apache/docs/manual/suexec.xml.tr

   1 <?xml version="1.0" encoding="UTF-8" ?>
   2 <!DOCTYPE manualpage SYSTEM "./style/manualpage.dtd">
   3 <?xml-stylesheet type="text/xsl" href="./style/manual.tr.xsl"?>
   4 <!-- English Revision: 698389 -->
   5 <!-- =====================================================
   6  Translated by: Nilgün Belma Bugüner <nilgun belgeler.org>
   7    Reviewed by: Orhan Berent <berent belgeler.org>
   8 ========================================================== -->
   9
  10 <!--
  11  Licensed to the Apache Software Foundation (ASF) under one or more
  12  contributor license agreements.  See the NOTICE file distributed with
  13  this work for additional information regarding copyright ownership.
  14  The ASF licenses this file to You under the Apache License, Version 2.0
  15  (the "License"); you may not use this file except in compliance with
  16  the License.  You may obtain a copy of the License at
  17
  18      http://www.apache.org/licenses/LICENSE-2.0
  19
  20  Unless required by applicable law or agreed to in writing, software
  21  distributed under the License is distributed on an "AS IS" BASIS,
  22  WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  23  See the License for the specific language governing permissions and
  24  limitations under the License.
  25 -->
  26
  27 <manualpage metafile="suexec.xml.meta">
  28
  29   <title>SuEXEC Desteği</title>
  30
  31   <summary>
  32     <p><strong>SuEXEC</strong> özelliği, Apache kullanıcılarına
  33       <strong>CGI</strong> ve <strong>SSI</strong> programlarını sunucunun
  34       aidiyetinde çalıştığı kullanıcıdan farklı bir kullanıcının aidiyetinde
  35       çalıştırma olanağı verir. Normalde, <strong>CGI</strong> ve
  36       <strong>SSI</strong> programlarını çalıştıranla sunucuyu çalıştıran
  37       aynı kullanıcıdır.</p>
  38
  39     <p>Gerektiği gibi kullanıldığında bu özellik, kullanıcılara
  40       <strong>CGI</strong> ve <strong>SSI</strong> programlarını çalıştırma
  41       ve geliştirmeye izin vermekle ortaya çıkan güvenlik risklerini azaltır.
  42       Bununla birlikte, <strong>suEXEC</strong> gerektiği gibi
  43       yapılandırılmadığı takdirde bazı sorunlara yol açabilir ve bilgisayar
  44       güvenliğinizde yeni delikler ortaya çıkmasına sebep olabilir.
  45       Güvenlikle ilgili mevcut sorunlarla başa çıkmada ve <em>setuid
  46       root</em> programları yönetmekte bilgi ve deneyim sahibi değilseniz
  47       <strong>suEXEC</strong> kullanmayı kesinlikle düşünmemenizi
  48       öneririz.</p>
  49   </summary>
  50
  51 <section id="before"><title>Başlamadan önce</title>
  52
  53     <p>Belgeye balıklama dalmadan önce, Apache Grubu ve bu belge ile ilgili
  54       kabuller hakkında bilgi sahibi olmalısınız.</p>
  55
  56     <p>Öncelikle, üzerinde <strong>setuid</strong> va <strong>setgid</strong>
  57       işlemlerinin yapılabildiği Unix türevi bir işletim sistemi
  58       kullandığınızı varsayıyoruz. Tüm komut örnekleri buna dayanarak
  59       verilmiştir. Bu desteğe sahip başka platformlar varsa onlardaki
  60       yapılandırma burada anlattığımız yapılandırmadan farklı olabilir.</p>
  61
  62     <p>İkinci olarak, bilgisayarınızın güvenliği ve yönetimi ile ilgili bazı
  63       temel kavramları bildiğinizi kabul ediyoruz. Buna
  64       <strong>setuid/setgid</strong> işlemlerinin sisteminiz ve güvenlik
  65       seviyesi üzerindeki etkilerini bilmek dahildir.</p>
  66
  67     <p>Üçüncü olarak, <strong>suEXEC</strong> kodunun
  68       <strong>değiştirilmemiş</strong> bir sürümünü kullandığınızı
  69       varsayıyoruz. Tüm suEXEC kodu, geliştiricilerin yanında sayısız beta
  70       kullanıcısı tarafından dikkatle incelenmiş ve denenmiştir. Kodların hem
  71       basit hem de sağlam bir şekilde güvenli olması için gerekli tüm
  72       önlemler alınmıştır. Bu kodun değiştirilmesi beklenmedik sorunlara ve
  73       yeni güvenlik risklerine yol açabilir. Özellikle güvenlikle ilgili
  74       programlarda deneyimli değilseniz suEXEC kodunda kesinlikle bir
  75       değişiklik yapmamalısınız. Değişiklik yaparsanız kodlarınızı gözden
  76       geçirmek ve tartışmak üzere Apache Grubu ile paylaşmanızı öneririz.</p>
  77
  78     <p>Dördüncü ve son olarak, Apache Grubunun suEXEC’i öntanımlı Apache
  79       kurulumunun bir parçası yapmama kararından bahsetmek gerekir. Bunun
  80       sonucu olarak, suEXEC yapılandırması sistem yöneticisinin ayrıntılı bir
  81       incelemesini gerektirir. Gerekli incelemeden sonra yönetici tarafından
  82       suEXEC yapılandırma seçeneklerine karar verilip, normal yollardan
  83       sisteme kurulumu yapılır. Bu seçeneklerin belirlenmesi, suEXEC
  84       işlevselliğinin kullanımı sırasında sistem güvenliğini gerektiği gibi
  85       sağlamak için yönetici tarafından dikkatle saptanmayı gerektirir. Bu
  86       sürecin ayrıntılarının yöneticiye bırakılma sebebi, Apache Grubunun
  87       suEXEC kurulumunu, suEXEC’i dikkatle kullanacak yeterliliğe sahip
  88       olanlarla sınırlama beklentisidir.</p>
  89
  90     <p>Hala bizimle misiniz? Evet mi? Pekala, o halde devam!</p>
  91 </section>
  92
  93 <section id="model"><title>SuEXEC Güvenlik Modeli</title>
  94
  95     <p>SuEXEC yapılandırması ve kurulumuna girişmeden önce biraz da
  96       gerçekleşmesini istediğiniz güvenlik modelinin ayrıntıları üzerinde
  97       duralım. Böylece, suEXEC’in içinde olup bitenleri ve sisteminizin
  98       güvenliği için alınacak önlemleri daha iyi anlayabilirsiniz.</p>
  99
 100     <p><strong>suEXEC</strong> işlevselliği, Apache HTTP Sunucusu tarafından
 101       gerektiği takdirde artalanda çalıştırılan bir setuid programa dayanır.
 102       Bu program, bir CGI veya SSI betiğine bir HTTP isteği yapıldığı zaman,
 103       bu betiği, yöneticinin ana sunucunun aidiyetinde çalıştığı kullanıcıdan
 104       farklı olarak seçtiği bir kullanıcının aidiyetinde çalıştırmak için
 105       çağrılır. Böyle bir istek geldiğinde, Apache artalandaki setuid
 106       programına, HTTP isteği yapılan programın ismiyle beraber aidiyetinde
 107       çalışacağı kullanıcı ve grup kimliklerini de aktarır.</p>
 108
 109     <p>Artalanda çalıştırılan setuid program başarıyı ve başarısızlığı
 110       aşağıdaki süreci izleyerek saptar. Bunlardan herhangi biri başarısız
 111       olursa program başarısızlık durumunu günlüğe kaydeder ve bir hata
 112       vererek çıkar. Aksi takdirde çalışmaya devam eder.</p>
 113
 114     <ol>
 115       <li>
 116         <strong>Setuid programı çalıştıran kullanıcı sistemin geçerli
 117         kullanıcılarından biri mi?</strong>
 118
 119         <p class="indent">Bu, setuid programı çalıştıran kullanıcının
 120         sistemin gerçek bir kullanıcısı olduğunudan emin olunmasını sağlar.
 121         </p>
 122      </li>
 123
 124      <li>
 125         <strong>Setuid program yeterli sayıda argümanla çağrılmış mı?
 126         </strong>
 127
 128         <p class="indent">Apache’nin artalanda çağırdığı setuid program
 129           ancak yeterli sayıda argüman sağlandığı takdirde çalışacaktır.
 130           Argümanların sayısını ve sırasını Apache HTTP sunucusu bilir. Eğer
 131           setuid program yeterli sayıda argümanla çağrılmamışsa ya
 132           kendisinde bir değişiklik yapılmıştır ya da kurulu Apache
 133           çalıştırılabilirinin suEXEC ile ilgili kısmında yanlış giden bir
 134           şeyler vardır.</p>
 135       </li>
 136
 137       <li>
 138         <strong>Bu geçerli kullanıcının bu setuid programı çalıştırma
 139           yetkisi var mı?</strong>
 140
 141         <p class="indent">Sadece tek bir kullanıcı (Apache’nin aidiyetinde
 142           çalıştığı kullanıcı) bu programı çalıştırmaya yetkilidir.</p>
 143       </li>
 144
 145       <li>
 146         <strong>Hedef CGI veya SSI programı hiyerarşik olarak güvenliği
 147           bozacak bir dosya yolu üzerinde mi?</strong>
 148
 149         <p class="indent">Hedef CGI veya SSI programının dosya yolu '/' veya
 150           '..' ile başlıyor  mu? Buna izin verilmez. Hedef CGI veya SSI
 151           programı suEXEC’in belge kök dizininde yer almalıdır (aşağıda
 152           <code>--with-suexec-docroot=<em>DİZİN</em></code> seçeneğine
 153           bakınız).</p>
 154       </li>
 155
 156       <li>
 157         <strong>Hedef kullanıcı ismi geçerli mi?</strong>
 158
 159         <p class="indent">Hedef kullanıcı mevcut mu?</p>
 160       </li>
 161
 162       <li>
 163         <strong>Hedef grup ismi geçerli mi?</strong>
 164
 165         <p class="indent">Hedef grup mevcut mu?</p>
 166       </li>
 167
 168       <li>
 169         <strong>Hedef kullanıcı <code>root</code> değil, değil mi?</strong>
 170
 171         <p class="indent">Mevcut durumda, <code>root</code> kullanıcısının
 172           CGI/SSI programlarını çalıştırmasına izin verilmemektedir.</p>
 173       </li>
 174
 175       <li>
 176         <strong>Hedef kullanıcı kimliği asgari kullanıcı numarasından
 177           <em>BÜYÜK</em> mü?</strong>
 178
 179         <p class="indent">Asgari kullanıcı numarası yapılandırma sırasında
 180           belirtilir. Böylece CGI/SSI programlarını çalıştırmasına izin
 181           verilecek olası en düşük kullanıcı numarasını belirlemeniz mümkün
 182           kılınmıştır. Bu bazı “sistem” hesaplarını devreden çıkarmak için
 183           yararlıdır.</p>
 184       </li>
 185
 186       <li>
 187         <strong>Hedef grup <code>root</code>  değil, değil mi?</strong>
 188
 189         <p class="indent">Mevcut durumda, <code>root</code> grubunun CGI/SSI
 190           programlarını çalıştırmasına izin verilmemektedir.</p>
 191       </li>
 192
 193       <li>
 194         <strong>Hedef grup numarası asgari grup numarasından
 195           <em>BÜYÜK</em> mü?</strong>
 196
 197         <p class="indent">Asgari grup numarası yapılandırma sırasında
 198           belirtilir. Böylece CGI/SSI programlarını çalıştırmasına izin
 199           verilecek olası en düşük grup numarasını belirlemeniz mümkün
 200           kılınmıştır. Bu bazı “sistem” hesaplarını devreden çıkarmak için
 201           yararlıdır.</p>
 202       </li>
 203
 204       <li>
 205         <strong>Apache’nin artalanda çağırdığı setuid program hedef
 206           kullanıcı ve grubun aidiyetine geçebildi mi?</strong>
 207
 208         <p class="indent">Bu noktadan itibaren program setuid ve setgid
 209           çağrıları üzerinden hedef kullanıcı ve grubun aidiyetine geçer.
 210           Erişim grubu listesi de ayrıca kullanıcının üyesi olduğu tüm
 211           gruplara genişletilir.</p>
 212       </li>
 213
 214       <li>
 215         <strong>Hedef CGI/SSI programının bulunduğu dizine geçebildik mi?
 216         </strong>
 217
 218         <p class="indent">Dizin mevcut değilse dosyaları da içeremez. Hedef
 219           dizine geçemiyorsak bu, dizin mevcut olmadığından olabilir.</p>
 220       </li>
 221
 222       <li>
 223         <strong>Hedef dizin Apache için izin verilen yerlerden biri mi?
 224         </strong>
 225
 226         <p class="indent">İstek sunucunun normal bir bölümü için yapılmış
 227           olsa da istenen dizin acaba suEXEC’in belge kök dizini altında mı?
 228           Yani, istenen dizin, suEXEC’in aidiyetinde çalıştığı kullanıcının
 229           ev dizini altında bulunan, <directive module="mod_userdir"
 230           >UserDir</directive> ile belirtilen dizinin altında mı? (<a
 231           href="#install">suEXEC’in yapılandırma seçeneklerine</a>
 232           bakınız).</p>
 233       </li>
 234
 235       <li>
 236         <strong>Hedef dizin başkaları tarafından yazılabilen bir dizin değil,
 237           değil mi?</strong>
 238
 239         <p class="indent">Başkaları da yazabilsin diye bir dizin açmıyoruz;
 240           dizin içeriğini sadece sahibi değiştirebilmelidir.</p>
 241       </li>
 242
 243       <li>
 244         <strong>Hedef CGI/SSI programı mevcut mu?</strong>
 245
 246         <p class="indent">Mevcut değilse çalıştırılamaz.</p>
 247       </li>
 248
 249       <li>
 250         <strong>Hedef CGI/SSI program dosyasına başkaları tarafından
 251           yazılamıyor, değil mi?</strong>
 252
 253         <p class="indent">Hedef CGI/SSI programının dosyasına sahibinden
 254           başka kimsenin bir şeyler yazmasını istemeyiz.</p>
 255       </li>
 256
 257       <li>
 258         <strong>Hedef CGI/SSI program setuid veya setgid <em>değil</em>,
 259           değil mi?</strong>
 260
 261         <p class="indent">UID/GID‘i tekrar değiştirecek programlar
 262           çalıştırmayı istemeyiz.</p>
 263       </li>
 264
 265       <li>
 266         <strong>Hedef kullanıcı/grup, programın kullanıcı/grubu ile aynı mı?
 267         </strong>
 268
 269         <p class="indent">Hedef kullanıcı dosyanın sahibi mi?</p>
 270       </li>
 271
 272       <li>
 273         <strong>İşlemlerin güvenle yapılabilmesi için süreç ortamını
 274           başarıyla temizleyebildik mi?</strong>
 275
 276         <p class="indent">suEXEC, sürecin çalışacağı ortama güvenli bir
 277           program çalıştırma yolu sağlamaktan başka, yapılandırma sırasında
 278           oluşturulan güvenli ortam değişkenleri listesinde isimleri bulunan
 279           ortam değişkenlerinden başkasını aktarmayacaktır.</p>
 280       </li>
 281
 282       <li>
 283         <strong>Hedef CGI/SSI programı haline gelip çalışabildik mi?</strong>
 284
 285         <p class="indent">Burası suEXEC’in bitip CGI/SSI programının
 286           başladığı yerdir.</p>
 287       </li>
 288     </ol>
 289
 290     <p>Bu süreç suEXEC güvenlik modelinin standart işlemlerini oluşturur.
 291       Biraz zorlayıcı ve CGI/SSI tasarımına yeni kurallar ve sınırlamalar
 292       getiriyor olsa da düşünülen güvenliği adım adım sağlayacak şekilde
 293       tasarlanmıştır.</p>
 294
 295     <p>Düzgün bir suEXEC yapılandırmasının hangi güvenlik risklerinden
 296       kurtulmayı sağladığı ve bu güvenlik modelinin sunucu yapılandırmasıyla
 297       ilgili sorumluluklarınızı nasıl sınırlayabildiği hakkında daha
 298       ayrıntılı bilgi edinmek için bu belgenin <a
 299       href="#jabberwock">"Uyarılar ve Örnekler"</a> bölümüne bakınız.</p>
 300 </section>
 301
 302 <section id="install"><title>suEXEC’in Yapılandırılması ve Kurulumu</title>
 303
 304     <p>Eğlence başlıyor.</p>
 305
 306     <p><strong>suEXEC yapılandırma seçenekleri</strong><br />
 307     </p>
 308
 309     <dl>
 310       <dt><code>--enable-suexec</code></dt>
 311
 312       <dd>Bu seçenek, hiçbir zaman öntanımlı olarak kurulmayan ve
 313         etkinleştirilmeyen suEXEC özelliğini etkin kılar. suEXEC özelliğini
 314         kullanma isteğinizi Apache’nin kabul edebilmesi için
 315         <code>--enable-suexec</code> seçeneğinin yanında en azından bir tane
 316         de <code>--with-suexec-xxxxx</code> seçeneği belirtilmiş
 317         olmalıdır.</dd>
 318
 319       <dt><code>--with-suexec-bin=<em>YOL</em></code></dt>
 320
 321       <dd>Güvenlik sebebiyle <code>suexec</code> çalıştırılabilirinin
 322         bulunduğu yer sunucu koduna yazılır. Bu seçenekle öntanımlı yol
 323         değiştirilmiş olur. Örnek:<br />
 324         <code>--with-suexec-bin=/usr/sbin/suexec</code></dd>
 325
 326       <dt><code>--with-suexec-caller=<em>KULLANICI</em></code></dt>
 327
 328       <dd>Normalde Apache’nin aidiyetinde çalıştığı <a
 329         href="mod/mpm_common.html#user">kullanıcı</a>dır. Bu, bu programı
 330         çalıştırmasına izin verilen tek kullanıcıdır.</dd>
 331
 332       <dt><code>--with-suexec-userdir=<em>DİZİN</em></code></dt>
 333
 334       <dd><p>Kullanıcıların ev dizinleri altında suEXEC’in erişmesine izin
 335         verilen alt dizinin yerini tanımlar. Bu dizin altında suEXEC
 336         kullanıcısı tarafından çalıştırılacak tüm programlar "güvenilir"
 337         olmalıdır. Eğer “basit” bir <directive module="mod_userdir"
 338         >UserDir</directive> yönergesi kullanıyorsanız ( içinde “*”
 339         bulunmayan), bunun aynı dizin olması gerekir. Eğer burada belirtilen
 340         dizin, <code>passwd</code> dosyasında kullanıcı için belirtilmiş
 341         dizinin altında <directive module="mod_userdir">UserDir</directive>
 342         yönergesinde belirtilen dizin olmadığı takdirde suEXEC işini
 343         gerektiği gibi yapmayacaktır. Öntanımlı değer
 344         <code>public_html</code>’dir.</p>
 345
 346       <p>Eğer, sanal konaklarınızın herbiri farklı <directive
 347         module="mod_userdir">UserDir</directive> yönergeleri içeriyorsa
 348         burada belirtilecek dizinin üst dizininin hepsinde aynı olması
 349         gerekir. <strong>Aksi takdirde, "~<em><code>kullanıcı</code></em>"
 350         istekleri düzgün çalışmayacaktır.</strong></p></dd>
 351
 352       <dt><code>--with-suexec-docroot=<em>DİZİN</em></code></dt>
 353
 354       <dd>Apache için belge kök dizinini belirler. Bu, (<directive
 355         module="mod_userdir" >UserDir</directive>’lardan başka) suEXEC için
 356         kullanılacak tek hiyerarşi olacaktır. Öntanımlı dizin sonuna
 357         "<code>/htdocs</code>" eklenmiş <code>--datadir</code> dizinidir.
 358         Yani, seçeneği "<code>--datadir=/home/apache</code>" olarak
 359         belirtmişseniz suEXEC çalıştırıcısı için belge kök dizini
 360         "<code>/home/apache/htdocs</code>" olur.</dd>
 361
 362       <dt><code>--with-suexec-uidmin=<em>UID</em></code></dt>
 363
 364       <dd>suEXEC kullanıcısının kullanıcı kimliği olarak izin verilen en
 365         düşük değeri belirler. Çoğu sistemde bu ya 500’dür ya da 100; 100
 366         öntanımlıdır.</dd>
 367
 368       <dt><code>--with-suexec-gidmin=<em>GID</em></code></dt>
 369
 370       <dd>suEXEC kullanıcısının grup kimliği olarak izin verilen en düşük
 371         değeri belirler. Çoğu sistemde bu 100 olup, seçeneğin de öntanımlı
 372         değeridir.</dd>
 373
 374       <dt><code>--with-suexec-logfile=<em>DOSYA</em></code></dt>
 375
 376       <dd>suEXEC hareketlerinin ve hatalarının kaydedileceği günlük
 377         dosyasının adını belirler (denetim ve hata ayıklama için
 378         kullanışlıdır). Öntanımlı günlük dosyası ismi
 379         "<code>suexec_log</code>" olup yeri (<code>--logfiledir</code>
 380         seçeneği ile belirtilen) günlük dosyaları dizinidir.</dd>
 381
 382       <dt><code>--with-suexec-safepath=<em>YOL</em></code></dt>
 383
 384       <dd>CGI çalıştırılabilirlerine aktarılacak güvenilir <code>PATH</code>
 385         ortam değişkeninin değerini tanımlar.
 386         "<code>/usr/local/bin:/usr/bin:/bin</code>" öntanımlıdır.</dd>
 387     </dl>
 388
 389     <section>
 390       <title>SuEXEC çalıştırıcısının derlenmesi ve kurulumu</title>
 391
 392       <p>SuEXEC özelliğini <code>--enable-suexec</code> seçeneği ile
 393         etkinleştirdiyseniz <code>make</code> komutunu verdiğinizde Apache
 394         ile birlikte <code>suexec</code> çalıştırılabilir dosyası da
 395         derlenecektir.</p>
 396
 397       <p>Tüm bileşenler derlendikten sonra <code>make install</code> komutunu
 398         vererek kurulumu tamamlayabilirsiniz. <code>suexec</code>
 399         çalıştırılabilir dosyası <code>--sbindir</code> seçeneği ile
 400         tanımlanan dizine kurulacaktır; öntanımlı yeri
 401         <code>/usr/local/apache2/bin/</code> dizinidir.</p>
 402
 403       <p>Kurulum adımında <strong><em>root yetkisine</em></strong> sahip
 404         olmanız gerektiğini unutmayın. Çalıştırıcıya kullanıcı kimliğinin
 405         atanabilmesi ve dosyanın sahibi olan kullanıcı kimliği ile
 406         çalıştırılabilmesini mümkün kılan bitinin etkin kılınabilmesi için
 407         kurulumun <code><em>root</em></code> tarafından yapılması
 408         önemlidir.</p>
 409     </section>
 410
 411     <section>
 412       <title>Paranoyak yetkilendirme</title>
 413
 414       <p>SuEXEC çalıştırıcısı kendini çalıştıran kullanıcının
 415         <program>configure</program> betiğine
 416         <code>--with-suexec-caller</code> seçeneği ile belirtilen kullanıcı
 417         olup olmadığına bakacaksa da, bu sınamanın da bir sistem veya
 418         kütüphane çağrısı ile istismar edilmiş olma ihtimali gözardı
 419         edilmemelidir. Bunun meydana gelmesini önlemek için ve genelde
 420         yapıldığı gibi dosyanın izinlerini suEXEC çalıştırıcısı sadece Apache
 421         sunucusunun aidiyetinde çalıştığı kullanıcı tarafından çalıştırılacak
 422         şekilde ayarlayınız.</p>
 423
 424       <p>Örneğin, sunucunuz şöyle yapılandırılmışsa:</p>
 425
 426       <example>
 427           User apache<br />
 428           Group apache-grup<br />
 429       </example>
 430
 431       <p>Ve <program>suexec</program> çalıştırılabilir de
 432         <code>/usr/local/apache2/bin/</code> dizinine kurulmuşsa şu komutları
 433         vermelisiniz:</p>
 434
 435       <example>
 436           chgrp apache-grup /usr/local/apache2/bin/suexec<br />
 437           chmod 4750 /usr/local/apache2/bin/suexec<br />
 438       </example>
 439
 440       <p>Böylece suEXEC çalıştırıcısını Apache’yi çalıştıran grubun
 441         üyelerinden başkasının çalıştıramayacağından emin olabilirsiniz.</p>
 442     </section>
 443 </section>
 444
 445 <section id="enable">
 446     <title>suEXEC’in etkin kılınması ve iptal edilmesi</title>
 447
 448     <p>Apache başlatıldığı sırada <program>suexec</program> çalıştırıcısı
 449       için <code>--sbindir</code> seçeneği ile tanımlanan dizine bakar
 450       (seçeneğin öntanımlı değeri
 451       <code>/usr/local/apache/sbin/suexec</code>’tir). Apache düzgün
 452       yapılandırılmış bir suEXEC çalıştırıcısı bulduğu takdirde hata
 453       günlüğüne şöyle bir ileti yazacaktır:</p>
 454
 455 <example>
 456     [notice] suEXEC mechanism enabled (wrapper: <var>/dosya/yolu/suexec</var>)
 457 </example>
 458
 459     <p>Sunucu başlatıldığında bu ileti yazılmazsa sunucu ya çalıştırıcı
 460       programı umduğu yerde bulamamıştır ya da dosyanın <em>setuid</em> biti
 461       <em>root</em> tarafından etkin kılınmamıştır.</p>
 462
 463      <p>SuEXEC mekanizmasını etkin kılmak istediğiniz sunucu çalışmaktaysa
 464       sunucuyu önce öldürmeli sonra yeniden başlatmalısınız.  Basit bir
 465       <code>HUP</code> veya <code>USR1</code> sinyali ile yeniden başlamasını
 466       sağlamak yeterli olmayacaktır.</p>
 467
 468      <p>SuEXEC mekanizmasını iptal etmek için ise <program>suexec</program>
 469       dosyasını sildikten sonra Apache sunucusunu öldürüp yeniden
 470       başlamalısınız.</p>
 471 </section>
 472
 473 <section id="usage"><title>SuEXEC’in kullanımı</title>
 474
 475     <p>CGI programlarına yapılan isteklerin suEXEC çalıştırıcısı tarafından
 476       yerine getirilebilmesi için sanal konağın bir <directive
 477       module="mod_suexec">SuexecUserGroup</directive> yönergesi içermesi veya
 478       isteğin <module>mod_userdir</module> tarafından işleme konulması
 479       gerekir.</p>
 480
 481     <p><strong>Sanal Konaklar:</strong><br />SuEXEC çalıştırıcısını farklı
 482       bir kullanıcı ile etkin kılmanın tek yolu <directive
 483       module="core">VirtualHost</directive> bölümleri içinde <directive
 484       module="mod_suexec">SuexecUserGroup</directive> yönergesini
 485       kullanmaktır. Bu yönergede ana sunucuyu çalıştıran kullanıcıdan farklı
 486       bir kullanıcı  belirterek ilgili sanal konak üzerinden CGI kaynakları
 487       için yapılan tüm isteklerin belirtilen <em>kullanıcı</em> ve
 488       <em>grup</em> tarafından çalıştırılması sağlanır. Bu yönergeyi
 489       içermeyen sanal konaklar için ana sunucunun kullanıcısı
 490       öntanımlıdır.</p>
 491
 492     <p><strong>Kullanıcı dizinleri:</strong><br />
 493     <module>mod_userdir</module> tarafından işleme sokulan tüm istekler için
 494     suEXEC çalıştırıcısı istek yapılan kullanıcı dizininin sahibinin
 495     aidiyetinde çalıştırılacaktır. Bu özelliğin çalışması için tek
 496     gereklilik, kullanıcının SuEXEC çalıştırıcısı için etkin kılınmış olması
 497     ve çalıştırıcının yukarıdaki <a href="#model">güvenlik sınamalarından</a>
 498     geçebilmesidir. Ayrıca,  <code>--with-suexec-userdir</code> <a
 499     href="#install">derleme</a> seçeneğinin açıklamasına da bakınız.</p>
 500 </section>
 501
 502 <section id="debug"><title>SuEXEC ve hata ayıklama</title>
 503
 504     <p>SuEXEC çalıştırıcısı yukarıda değinildiği gibi günlük bilgilerini
 505       <code>--with-suexec-logfile</code> seçeneği ile belirtilen dosyaya
 506       yazacaktır. Çalıştırıcıyı doğru yapılandırarak kurduğunuzdan emin olmak
 507       istiyorsanız, yolunda gitmeyen şeyler var mı diye bu günlük dosyasına
 508       bakmayı ihmal etmeyin.</p>
 509
 510 </section>
 511
 512 <section id="jabberwock">
 513     <title>Uyarılar ve Örnekler</title>
 514
 515     <p><strong>UYARI!</strong> Bu bölüm henüz bitmedi. Bu bölümün son hali
 516       için <a
 517       href="http://httpd.apache.org/docs/&httpd.docs;/suexec.html">çevrimiçi
 518       belgelere</a> bakınız.</p>
 519
 520     <p>SuEXEC çalıştırıcısından dolayı sunucu ayarlarına bazı sınırlamalar
 521       getiren bir kaç önemli nokta mevcuttur. SuEXEC ile ilgili hata
 522       bildiriminde bulunmadan önce bunlara bir göz atmalısınız.</p>
 523
 524     <ul>
 525       <li><strong>suEXEC ile ilgili önemli noktalar</strong></li>
 526
 527       <li>Hiyerarşik sınırlamalar
 528
 529         <p class="indent">Güvenlik ve verimlilik adına, tüm suEXEC
 530           isteklerinin sanal konaklar için üst düzey belge kökünün altındaki
 531           dosyalarla, kullanıcı dizinleri için ise üst düzey bireysel belge
 532           köklerinin altındaki dosyalarla sınırlı kalması gerekir. Örneğin,
 533           dört sanal konağınız varsa ve suEXEC çalıştırıcısının
 534           getirilerinden faydalanmak istiyorsanız, sanal konaklarınızın belge
 535           kök dizinlerini ana sunucunun belge kök dizininin altında kalacak
 536           şekilde yapılandırmanız gerekir (örnek yolda).</p>
 537       </li>
 538
 539       <li>SuEXEC'in <code>PATH</code> ortam değişkeni
 540
 541         <p class="indent">Bunu değiştirmek tehlikeli olabilir. Bu değişkende
 542           tanımladığınız her yolun <strong>güvenli</strong> bir dizini işaret
 543           ettiğinden emin olmalısınız. Başkalarının oralarda bir truva atı
 544           çalıştırmasını istemiyorsanız buna çok dikkat ediniz.</p>
 545       </li>
 546
 547       <li>SuEXEC kodunda değişiklik
 548
 549         <p class="indent">Gerçekte ne yaptığınızı bilmiyorsanız bu,
 550           <strong>büyük bir sorun</strong> olabilir. Böyle şeyler yapmaktan
 551           mümkün olduğunca uzak durmalısınız.</p>
 552       </li>
 553     </ul>
 554
 555 </section>
 556
 557 </manualpage>