ubuntu 定时器怎么权限设置

Ubuntu 定时器权限设置指南

一、先选定时机制与对应权限点

• cron：适合周期任务。权限关注三点：① 用 root 的 crontab（sudo crontab -e） 还是 普通用户 crontab（crontab -e）；② 脚本与目录的 可执行/读写权限；③ 任务是否涉及 特权操作（如 reboot、mount、rtcwake）。
• systemd 定时器：适合复杂依赖与精确时间。权限关注：① .service 的 User/Group；② .timer 与 .service 文件权限与属主；③ 是否启用 Persistent= 等策略。
• at（一次性任务）：适合临时任务。权限关注：① /etc/at.allow 与 /etc/at.deny 的用户白/黑名单；② atd 服务是否运行。

二、cron 的权限设置要点

• 选择执行身份
  • 需要系统级权限（如重启、修改系统文件）：使用 sudo crontab -e；普通用户任务用 crontab -e。两者互不干扰。
• 脚本与目录权限
  • 脚本需可执行：chmod +x /path/to/script.sh；目录应至少对执行用户可读可执行。
• 系统级任务文件与目录
  • 直接编辑 /etc/crontab 或放入 /etc/cron.d/ 时，文件通常建议 仅 root 可写（如 600），所属用户为 root，以避免被非授权用户篡改。
• 特权命令的免密执行（谨慎）
  • 若脚本内包含需要 sudo 的命令（如 rtcwake、reboot），可在 /etc/sudoers 中为指定脚本配置 NOPASSWD：
    • 执行：sudo visudo
    • 添加：ubuntu ALL=(ALL) NOPASSWD: /opt/script/set_wake_suspend.sh
    • 脚本内用 /usr/bin/sudo /opt/script/set_wake_suspend.sh 调用。
• 环境变量与路径
  • cron 环境与登录环境不同，建议在 crontab 顶部显式设置 PATH，脚本内使用 绝对路径。
• 日志与排错
  • 任务日志默认写入 /var/log/syslog，可用 grep CRON /var/log/syslog 查看；必要时在脚本内重定向输出以便排查。

三、systemd 定时器的权限设置要点

• 服务单元权限
  • 创建 /etc/systemd/system/mytask.service，设置 User= 与 Group= 指定运行身份；脚本本身仍需 chmod +x。
• 定时器单元与启用
  • 创建同名 mytask.timer，配置 OnCalendar=-- 02:00:00* 或 OnUnitActiveSec=1h 等；执行：
    • sudo systemctl daemon-reload
    • sudo systemctl enable --now mytask.timer
• 日志与状态
  • 查看状态：systemctl status mytask.timer；查看执行日志：journalctl -u mytask.service。
• 错过执行的补救
  • 在 .timer 中启用 Persistent=true，可在系统启动或定时器恢复后补执行错过的触发。

四、at 一次性任务的权限设置

• 服务与访问控制
  • 启动服务：sudo systemctl start atd && sudo systemctl enable atd。
  • 权限控制：
    • 存在 /etc/at.allow 时，仅列于其中的用户可使用 at；
    • 否则查看 /etc/at.deny，列于其中的用户被拒绝；
    • 两文件均不存在时，通常仅 root 可用。
• 基本用法
  • 提交任务：echo “/path/to/script.sh” | at 22:30 或 at now + 30 minutes；
  • 管理任务：atq 查看、atrm 删除。

五、常见权限问题与排查清单

• 任务未执行
  • 检查身份是否正确（普通任务误写到 root，或反之）；脚本是否有 可执行权限；路径是否使用 绝对路径；必要时在 crontab 顶部设置 PATH。
• 权限过宽导致安全或策略问题
  • /etc/crontab 与 /etc/cron.d/ 下的文件建议 600 root:root；避免在脚本中硬编码明文密码，涉及 sudo 的命令优先用 NOPASSWD 仅对指定脚本 的方式。
• 日志与调试
  • cron 任务看 /var/log/syslog（如：grep CRON /var/log/syslog）；systemd 任务看 journalctl -u ；at 任务用 atq/atrm 管理。
• 一次性任务无法使用
  • 确认 atd 已运行，并检查 /etc/at.allow 与 /etc/at.deny 配置是否符合预期。