Perché una cartella ripristinata conserva gli ACL espliciti ma perde l’ereditarietà dal padre?
Una cartella ripristinata può mantenere permessi espliciti ma perdere l'ereditarietà dal genitore quando il ripristino ricrea la relativa ACL salvata come protetta o omette i metadati di ereditarietà.
Il contenuto dei file, la proprietà, le voci di accesso esplicite e lo stato dell'ereditarietà sono risultati distinti del ripristino. Un backup può ripristinare correttamente utenti e gruppi nominativi, preservando però un'ACL “protetta” che non accetta più le regole dal nuovo genitore. Nei filesystem POSIX, la directory ripristinata potrebbe inoltre non avere un'ACL predefinita; nei dataset basati su NFSv4 o SMB, i flag di ereditarietà possono essere modificati o mappati in modo diverso. Confronta la cartella ripristinata con una cartella sorella appena creata prima di applicare modifiche ricorsive ai permessi.
Confronta la cartella ripristinata con una cartella sorella appena creata
Crea una cartella temporanea sotto lo stesso genitore usando la stessa identità SMB o locale. Confronta proprietario, gruppo, modalità, ACL completa, ACL predefinita, flag di ereditarietà e accesso effettivo.
Microsoft documenta che le cartelle ripristinate o spostate possono mantenere permessi protetti invece di ricevere automaticamente l'ACL corrente del genitore.
Se la nuova cartella sorella eredita correttamente mentre quella ripristinata non lo fa, probabilmente il genitore è configurato correttamente. Concentrati sullo stato di protezione e sull'ACL salvata dell'oggetto ripristinato, invece di ricostruire l'intera condivisione.
Separa le voci ACL esplicite da quelle ereditate
Elenca ogni voce di accesso e indica se è esplicita, ereditata, di negazione, di autorizzazione, valida solo per i file, solo per le directory o in grado di essere ereditata. Non basarti solo sull'accesso effettivo per un singolo account amministratore.
Red Hat spiega che una ACL predefinita di una directory controlla l'ereditarietà per i nuovi file e le sottodirectory nei filesystem con ACL POSIX.
Una cartella può avere un'ACL di accesso valida ma nessuna ACL predefinita, consentendo l'accesso corrente ma impedendo ai futuri elementi figli di ricevere le regole previste. Ripara sia l'accesso corrente sia l'ereditarietà futura.
Verifica se il ripristino ha preservato un'ACL Windows protetta
Controlla se l'ereditarietà è disabilitata mentre le voci precedentemente ereditate sono state convertite in voci esplicite. Questo fa spesso sembrare corretta la cartella ripristinata finché l'ACL del genitore non cambia.
La guida di Samba alle ACL Windows descrive la gestione delle ACL Windows nelle condivisioni Samba, dove l'ereditarietà e i descrittori di sicurezza completi dipendono dalla configurazione della condivisione e del filesystem.
Non eliminare tutte le voci esplicite solo per riabilitare l'ereditarietà. Conserva le voci intenzionalmente uniche della cartella ripristinata e rimuovi la protezione solo dopo aver documentato la relazione prevista con il genitore.
Verifica il modello ACL del dataset e i flag di ereditarietà
Registra se la destinazione utilizza ACL POSIX, ACL NFSv4, ACL Windows memorizzate negli attributi estesi o un preset specifico del NAS. Confrontala con la destinazione originale del backup.
Il manuale di FreeBSD su ZFS segnala che ZFS può memorizzare nativamente ACL in stile NFSv4, incluso un comportamento di ereditarietà più ricco dei tradizionali bit di modalità per proprietario, gruppo e altri utenti.
Il ripristino di un'ACL creata secondo un modello in un altro modello può conservare alcune identità ma perdere la semantica dell'ereditarietà. Mantieni il ripristino in un dataset di test quando i modelli ACL di origine e destinazione sono diversi.
Controlla le opzioni ACL e degli attributi estesi dello strumento di ripristino
Esamina le opzioni esatte di backup e ripristino utilizzate per ACL, attributi estesi, proprietà, ID numerici, descrittori di sicurezza e metadati specifici della piattaforma. Confrontale con i valori predefiniti dello strumento.
Il manuale ACL di Linux spiega che i nuovi oggetti ereditano l'ACL predefinita di una directory, ma un oggetto ripristinato non viene necessariamente creato attraverso lo stesso normale percorso di creazione.
Un ripristino che scrive un'ACL di accesso salvata dopo aver creato la directory può sostituire ciò che il genitore aveva fornito inizialmente. Determina se lo strumento deve ripristinare intenzionalmente la vecchia ACL oppure consentire al nuovo genitore di gestire l'ereditarietà.
Verifica che il formato di backup abbia memorizzato i metadati ACL
Esamina un oggetto del backup o l'elenco di un archivio alla ricerca di record ACL e xattr. Non dare per scontato che un archivio contenente proprietà e bit di modalità contenga anche metadati completi per il controllo degli accessi.
GNU tar richiede l'opzione di ripristino delle ACL per memorizzare ed estrarre le voci ACL POSIX.
Se i metadati dell'ereditarietà non sono mai stati memorizzati, ricostruiscili a partire dai criteri previsti per il genitore invece di dedurli da un singolo elemento figlio ripristinato. Conserva un'esportazione ACL precedente alla riparazione per poter effettuare un rollback.
Ripara una cartella di test prima di applicare una modifica ricorsiva
Esporta l'ACL corrente, riabilita l'ereditarietà o ricrea l'ACL predefinita su una cartella di test, conserva le voci esplicite necessarie e crea nuovi file figli attraverso SMB e applicazioni locali.
L'articolo di ZimaSpace sui permessi che si interrompono dopo lo spostamento dei file su un NAS tratta il problema più ampio del trasferimento; questo articolo si concentra sulla perdita dell'ereditarietà dopo un ripristino.
Il problema è risolto quando l'accesso agli elementi esistenti rimane corretto, i nuovi elementi figli ereditano le regole previste e il risultato resiste a una nuova connessione, al riavvio e a un breve ripristino ripetuto.
Prodotti consigliati
Supporto e consigli
Altro da leggere
Plex può condividere una GPU con un altro container Docker?
Plex e un altro container possono spesso accedere alla stessa GPU, ma è necessario testare il supporto dei driver, la mappatura dei dispositivi, il...
Come capire se un errore di Plex proviene dal client o dal server
Riproduci lo stesso elemento su un altro client, confronta il percorso della sessione, quindi raccogli le prove dal server solo dopo che l’ambito ti...
Come configurare la cache di Plex e l’archiviazione temporanea per la transcodifica
Proteggi lo stato persistente di Plex collocando i file temporanei di transcodifica su un’unità locale adatta, quindi verifica la pulizia, lo spazio libero e...
