Меня как раз интересует сборка для продакшена с максимальной производительностью.
Там особо мозгов не нужно, то что вы пишите в консольке, то нужно записать в докерфайл и вуаля готов контейнер, разворачивайте и юзайте(ютуб в помощь), да и вам сейчас собирать удобнее будет. Вы можете оттестить каждое приложение mysql/mariadb или php-fpm/hhvm/apache и т.д. и потом как из кусочков собрать самый производительный билд(связку) и это все можно сделать НЕ переставляя каждый раз ОСь и не испытывая Гемороя с настройкой окружения, времени на изучения потратите 1-2 вечера, зато потом будет огромный +.
В шапке установка стандартного LEMP. Не вижу здесь дырок. Да в ЛЭМПе можно получить доступ ко всем сайтам на сервере через пхпшный шел, но для начала его надо будет закачать на сервер, а с включенным сканером безопасности битрикс нам этого не даст сделать даже имея полный доступ в админку. Через паблик все файлы загружаются в папку /upload/ в которой выключено выполнение скриптов. В общем загрузить шел можно только по ФТП, но мы его и не устанавливали.
Если у пользователя есть доступ в админку с правами на главный модуль, то есть доступ к пхпешнему шелу и шелу мускула, который зашит в сам битрикс, в настройках, в разделе инструменты. Т.к. предпологается, что это шарид, то сайтов будет больше чем один, бывают клиенты которые требуют аккаунт администратора. Если клиент скомпрометирует свой аккаунт, то в перспективе этот шарид превращается в зомбака со всеми вытекающими. Имея админский доступ в принципе необязательно даже и лезть в битриксовый пхпешный шел, т.к. админ может создавать пхпешные файлы, а значит закодит все что нужно минуя битриксовый сканер. Из самый простых вариантов, я делал в рамках битриксового окружения следующим образом. Создавал пользователей, заводил им виртуальные хосты, и добовлял этих пользователей в группу bitrix. Из минусов, если будет скомпрометирован какой то сайт, то как минимум через пхп смогут просканить пользовательские разделы, т.к. права на чтения будут у группы. Править в ручную права на разделы, слишком геморойно, да и опыта в администрировании очень мало, и не хватает знаний как сделать нормально без костылей. Вобщем буду признателен, если кто то подскажет как сделать так, что бы в рамках битриксового окружения(или нет), поднимался изолированный процесс для каждого пользователя.
