждый седьмой день месяца
30	21	8-12	4	*	в 21:30 с восьмого по двенадцатое апреля
10	0	*	*	0	по воскресеньям в 00:10

Файлы заданий хранятся в каталогах /var/spool/cron/tabs. Каталог содержит по одному файлу на каждого из пользователей (если использование планировщика заданий им не запрещено) в случае, если пользователь создал задание. Эти файлы не появляются автоматически при регистрации нового пользователя. Они создаются при первом обращении пользователя к службе crond.

Имя crontab-файла совпадает с учетным именем пользователя. Поэтому задание, найденное, например, в файле ivanov, позволяет демону передать команду на исполнение соответствующему экземпляру оболочки. По имени файла производится поиск строки в файле /etc/passwd, из неё выбираются UID, GID и всё необходимое для создания процесса. При выполнении задания демон crond не делает отметки в crontab-файле, поэтому невыполненные задания с истекшим сроком повторно не выполняются. Демон не удаляет из файлов выполненные задания, он только читает файл заданий, и имеющиеся в нем строки при определенных обстоятельствах могут служить доказательством противоправного деяния.

В каталоге /etc должен существовать файл cron.deny, в котором построчно перечисляются учетные имена пользователей, которым пользование планировщиком cron запрещено. По умолчанию в нем перечислены имена псевдопользователей, случайным обладателем которых может стать злоумышленник. Для того чтобы разрешить отдельным пользователям планирование заданий, администратор должен создать в этом же каталоге другой файл cron.allow, в который построчно можно записать нужные учетные имена.

Если файл cron.deny существует, а файл cron.allow не создан, право запуска crontab имеют все пользователи, кроме тех, кому это явно не разрешено (в файле cron.deny). Вопреки правилу информационной безопасности «должно быть запрещено все, что явно не разрешено», записи в «разрешительный» файл имеют приоритет. Так, если один и тот же пользователь по невнимательности администратора оказался записан в оба файла, разрешение на команду crontab ему будет обеспечено. Парадоксальное решение – чтобы запретить всем пользователям (включая администратора!) запуск планировщика задач, необходимо в указанном каталоге создать пустой файл cron.allow. Если ни одного из двух указанных файлов не существует, пользоваться планировщиком заданий может только администратор.

Учитывая несомненную опасность доступа обычных пользователей к этим файлам, не вызывают сомнения запрещения их доступа к каталогам /var/spool/cron и /var/spool/cron/tabs. Право читать и редактировать эти файлы «вручную» имеет только администратор. Для того чтобы пользователи имели кратковременное право на запись в эти файлы, утилита crontab имеет установленный бит SUID.

В ОС Linux для неинтерактивного выполнения задач (команд, программ, последовательности команд, последовательности программ или их сочетания) используется специальный демон atd , так называемый диспетчер очередей задач.

Разновидностью неинтерактивного однократного запуска команд является формирование из них задания и постановка его на выполнение в определённое время. Реализуется это при помощи команды at. Формат команды выглядит так:

at hh.mm dd.mm.yy

Вызванная команда отвечает приглашением at > и ожидает ввода команд интерпретатора или программ с параметрами или без них. Необходимо иметь в виду, что выполняться задание будет под управлением командного интерпретатора bash. Правила набора команд в строках идентичны правилам для командного интерпретатора, т. е. их можно набирать отдельно, группировать, объединять и т. д. Для завершения ввода команд используется комбинация <Ctrl>-<D>, после чего команда строкой

job 7 at 2009–09–17 12:31

извещает пользователя о постановке задания в очередь и присвоении ему номера.

При этом в каталоге /var/spool/atjobs создаётся файл с именем, например, a00004013bbe08 (a00004 означает задание номер 4 в очереди, в 013bbe08 закодированы время и дата 00:48 05.05.09), принадлежащий пользователю и группе daemon с маской доступа 700. После выполнения задания этот файл удаляется.

Для того чтобы ознакомиться со списком заданий, следует ввести команду atq (at queue – очередь at). Задания выводятся построчно, и в каждой строке указываются номер задания, дата и время его выполнения, а также имя пользователя, в интересах которого выполняется задание.

Для удаления задания используется еще одна команда atrm N, где N – номер задания.

Для того чтобы разрешить или запретить пользователям однократное планирование процесса, система по умолчанию предусматривает создание в каталоге /etc двух файлов: at.allow и at.deny. Порядок их использования аналогичен правилам, относящимся к планировщику crond.

Периодические процессы, порождаемые одним или несколькими связанными в конвейер исполняемыми файлами, можно создать с помощью службы watch. Команда для запуска сервиса выглядит так:

watch -n 60 ‘ps -ef | grep syslogd’

например, эта команда каждые 60 секунд ищет в списке процессов службу syslogd и выводит ее на экран. Этот сервис больше подходит для наблюдения за быстро изменяющимися процессами.