Comment éviter la dérive des permissions dans les dossiers de données Plex

Évitez la dérive des permissions de Plex en maintenant stable son identité numérique d’exécution, en préservant la propriété lors des restaurations et en testant séparément l’accès aux données de l’application et aux médias.

Les échecs de permission surviennent souvent après une mise à jour d’image, une migration d’hôte, la recréation d’une pile ou la restauration d’une sauvegarde, car les fichiers sont conservés tandis que leur propriétaire numérique, leur groupe, leur ACL ou l’utilisateur d’exécution attendu change. La prévention la plus sûre consiste à définir une base de référence fiable pour `/config` et les médias, puis à effectuer une petite vérification après chaque changement. Évitez les corrections récursives générales des permissions, sauf si la base de référence prouve que toute l’arborescence nécessite réellement la même propriété.

Enregistrez la propriété numérique avant de modifier les permissions

La dérive des permissions est plus facile à prévenir lorsque vous connaissez les UID et GID numériques utilisés par le processus Plex, ainsi que le propriétaire numérique enregistré sur les chemins de données de l’application et des médias. Les noms d’utilisateur peuvent différer entre l’hôte et le conteneur, tandis que le système de fichiers continue d’appliquer les numéros.

Le mappage des UID et GID numériques permet au processus du conteneur de correspondre à la propriété de l’hôte. Enregistrez ces valeurs dans la configuration de la pile au lieu de vous fier aux noms d’utilisateur ou à votre mémoire.

Capturez la sortie de `stat` ou l’équivalent pour un répertoire de données d’application, un fichier de base de données et un répertoire de médias lorsque le système fonctionne correctement. Ils constitueront votre base de référence après les mises à jour d’image, les migrations d’hôte, les restaurations ou les déplacements de stockage.

Maintenez une identité d’exécution stable entre les mises à jour du conteneur

Une mise à jour d’image peut modifier les valeurs par défaut, le comportement du point d’entrée ou la manière dont une variable d’environnement est interprétée. Si le processus Plex effectif démarre avec une identité différente, les nouveaux fichiers peuvent avoir d’autres propriétaires et les redémarrages ultérieurs peuvent entraîner une perte d’accès à l’ancien état.

Après une modification de la plateforme ou de l’image, une perte d’accès en écriture aux données de l’application peut indiquer que l’identité d’exécution effective ne correspond plus aux fichiers qu’elle doit mettre à jour.

Après chaque mise à niveau de l’image ou de l’hôte, vérifiez l’UID/GID du processus à l’intérieur du conteneur en cours d’exécution et créez, si nécessaire, un fichier de test dans un chemin accessible en écriture prévu à cet effet. Si les numéros ont changé de manière inattendue, corrigez la configuration d’exécution avant que la nouvelle propriété ne se propage.

Séparez l’accès en écriture aux données de l’application de l’accès aux médias

L’état de l’application Plex nécessite normalement un accès en lecture et en écriture, tandis que les bibliothèques de médias peuvent ne nécessiter qu’un accès en lecture, sauf si le flux de travail autorise délibérément d’autres outils à gérer les fichiers. Appliquer un même ensemble général de permissions aux deux chemins masque la responsabilité réellement requise et augmente l’impact potentiel d’une erreur.

L’accès stable du conteneur dépend de l’alignement des PUID et PGID, et non de bits de mode sans restriction. Adaptez l’accès au rôle du service au lieu d’utiliser des permissions accessibles en écriture par tous comme solution permanente.

Définissez séparément l’accès attendu pour `/config`, les médias et l’espace temporaire de transcodage. Testez le processus Plex sur chacun de ces chemins après les modifications. L’échec de la suppression de fichiers sur un chemin de médias en lecture seule peut être intentionnel ; l’impossibilité de créer les journaux de la base de données dans un chemin de données d’application ne l’est pas.

Featured

ZimaCube 2 NAS personnel Cloud à domicile

ZimaCube2

$799.00 - $2,499.00

Buy Now

Faites en sorte que les restaurations préservent la propriété et les ACL

Une sauvegarde peut contenir tous les fichiers Plex et tout de même provoquer une dérive des permissions si l’outil de restauration les écrit sous le compte administrateur, supprime les ACL ou modifie la propriété du groupe. Le conteneur suivant voit alors des données apparemment complètes, mais ne peut pas les mettre à jour de manière cohérente.

Avant le démarrage, la propriété restaurée doit être comparée à l’identité d’exécution afin qu’une sauvegarde complète ne soit pas rouverte sous la forme d’une arborescence de données d’application illisible.

Incluez le propriétaire, le groupe, le mode et le comportement des ACL dans le test de restauration, et pas seulement les sommes de contrôle et le nombre de fichiers. Restaurez un petit échantillon dans un autre emplacement et comparez les métadonnées. Si l’outil ne peut pas préserver les permissions, ajoutez une étape explicite de modification de la propriété après restauration à votre procédure opérationnelle.

Une fois la restauration de l’échantillon validée, répétez la vérification avec le même outil et les mêmes options que ceux utilisés lors d’une véritable récupération. Un test de préservation des permissions qui dépend d’une autre méthode de copie manuelle ne prouve pas que le flux de sauvegarde de production est sûr.

Auditez la dérive à l’aide de petits tests plutôt que de corrections récursives

Les commandes récursives `chmod` ou `chown` peuvent permettre à Plex de redémarrer, tout en réécrivant des permissions volontairement différentes entre les médias, les sauvegardes ou les données d’application partagées. Une boucle de maintenance plus sûre détecte le chemin exact qui a dérivé et corrige uniquement la propriété ou l’accès nécessaire.

Lorsque les vérifications des permissions des données de l’application échouent, testez le chemin indiqué avec l’identité d’exécution de Plex avant de modifier un point de montage, un propriétaire, une ACL ou un utilisateur.

Si les changements de permissions coïncident avec le remplacement du conteneur, le flux de persistance du conteneur doit maintenir conjointement l’identité d’exécution et l’emplacement des données sous contrôle.