Как это сделать правильно?

Я бы запилил таблицу в БД куда бы постились «ивенты» из веба, а на крон у пользака которому по правам доступно что-то большее, повесил бы задачу которая чекает эти новые ивенты и выполняет их. Так еще и лог вести можно, что выполнилось и когда.

Напиши демона и прикрути ZeroMQ (или RabbitMQ). Либо используй REST. Сайт будет дергать демона, а демон будет делать pull. Это если ты хочешь сделать правильно.

Спасибо, но бд - это явно черезчур в моём случае, а крон - не реалтайм, даже если «* * * * *». По крону можно было бы и «холостой» git pull раз в минуту делать без всяких гитхабовских вебхуков, но это не то, что хочется.

Если делать отдельного демона, который умеет делать только git pull && make, то тогда его можно сразу в интернет выставлять без лишних посредников.

Получается, средствами selinux эта задача нормально не решается?

Апдейт приложения максимум через минуту после отправки команды это так критично?

Оно собираться может будет даже дольше. Я бы точно потерпел.

Ну и БД для примера. Дело твое, пиши в файл.

Правильные контексты на директорию с репозиторием и через setsebool разрешить exec. audit2allow, если не достаточно.

Дело твое, пиши в файл.

Еще и inotify можно прикрутить, тогда реалтайм получится.

#!/bin/sh

echo 'HTTP/1.0 200 OK'
echo

# cd /path && git pull && make

nc -kl 8080 -c build.sh

Простейший демон :)

Фишка использования демона и API к нему в том, чтобы извне не было прямого доступа к сервису с привилегированным доступом. Просто запусти демона (пусть даже на PHP) от выделенного пользователя или в PHP-FPM с выделенным пользователем. Если на этом серваке не крутится других сайтиков то спокойно можешь ослаблять политики SELinux. Ничего страшного не будет.

Прошу прощения. Вопрос к ТС и тем кто отвечал:

А зачем может понадобиться httpd доступ к хомяку? Почему он не может в своей выделенной папочке делать свое дело?

Правильные контексты на директорию с репозиторием и через setsebool разрешить exec. audit2allow, если не достаточно.

Пробовал, но ему очень много нужно. В частности, доступ к хомяку (для ~/.gitconfig и ~/.ssh/id_rsa), чего как-то неправильно делать.

А зачем может понадобиться httpd доступ к хомяку? Почему он не может в своей выделенной папочке делать свое дело?

git pull читает ~/.gitconfig и ~/.ssh/id_rsa.

Простейший демон :)

Наверное, так в итоге и сделаю. Спасибо.

Хм, а почему не дать их, какая принципиально разница?

Поэтому что если всё разрешить, то теряется весь смысл SELinux. Он очень многого хочет. А ещё я слышал, что когда кто-нибудь запускает audit2allow --all, на Земле умирает один котёнок.

Ну так создай отдельного пользователя, и скопируй файлы, не? К тому же ~/.ssh/id_rsa лишний, можно по https лезть.

httpd_enable_homedirs либо установлена, либо нет, неважно какой пользователь.

Вообще меня вполне устраивает вариант решения с отдельным веб-сервером, который изначально выполняется в нормальном контексте и by design не умеет ничего, кроме этой конкретной задачи.