mktempを使わずに文字列を変数に代入して操作

とあるrpmパッケージを rhel 9.5/9.6系に入れたのですが、systemd のサービスでスクリプトが呼び出された時に mktempしたファイルに追記しようしている箇所が、permission denied で許可がありません、とのエラーログがでていました。
mktemp で作成された一時ファイルなので、ファイルパーミッションそのものに間違いはなかったのですが、ls -Z で確認したところ、system_u:object_r:tmp_t:s0 /tmp/tmp.GV1sHMTOpY となっていて、 systemd で起動したサービスの /tmp にかかる selinux の設定が影響しているようでした。
何箇所か引っかかるのですが、主要な該当箇所は以下の所でした。

function TurnOnCron(){

# create temporary files with randomized name
TmpRoot=$(mktemp) || return
Err=$(mktemp) || return
    crontab -l >$TmpRoot 2>$Err
    if [ $? -ne 0 ]; then
        fgrep "no crontab" $Err >/dev/null ||
        {
            sv_log "Error: Periodical supervision not available."
            rm -f $TmpRoot $Err
            return
        }
    fi

    fgrep "xxxxxxxCron"  $TmpRoot>/dev/null
    if [ $? -eq 0 ]; then
        grep "0,5,10,15,20,25,30,35,40,45,50,55.*xxxxxxxCron.*" $TmpRoot>/dev/null && {
        #  old crontab entry found, modify it
            sed -i '/xxxxxxxCron.$/s/0,5,10,15,20,25,30,35,40,45,50,55/0,15,30,45/' $TmpRoot
            /usr/bin/crontab $TmpRoot >/dev/null 2>&1
        }
    else
        echo "# xxxxxxxCron: restarts daemons that died" >> $TmpRoot
        echo "0,15,30,45 * * * * /bin/sh -c \"[ -x /etc/xxxxxxx/xxxxxxxCron ] && /etc/xxxxxxx/xxxxxxxCron\"" >> $TmpRoot
        /usr/bin/crontab $TmpRoot >/dev/null 2>&1
    fi
    rm -f $TmpRoot $Err

    echo "" > /etc/xxxxxxx/xxxxxxxCronOn
    sv_log "Periodical supervision turned on."
}

rhel 9.0-9.2 系では大丈夫なようですが 9.5/9.6 の方がセキュリティが強化されているので古いバージョンは使いたくないと思い回避方法を考えたのですが、そもそもシステムの selinux 設定を変えるのはリスクがあると判断したので mktemp を使わずに変数に必要な文字列を入れる方向で調整したところ上手く行ったので備忘録として挙げておくことにしました。

function TurnOnCron(){

    TmpRoot=$(crontab -l)
    if [ $? -ne 0 ]; then
        Err=$(crontab -l 2>&1)
        echo $Err | fgrep "no crontab" >/dev/null ||
        {
            sv_log "Error: Periodical supervision not available."
            return
        }
    fi

    echo "$TmpRoot" | fgrep "xxxxxxxCron" >/dev/null
    if [ $? -eq 0 ]; then
        echo "$TmpRoot" | grep "0,5,10,15,20,25,30,35,40,45,50,55.*xxxxxxxCron.*" >/dev/null
        if [ $? -eq 0 ]; then
            #  old crontab entry found, modify it
            TmpRoot=$(echo "$TmpRoot" | sed '/xxxxxxxCron.$/s/0,5,10,15,20,25,30,35,40,45,50,55/0,15,30,45/')
            echo "$TmpRoot" | /usr/bin/crontab - >/dev/null 2>&1
        fi
    else
        LF=$'\n'
        TmpRoot+="# xxxxxxxCron: restarts daemons that died$LF"
        TmpRoot+="0,15,30,45 * * * * /bin/sh -c \"[ -x /etc/xxxxxxx/xxxxxxxCron ] && /etc/xxxxxxx/xxxxxxxCron\""
        echo "$TmpRoot" | /usr/bin/crontab - >/dev/null 2>&1
    fi
    echo "" > /etc/xxxxxxx/xxxxxxxCronOn
    sv_log "Periodical supervision turned on."

}

注意点としては、アスタリスクを含む変数を echo $変数とするとアスタリスクが展開されるので　echo "$変数"とクオーテーションでくくる必要があったことと、文字列に改行を入れるのには変数を使う必要があり、echoする場合はこれもカッコでくくる必要があるところでした。それと変数には標準出力と標準エラー出力を同時に格納できないので、一部同じコマンドを二回呼び出しているところです。
ファイルを使う方が楽に記述できるのですが、セキュリティーを考えるとなるべくファイルをつかわずにシエル変数で記述する方がよさそうですね。
今回は以上です。それでは。

Benedicam te.

このブログを検索