Waarom behoudt een herstelde map expliciete ACL's, maar verliest deze de overname van de bovenliggende map?
Een herstelde map kan expliciete machtigingen behouden, maar de overerving van de bovenliggende map verliezen wanneer de herstelbewerking de opgeslagen ACL opnieuw aanmaakt als beveiligd of met weggelaten overervingsmetagegevens.
Bestandsinhoud, eigendom, expliciete toegangsvermeldingen en de overervingsstatus zijn afzonderlijke herstelresultaten. Een back-up kan benoemde gebruikers en groepen correct herstellen en toch een ‘beveiligde’ ACL behouden die geen regels van de nieuwe bovenliggende map meer accepteert. Op POSIX-bestandssystemen kan de herstelde map ook een standaard-ACL missen; in NFSv4- of SMB-ondersteunde datasets kunnen overervingsvlaggen anders worden gewijzigd of toegewezen. Vergelijk de herstelde map met een nieuw aangemaakte map ernaast voordat je recursieve machtigingswijzigingen toepast.
Vergelijk de herstelde map met een nieuw aangemaakte map ernaast
Maak onder dezelfde bovenliggende map een tijdelijke map aan met dezelfde SMB- of lokale identiteit. Vergelijk eigenaar, groep, modus, volledige ACL, standaard-ACL, overervingsvlaggen en effectieve toegang.
Microsoft documenteert dat herstelde of verplaatste mappen beveiligde machtigingen kunnen behouden in plaats van automatisch de actuele ACL van de bovenliggende map te ontvangen.
Als de nieuwe map ernaast correct overerft en de herstelde map niet, is de bovenliggende map waarschijnlijk correct geconfigureerd. Richt je op de beveiligingsstatus en opgeslagen ACL van het herstelde object in plaats van de volledige share opnieuw op te bouwen.
Scheid expliciete ACL-vermeldingen van overgeërfde vermeldingen
Maak een lijst van elke toegangsvermelding en noteer of deze expliciet, overgeërfd, weigeren, toestaan, alleen voor bestanden, alleen voor mappen of geschikt voor overerving is. Vertrouw niet alleen op effectieve toegang voor één beheerdersaccount.
Red Hat legt uit dat een standaard-ACL van een map de overerving regelt voor nieuw aangemaakte bestanden en submappen op bestandssystemen met POSIX-ACL's.
Een map kan een geldige toegangs-ACL hebben maar geen standaard-ACL, waardoor de huidige toegang blijft werken terwijl toekomstige onderliggende items de bedoelde regels niet ontvangen. Herstel zowel de huidige toegang als de toekomstige overerving.
Controleer of het herstel een beveiligde Windows-ACL heeft behouden
Controleer of overerving is uitgeschakeld terwijl eerder overgeërfde vermeldingen zijn omgezet in expliciete vermeldingen. Hierdoor kan de herstelde map er correct uitzien totdat de ACL van de bovenliggende map verandert.
De Windows-ACL-richtlijnen van Samba beschrijven de verwerking van Windows-ACL's op Samba-shares, waarbij overerving en volledige beveiligingsdescriptors afhankelijk zijn van de configuratie van de share en het bestandssysteem.
Verwijder niet alle expliciete vermeldingen alleen om overerving opnieuw in te schakelen. Behoud vermeldingen die bewust uniek zijn voor de herstelde map en verwijder de beveiliging pas nadat je de verwachte relatie met de bovenliggende map hebt gedocumenteerd.
Controleer het ACL-model en de overervingsvlaggen van de dataset
Leg vast of de bestemming POSIX-ACL's, NFSv4-ACL's, Windows-ACL's in uitgebreide attributen of een NAS-specifieke voorinstelling gebruikt. Vergelijk dit met de oorspronkelijke back-upbestemming.
Het ZFS-handboek van FreeBSD vermeldt dat ZFS NFSv4-achtige ACL's native kan opslaan, inclusief overervingsgedrag dat uitgebreider is dan traditionele modusbits voor eigenaar, groep en overige gebruikers.
Wanneer je een ACL die onder het ene model is aangemaakt naar een ander model herstelt, kunnen sommige identiteiten behouden blijven terwijl de overervingssemantiek verloren gaat. Houd het herstel in een testdataset wanneer de ACL-modellen van bron en bestemming verschillen.
Controleer de ACL- en uitgebreide-attribuutopties van de hersteltool
Bekijk de exacte back-up- en herstelopties voor ACL's, uitgebreide attributen, eigendom, numerieke ID's, beveiligingsdescriptors en platformspecifieke metagegevens. Vergelijk deze met de standaardinstellingen van de tool.
De Linux ACL-handleiding legt uit dat nieuwe objecten een standaard-ACL van de map overerven, maar dat een hersteld object niet noodzakelijk via hetzelfde normale aanmaakproces wordt gemaakt.
Een herstelbewerking die een opgeslagen toegangs-ACL schrijft nadat de map is aangemaakt, kan vervangen wat de bovenliggende map aanvankelijk heeft aangeleverd. Bepaal of de tool de oude ACL bewust moet herstellen of de nieuwe bovenliggende map de overerving moet laten bepalen.
Controleer of de back-upindeling ACL-metagegevens heeft opgeslagen
Inspecteer één back-upobject of een archieflijst op ACL- en xattr-records. Ga er niet van uit dat een archief met eigendom en modusbits ook volledige toegangsbeheer-metagegevens bevat.
GNU tar vereist de ACL-hersteloptie om POSIX-ACL-vermeldingen op te slaan en uit te pakken.
Als overervingsmetagegevens nooit zijn opgeslagen, reconstrueer deze dan aan de hand van het bedoelde beleid van de bovenliggende map in plaats van te gissen op basis van één hersteld onderliggend item. Bewaar een ACL-export van vóór de reparatie om terug te kunnen draaien.
Herstel eerst één testmap voordat je een recursieve wijziging toepast
Exporteer de huidige ACL, schakel overerving opnieuw in of maak de standaard-ACL opnieuw aan op één testmap, behoud de vereiste expliciete vermeldingen en maak nieuwe onderliggende bestanden aan via SMB en lokale applicatiepaden.
Het ZimaSpace-artikel over machtigingen die niet meer werken na het verplaatsen van bestanden naar een NAS behandelt het bredere overdrachtsprobleem; dit artikel richt zich specifiek op overerving die na een herstelbewerking verloren is gegaan.
Het probleem is opgelost wanneer bestaande toegang correct blijft, nieuwe onderliggende items de bedoelde regels overerven en het resultaat behouden blijft na opnieuw verbinden, opnieuw opstarten en een kleine herhaalde herstelbewerking.
Aanbevolen producten
Ondersteuning & Tips
Meer om te lezen
Kan Plex een GPU delen met een andere Docker-container?
Plex en een andere container kunnen vaak dezelfde GPU gebruiken, maar je moet de driverondersteuning, apparaattoewijzing, belasting van de video-engine, het geheugengebruik en het...
Hoe je kunt bepalen of een Plex-fout door de client of de server wordt veroorzaakt
Reproduceer hetzelfde item op een andere client, vergelijk het sessiepad en verzamel pas serverbewijs nadat de scope heeft uitgewezen waar de fout daadwerkelijk zit.
Plex-cache en tijdelijke opslag voor transcodering configureren
Bescherm de permanente Plex-status door tijdelijke transcodebestanden op geschikte lokale opslag te plaatsen en controleer vervolgens het opruimen, de beschikbare ruimte en het gedrag...
