☰

www-data 用户无法生成 gpg 密钥

tag-icon • tag-icon debian gpg
www-data 用户无法生成 gpg 密钥

我在尝试着设置密码在 Debian 9 KVM 来宾上，步骤之一是以 www-data 用户身份生成 GPG 密钥。不幸的是，每当我尝试执行此操作（通过gpg --gen-key以 www-data 用户身份运行）时，我都会得到以下输出：

...
Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? o
We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.
gpg: agent_genkey failed: Permission denied
Key generation failed: Permission denied

用户的主目录www-data是/var/www，并且用户具有读写权限。如果我gpg --list-keys事先运行（作为 www-data 用户），它会成功创建目录/var/www/.gnupg，所以它不像用户在那里没有正确的权限。

作为 www-data 用户，我需要做什么才能生成 GPG 密钥？

附录

如果我使用以下命令登录 www-data，则环境输出sudo su www-data：

LS_COLORS=rs=0:di=01;34:ln=01;36:mh=00:pi=40;33:so=01;35:do=01;35:bd=40;33;01:cd=40;33;01:or=40;31;01:mi=00:su=37;41:sg=30;43:ca=30;41:tw=30;42:ow=34;42:st=37;44:ex=01;32:*.tar=01;31:*.tgz=01;31:*.arc=01;31:*.arj=01;31:*.taz=01;31:*.lha=01;31:*.lz4=01;31:*.lzh=01;31:*.lzma=01;31:*.tlz=01;31:*.txz=01;31:*.tzo=01;31:*.t7z=01;31:*.zip=01;31:*.z=01;31:*.Z=01;31:*.dz=01;31:*.gz=01;31:*.lrz=01;31:*.lz=01;31:*.lzo=01;31:*.xz=01;31:*.zst=01;31:*.tzst=01;31:*.bz2=01;31:*.bz=01;31:*.tbz=01;31:*.tbz2=01;31:*.tz=01;31:*.deb=01;31:*.rpm=01;31:*.jar=01;31:*.war=01;31:*.ear=01;31:*.sar=01;31:*.rar=01;31:*.alz=01;31:*.ace=01;31:*.zoo=01;31:*.cpio=01;31:*.7z=01;31:*.rz=01;31:*.cab=01;31:*.jpg=01;35:*.jpeg=01;35:*.mjpg=01;35:*.mjpeg=01;35:*.gif=01;35:*.bmp=01;35:*.pbm=01;35:*.pgm=01;35:*.ppm=01;35:*.tga=01;35:*.xbm=01;35:*.xpm=01;35:*.tif=01;35:*.tiff=01;35:*.png=01;35:*.svg=01;35:*.svgz=01;35:*.mng=01;35:*.pcx=01;35:*.mov=01;35:*.mpg=01;35:*.mpeg=01;35:*.m2v=01;35:*.mkv=01;35:*.webm=01;35:*.ogm=01;35:*.mp4=01;35:*.m4v=01;35:*.mp4v=01;35:*.vob=01;35:*.qt=01;35:*.nuv=01;35:*.wmv=01;35:*.asf=01;35:*.rm=01;35:*.rmvb=01;35:*.flc=01;35:*.avi=01;35:*.fli=01;35:*.flv=01;35:*.gl=01;35:*.dl=01;35:*.xcf=01;35:*.xwd=01;35:*.yuv=01;35:*.cgm=01;35:*.emf=01;35:*.ogv=01;35:*.ogx=01;35:*.aac=00;36:*.au=00;36:*.flac=00;36:*.m4a=00;36:*.mid=00;36:*.midi=00;36:*.mka=00;36:*.mp3=00;36:*.mpc=00;36:*.ogg=00;36:*.ra=00;36:*.wav=00;36:*.oga=00;36:*.opus=00;36:*.spx=00;36:*.xspf=00;36:
LANG=en_US.UTF-8
SUDO_GID=1000
USERNAME=root
SUDO_COMMAND=/bin/su www-data
USER=www-data
PWD=/home/stuart
HOME=/var/www
SUDO_USER=stuart
SUDO_UID=1000
MAIL=/var/mail/www-data
SHELL=/bin/bash
TERM=xterm-256color
SHLVL=1
LOGNAME=www-data
PATH=/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games
_=/usr/bin/env

如果我使用登录，则环境输出sudo su - www-data

LANG=en_US.UTF-8
USER=www-data
PWD=/var/www
HOME=/var/www
MAIL=/var/mail/www-data
SHELL=/bin/bash
TERM=xterm-256color
SHLVL=1
LOGNAME=www-data
PATH=/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games
_=/usr/bin/env

如果我使用登录，则环境输出ssh [email protected]

SSH_CONNECTION=192.168.16.155 50692 192.168.16.152 22
LANG=en_US.UTF-8
XDG_SESSION_ID=11
USER=www-data
PWD=/var/www
HOME=/var/www
SSH_CLIENT=192.168.16.155 50692 22
SSH_TTY=/dev/pts/0
MAIL=/var/mail/www-data
TERM=xterm-256color
SHELL=/bin/bash
SHLVL=1
LOGNAME=www-data
XDG_RUNTIME_DIR=/run/user/33
PATH=/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games
_=/usr/bin/env

答案1

pinentry这是 GPG程序要求用户拥有 tty 设备的症状。当pinentry提示输入新生成的密钥的密码时，会发生此示例中的失败。

来自建筑维基百科:

使用时pinentry，您必须拥有所使用的终端设备（如 ）的适当权限/dev/tty1。但是，使用 su（或 sudo），所有权仍属于原始用户，而不是新用户。这意味着 pinentry 将会失败并出现Permission denied错误，即使作为 root 也是如此。

...

修复方法是在使用 pinentry 之前的某个时刻更改设备的权限（即使用带有代理的 gpg）。

您可以通过以下方式检查正在使用的终端设备的权限：

ls -l $(tty)

sudo您将看到该文件由第一次使用/的用户拥有su，而不是当前用户。

更改终端设备的所有权（可能需要以 root 身份完成;完成后别忘了把它改回来），例如：

chown www-data /dev/pts/0

现在pinentry可以正常工作并且密钥生成过程应该成功完成。

注意

用户仅仅能够读/写终端设备文件是不够的，它必须将用户所有权设置为尝试使用的用户pinentry。

还可以以任何用户身份创建新的 GPG 设置并将其传输给任何其他用户。

GNUPGHOME=/home/user/gpg-alt gpg --gen-key

像平常一样运行设置。然后将新设置复制给其他用户并确保正确设置权限。

# run as root
mv /home/user/gpg-alt /home/www-data/.gnupg
chown -R www-data:www-data /home/www-data/.gnupg

答案2

如果您使用 登录用户帐户，则似乎无法生成密钥sudo su [user]。但是，如果您以该用户身份通过​​ SSH 连接到服务器，例如，那么就可以了。ssh [email protected]gpg --gen-key

答案3

我无法创建 gpg 密钥，因为用户似乎没有权限，因此我得到：

gpg: agent_genkey failed: Permission denied
Key generation failed: Permission denied

我可以通过更改当前用户（例如 myuser）的权限来解决此问题：

chown myuser /dev/pts/0

（这需要在根级别完成）

提供权限后，我就可以为我的用户创建密钥。

相关内容