Warum behält ein wiederhergestellter Ordner explizite ACLs, verliert aber die Vererbung vom übergeordneten Ordner?
Ein wiederhergestellter Ordner kann explizite Berechtigungen beibehalten, aber die Vererbung vom übergeordneten Ordner verlieren, wenn bei der Wiederherstellung die gespeicherte ACL als geschützt neu erstellt oder die Vererbungsmetadaten weggelassen werden.
Dateiinhalte, Eigentümer, explizite Zugriffseinträge und der Vererbungsstatus sind voneinander unabhängige Ergebnisse der Wiederherstellung. Ein Backup kann benannte Benutzer und Gruppen korrekt wiederherstellen und gleichzeitig eine als „geschützt“ markierte ACL beibehalten, die keine Regeln mehr vom neuen übergeordneten Ordner übernimmt. Auf POSIX-Dateisystemen kann dem wiederhergestellten Verzeichnis außerdem eine Standard-ACL fehlen; bei NFSv4- oder SMB-basierten Datasets können Vererbungsflags geändert oder anders zugeordnet werden. Vergleichen Sie den wiederhergestellten Ordner mit einem neu erstellten Geschwisterordner, bevor Sie rekursive Berechtigungsänderungen anwenden.
Vergleichen Sie den wiederhergestellten Ordner mit einem neu erstellten Geschwisterordner
Erstellen Sie unter demselben übergeordneten Ordner mit derselben SMB- oder lokalen Identität einen entbehrlichen Testordner. Vergleichen Sie Eigentümer, Gruppe, Modus, die vollständige ACL, die Standard-ACL, Vererbungsflags und den effektiven Zugriff.
Microsoft dokumentiert, dass wiederhergestellte oder verschobene Ordner geschützte Berechtigungen beibehalten können, anstatt automatisch die aktuelle ACL des übergeordneten Ordners zu übernehmen.
Wenn der neue Geschwisterordner die Berechtigungen korrekt erbt, der wiederhergestellte Ordner jedoch nicht, ist der übergeordnete Ordner wahrscheinlich richtig konfiguriert. Konzentrieren Sie sich auf den Schutzstatus und die gespeicherte ACL des wiederhergestellten Objekts, statt die gesamte Freigabe neu aufzubauen.
Trennen Sie explizite ACL-Einträge von geerbten Einträgen
Listen Sie jeden Zugriffseintrag auf und kennzeichnen Sie, ob er explizit oder geerbt ist, eine Verweigerung oder Erlaubnis darstellt, nur für Dateien oder nur für Verzeichnisse gilt oder vererbbar ist. Verlassen Sie sich nicht ausschließlich auf den effektiven Zugriff für ein einzelnes Administratorkonto.
Red Hat erklärt, dass eine Verzeichnis-Standard-ACL die Vererbung steuert für neu erstellte Dateien und Unterverzeichnisse auf Dateisystemen mit POSIX-ACLs.
Ein Ordner kann eine gültige Zugriffs-ACL, aber keine Standard-ACL besitzen. Dadurch ist der aktuelle Zugriff möglich, während zukünftige untergeordnete Objekte nicht die vorgesehenen Regeln erhalten. Reparieren Sie sowohl den aktuellen Zugriff als auch die zukünftige Vererbung.
Prüfen Sie, ob bei der Wiederherstellung eine geschützte Windows-ACL beibehalten wurde
Prüfen Sie, ob die Vererbung deaktiviert ist und zuvor geerbte Einträge in explizite Einträge umgewandelt wurden. Dadurch kann der wiederhergestellte Ordner zunächst korrekt aussehen, bis sich die ACL des übergeordneten Ordners ändert.
Die Windows-ACL-Dokumentation von Samba beschreibt die Verarbeitung von Windows-ACLs auf Samba-Freigaben, bei der Vererbung und vollständige Sicherheitsdeskriptoren von der Konfiguration der Freigabe und des Dateisystems abhängen.
Löschen Sie nicht alle expliziten Einträge, nur um die Vererbung wieder zu aktivieren. Bewahren Sie Einträge auf, die absichtlich nur für den wiederhergestellten Ordner gelten, und entfernen Sie den Schutz erst, nachdem Sie die erwartete Beziehung zum übergeordneten Ordner dokumentiert haben.
Überprüfen Sie das ACL-Modell des Datasets und die Vererbungsflags
Dokumentieren Sie, ob das Ziel POSIX-ACLs, NFSv4-ACLs, in erweiterten Attributen gespeicherte Windows-ACLs oder eine NAS-spezifische Voreinstellung verwendet. Vergleichen Sie dies mit dem ursprünglichen Ziel des Backups.
Das ZFS-Handbuch von FreeBSD weist darauf hin, dass ZFS NFSv4-ACLs nativ speichern kann, einschließlich eines Vererbungsverhaltens, das umfangreicher ist als die herkömmlichen Modusbits für Eigentümer, Gruppe und andere.
Bei der Wiederherstellung einer unter einem Modell erstellten ACL in ein anderes Modell können einige Identitäten erhalten bleiben, während die Vererbungssemantik verloren geht. Führen Sie die Wiederherstellung in einem Test-Dataset durch, wenn sich die ACL-Modelle von Quelle und Ziel unterscheiden.
Prüfen Sie die ACL- und Extended-Attribute-Optionen des Wiederherstellungsprogramms
Überprüfen Sie die genauen Backup- und Wiederherstellungsoptionen für ACLs, erweiterte Attribute, Eigentümer, numerische IDs, Sicherheitsdeskriptoren und plattformspezifische Metadaten. Vergleichen Sie sie mit den Standardeinstellungen des Programms.
Das Linux-ACL-Handbuch erklärt, dass neue Objekte eine Verzeichnis-Standard-ACL erben, ein wiederhergestelltes Objekt jedoch nicht unbedingt über denselben gewöhnlichen Erstellungsweg angelegt wird.
Eine Wiederherstellung, die nach dem Erstellen des Verzeichnisses eine gespeicherte Zugriffs-ACL schreibt, kann die vom übergeordneten Ordner zunächst bereitgestellte ACL ersetzen. Ermitteln Sie, ob das Programm absichtlich die alte ACL wiederherstellt oder ob der neue übergeordnete Ordner die Vererbung steuern sollte.
Überprüfen Sie, ob das Backup-Format ACL-Metadaten gespeichert hat
Untersuchen Sie ein Backup-Objekt oder eine Archivauflistung auf ACL- und Xattr-Einträge. Gehen Sie nicht davon aus, dass ein Archiv, das Eigentümer und Modusbits enthält, auch vollständige Zugriffskontrollmetadaten umfasst.
GNU tar benötigt die ACL-Wiederherstellungsoption, um POSIX-ACL-Einträge zu speichern und zu extrahieren.
Wenn die Vererbungsmetadaten nie gespeichert wurden, rekonstruieren Sie sie anhand der vorgesehenen Richtlinie des übergeordneten Ordners, anstatt aus einem einzelnen wiederhergestellten untergeordneten Objekt zu raten. Bewahren Sie einen ACL-Export vor der Reparatur für ein Rollback auf.
Reparieren Sie zunächst einen Testordner, bevor Sie eine rekursive Änderung anwenden
Exportieren Sie die aktuelle ACL, aktivieren Sie die Vererbung erneut oder erstellen Sie die Standard-ACL in einem Testordner neu, bewahren Sie die erforderlichen expliziten Einträge auf und erstellen Sie neue untergeordnete Dateien über SMB sowie über lokale Anwendungswege.
Der ZimaSpace-Artikel über Berechtigungsprobleme nach dem Verschieben von Dateien auf ein NAS behandelt das umfassendere Problem bei Übertragungen; dieser Artikel konzentriert sich auf den Verlust der Vererbung nach einer Wiederherstellung.
Das Problem ist behoben, wenn der Zugriff auf vorhandene Objekte weiterhin korrekt ist, neue untergeordnete Objekte die vorgesehenen Regeln erben und das Ergebnis eine erneute Verbindung, einen Neustart sowie eine kleine Testwiederherstellung übersteht.
Empfohlene Produkte
Support & Tipps
Mehr zum Lesen
Kann Plex eine GPU mit einem anderen Docker-Container gemeinsam nutzen?
Plex und ein weiterer Container können häufig auf dieselbe GPU zugreifen, aber du musst die Treiberunterstützung, die Gerätezuordnung, die Auslastung der Video-Engine, den Speicher...
So erkennst du, ob ein Plex-Fehler vom Client oder vom Server verursacht wird
Reproduziere dasselbe Element auf einem anderen Client, vergleiche den Sitzungspfad und sammle Serverbelege erst, nachdem der Geltungsbereich dir gezeigt hat, wo der Fehler tatsächlich...
So konfigurierst du den Plex-Cache und den temporären Transcodierungs-Speicher
Schütze den persistenten Plex-Zustand, indem du temporäre Transcodierungsdateien auf geeignetem lokalem Speicher ablegst, und überprüfe anschließend die Bereinigung, den freien Speicherplatz und das Verhalten...
