[Erledigt] NFS: Benutzerkennung wird beibehalten

[shadow]

Huhu,

einige haben es evtl. bereits mitbekommen, ich habe mir von Synology eine NAS zugelegt, das Modell eine DS213. Von meinem Mageia Client greife ich mittles NFS auf auf einen freigegeben Ordner zu, welcher unter /media/nfs/public per mount eingebunden ist zu.

Nun habe ich auf der NAS zwei abgespeckte Benutzer angelegt welche auf diesen Ordner zugreifen. Mein Problem ist jetzt folgendes: Kopiere ich Daten von meinem Mageia Client auf den Ordner wird meine Benutzerkennung beibehalten. Also diese

Code: Alles auswählen

$ id
uid=500(shadow) gid=25(shadow) Gruppen=25(shadow)

Als NAS-Admin ist es nun kein Problem auf die Daten zuzugreifen, als normaler Benutzer lassen sich aber z.B. keine PDF-Dateien öffnen.

Nachdem ich das Handbuch gewältz habe und nicht weiter gekommen bin, habe ich mich an das Synology Forum gewendet und bekam folgende Antwort

wenn Du per nfs vom Client kopierst behalten sie ihre Eigentümerkennung, auf dem Client müßte das der User mit UID 500 und GID 25 (auf der DS heißt die Gruppe 25 smmsp).
Auf der DS fangen reguläre User erst ab einer UID von 1026 an und die Gruppe users hat die GID 100.
Das ist ein generelles Problem bei Unix-Clients verbunden per nfs.

Jetzt ist meine Frage, was hat es mit der UID 1026 und der GID von 100 auf sich und denkt ihr es würde etwas bringen meine UID/GID eben auf diese anzupassen? Können mir dadurch Nachteile entstehen?

[man-draker]

Nun habe ich auf der NAS zwei abgespeckte Benutzer angelegt welche auf diesen Ordner zugreifen. Mein Problem ist jetzt folgendes: Kopiere ich Daten von meinem Mageia Client auf den Ordner wird meine Benutzerkennung beibehalten. Also diese

Code: Alles auswählen

$ id
uid=500(shadow) gid=25(shadow) Gruppen=25(shadow)

Als NAS-Admin ist es nun kein Problem auf die Daten zuzugreifen, als normaler Benutzer lassen sich aber z.B. keine PDF-Dateien öffnen.

1. "Normal" unter Mageia2 ist eine uid=500 und eine gid=500
2. Was für eingeschränkte Benutzer auf dem NAS? Was sollen die bewirken?

Auf der DS fangen reguläre User erst ab einer UID von 1026 an und die Gruppe users hat die GID 100.
Das ist ein generelles Problem bei Unix-Clients verbunden per nfs.

Jetzt ist meine Frage, was hat es mit der UID 1026 und der GID von 100 auf sich und denkt ihr es würde etwas bringen meine UID/GID eben auf diese anzupassen? Können mir dadurch Nachteile entstehen?

Wenn das NAS einerseits diese Werte beim Schreiben nicht umbiegt, andererseits beim Lesen die eigenen BenutzerIDs als Filter verwendet, dann ja.

PS: Aber danke, dass du mir beim Nachdenken geholfen hast. Es wird hier bei einem kompletten Server bleiben. Den Stress mit den Eigenheiten eines NAS werde ich mir auch in Zukunft nicht antun.

[shadow]

2. Was für eingeschränkte Benutzer auf dem NAS? Was sollen die bewirken?

Naja, meine Frau z. B. hat einfach einen Benutzer mit einem Home-Share und Zugriff auf Musik, Bilder und eben den öffentlichen Ordner für uns beide. Auf Sachen wie DHCP, VPN-Server und alle weiteren Systemeinstellungen brauch sie keinen Zugriff.

Wenn das NAS einerseits diese Werte beim Schreiben nicht umbiegt, andererseits beim Lesen die eigenen BenutzerIDs als Filter verwendet, dann ja.

Damit meintest du meine UID/GID entsprechend anzupassen, ja?

PS: Aber danke, dass du mir beim Nachdenken geholfen hast. Es wird hier bei einem kompletten Server bleiben. Den Stress mit den Eigenheiten eines NAS werde ich mir auch in Zukunft nicht antun.

Freut mich Was ich wirklich nicht gut finde, es ist eine Linux NAS, kompatibler wird sie aber definitiv für den Windows und MAC-Anwender gehalten. Im Handbuch wird für diese alles schön ausführlich beschrieben, der Linux-Anwender wird schon wissen was er macht. Auch in sachen Software ist z. B. ein Cloud Station Client laut dem Support für Linux noch nicht einmal geplant. Du kannst dir vorstellen, was ich dem Support um die Ohren gehauen habe.

Aber ich muss auch sagen, das Gerät ist sehr einfach und intuitiv zu bedienen. Die Hilfe ist an jeder Stelle integriert, das hilft sehr. Server und Konfigurationsmöglichkeiten in Hülle und Fülle. Auch der Support ist freundlich und schnell. Ich hoffe das ich nur mit diesen wenigen Krankheiten wie dieser kämpfen muss.

[jkowalzik]

Mein Problem ist jetzt folgendes: Kopiere ich Daten von meinem Mageia Client auf den Ordner wird meine Benutzerkennung beibehalten.

Hallo!
Das ist
a) so normal
b) so gewollt.
Wenn, dann müsstest du es mit CHMOD ändern, oder...
ein Dateisystem benutzen, dass keine dezidierten Benutzer kennt. (nur ein Rate-Versuch )

Beispiel:
Wenn ich größere Dokumente mit OCR bearbeiten muss, dann wechsle ich das BS
Das Ergebnis kann ich nicht vom Arbeitsplatz auf den Server und von dort auf das Netbook ziehen.
Hier hilft nur der der USB-Stick.
Gruß
J.

[man-draker]

Als NAS-Admin ist es nun kein Problem auf die Daten zuzugreifen, als normaler Benutzer lassen sich aber z.B. keine PDF-Dateien öffnen.

Hm, alles richtig eingestellt, wie auf Seite 65/66 des Handbuchs beschrieben?
Ein Ordner mit Single-Host-Zugriff r/w von deinem Rechner
Ein Ordner mit Single-Host-Zugriff r/w vom Rechner deiner Frau?

Die Benutzer- und Gruppenrechte auf dem NAS sind konsistent?

Laut Handbuch, Seite 180, kannst du einen SSH-Server aktivieren.
Das bietet evtl. die Möglichkeit, sich darüber auf der NAS einzuloggen, die LOg-Dateien zu lokalisieren und zu verfolgen, ob und welche Meldungen bei Zugriffen der Benutzer ausgegeben werden.

[shadow]

Hallo!
Das ist
a) so normal
b) so gewollt.
Wenn, dann müsstest du es mit CHMOD ändern, oder...
ein Dateisystem benutzen, dass keine dezidierten Benutzer kennt. (nur ein Rate-Versuch )

Hallo auch

a + b) wer sagt das und wo steht das geschrieben?

Der nette Mensch von Synology sprach von

Das ist ein generelles Problem bei Unix-Clients verbunden per nfs.

Hm, alles richtig eingestellt, wie auf Seite 65/66 des Handbuchs beschrieben?

Vielen Dank für den Blick ins Handbuch. Mein manchmal nerviger Perfektionismus hatte mich dazu gezwungen es strikt nach Handbuch zu machen.

Die Benutzer- und Gruppenrechte auf dem NAS sind konsistent?

Ja, durch die Bank

Laut Handbuch, Seite 180, kannst du einen SSH-Server aktivieren.

Das ist korrekt und man kann sich auch auf der NAS einloggen. Werde zwecks dem Loggen nochmal genauer schauen was die Build-In-Shell so zu bieten hat.

Ein Ordner mit Single-Host-Zugriff r/w von deinem Rechner Ein Ordner mit Single-Host-Zugriff r/w vom Rechner deiner Frau?

Zugegeben habe ich manchmal Verständnisprobleme. Den Ordner pulic habe ich auf der NAS als admin angelegt und mir und meiner Frau r/w berechtigungen darauf gegeben. Ich habe nun zwei Zugriffsmöglichkeiten:

1) Benutzer logt sich über NAS ein und greift auf public über den Dateimanager File Station zu, geht
2) Benutzer logt sich über Mageia Client ein und greift auf public über den Dateimanager Dolphin zu, geht

Hole ich mir nun Daten von der NAS über den Dateimanager File Station auf die NAS, passen die Berechtigungen, kopiere ich sie hingegen vom Mageia Client auf die NAS passen die Berechtigungen nicht mehr. Es scheint sogar so als würden die Berechtigungen modifiziert werden Ich werde mal schauen was man mit dem Loggen erreichen kann, auch das Anpassen meiner UID und GID wird getestet.

[shadow]

So noch nicht probiert, aber gerade gefunden http://www.synology-wiki.de/index.php/NFS-Konfiguration, werde ich die Tage testen

Bei der Nutzung der DS mittels NFS ist es ratsam die UIDs zwischen der Diskstation und den Unix Clients anzupassen, damit die Rechte auf den NFS Laufwerken, welche von mehreren Clients abgefragt werden, nicht durcheinander geraten. Die anpassung der UIDs sollte man auf den NFS Clients machen, da das Webinterface der DS durcheinander kommt, wenn man in der /etc/passwd der Diskstation änderungen an der UID vornimmt. Allgemein sollte man bei einem Unix immer die UIDs der Benutzer gleich halten, sobald man mehrere Unix Maschinen im gleichen Netz laufen lässt.

Am einfachsten ist es, wenn der Nutzer noch nicht existiert. In dem Falle kann man den Nutzer mit der UID der Diskstation anlegen. Die UID ist der 3. Eintrag einer Zeile in der /etc/passwd.

[man-draker]

So noch nicht probiert, aber gerade gefunden http://www.synology-wiki.de/index.php/NFS-Konfiguration, werde ich die Tage testen

Das wäre auch mein Vorschlag.
Das ist da ganz gut erklärt.

Wobei ich das dort angegebene Kommando auch noch einmal für die GID ausführen würde:

Code: Alles auswählen

find / -group <alte GID> -exec chown <neue GID von der DS> {} \;

Und dann wäre da bei Mageia noch die
/etc/group anzupassen:

Code: Alles auswählen

<dein Username>:x:500:

müsste dann zu

Code: Alles auswählen

<dein Username>:x:100:

werden.

[shadow]

Danke für deine Vorschläge! Gebe dann Rückmeldung. Kann allerdings bis Ende der kommenden Woche dauern, da ich derzeit nicht zuhause bin

[shadow]

So, ich habe mich mal an das Abenteuer gewagt. Also die Datei /etc/passwd wie folgt manuell angepasst

Code: Alles auswählen

shadow:x:1028:100:shadow:/home/shadow:/bin/bash

Wir errinnern uns, die alte UID war 500 und die alte GID 25. Danach habe ich alle Berechtigungen verloren. Also als root die UID und GID in einem Rutsch angepasst

Code: Alles auswählen

find / -user 500 -exec chown 1028 {} \;

und

Code: Alles auswählen

find / -group 25 -exec chown 100 {} \;

Bei Durchlauf beider Befehle hageltes Zugriff verweigert Fehler auf /proc, danch sind beide Durchläufe fertig. Hätte es nicht gereicht die beiden Befehle einfach nur auf mein Home-Verzeichnis auszuführen?

Zusätzlich noch in der Datei /etc/group

Code: Alles auswählen

shadow:x:100:

hinterlegt. Nach einem Neustart bekomme ich nun folgende Fehlermeldung

Code: Alles auswählen

Call to lnusertemp failed (temporary directories full?). Check your installation

Was kann ich nun machen um meine Profil wieder zum laufen zu bekommen? Leider habe ich mein produktives genommen, ich lerne es wohl nie

[wanne]

Was kann ich nun machen um meine Profil wieder zum laufen zu bekommen? Leider habe ich mein produktives genommen, ich lerne es wohl nie

Ich nehme mal stark an, dass das böse war:

Code: Alles auswählen

find / -group 25 -exec chown 100 {} \;

GID 25 ist eher nicht deine alte GID gewesen (Normal ist die 500) sondern die von irgend einer anderen Gruppe. Du kannst mal versuchen, ob das hilft

Code: Alles auswählen

find /mountpoint -group 25 -exec chown 0 {} \;

Dnach kannst du dich um den User kümmern.

[man-draker]

Code: Alles auswählen

find / -user 500 -exec chown 1028 {} \;

und

Code: Alles auswählen

find / -group 25 -exec chown 100 {} \;

Wie kommst du auf das schmale Brett, dass du bei der Umstellung irgendetwas außerhalb von /home/<user> anfassen sollst?

Ansonsten hilft wohl eher:

Code: Alles auswählen

find /mountpoint -group 100 -exec chown 25 {} \;

Es sei denn, du hast eine Gruppe mit der ID 100 in /etc/group!

[shadow]

Wie kommst du auf das schmale Brett, dass du bei der Umstellung irgendetwas außerhalb von /home/<user> anfassen sollst?

Na weil es in dem oben verlinkten Synology-Wiki so steht und ich es nicht besser weis, deshalb!

Der Benutzer sollte zur Umstellung nicht eingeloggt sein, damit auch tatsächlich alle Dateien umgestellt werden können. Der muss mit "root" Rechten ausgeführt werden.

Verwendung von "find":

find / -user <alte UID> -exec chown <neue UID von der DS> {} \;

Je nach Dateisystem grösse kann das durchsuchen des Filesystems und das anpassen der Rechte eine Weile dauern.

Hätte ich es so ausführen müssen?

Code: Alles auswählen

find /Mein/Benutzer -user <alte UID> -exec chown <neue UID von der DS> {} \;

Ich hoffe ich habe mir jetzt das System nicht zerschossen...

[man-draker]

Wie kommst du auf das schmale Brett, dass du bei der Umstellung irgendetwas außerhalb von /home/<user> anfassen sollst?

Na weil es in dem oben verlinkten Synology-Wiki so steht und ich es nicht besser weis, deshalb!

Ein guter Grund, ok .

Wobei der Tipp im Wiki nur dann ungefährlich ist, wenn man die richtigen IDs nimmt.

Hätte ich es so ausführen müssen?

Code: Alles auswählen

find /Mein/Benutzer -user <alte UID> -exec chown <neue UID von der DS> {} \;

Wenn du "Mein/Benutzer" als z.B. "/home/shadow" schreibst, dann ja.

Ich hoffe ich habe mir jetzt das System nicht zerschossen...

Na und, dann installierst du halt neu. Wir sind ja nicht bei Windows hier.

[wanne]

Also jetzt mal eine Erklärung wie man sowas vernünftigerweise lößt. Bevor noch welche auf die idee kommt sich so sein System zu Zerschießen:
Man legt zuerstmal eine Gruppe anfür alle die auf das NAS zugreifen sollen (für gewöhnlich users mit der GID 100.) Will man das aber lieber anders machen, kann man das. (Das usemanagement kann sinnvoll sein um beispielsweise einen User gezielt nicht in die Gruppe zu setzen.)
Dann setzt man die umask auf einen vernünftigen wert wie 0002 oder 0007. (Mir fällt kein Vernünftiger Grund ein warum ein 077 oder was bei Mageia üblich ist sinvoll sein soll. Wenn ich jemand in eine Gruppe stecke, dann doch damit er andere Rechte bekomt. Da ist es doch kein Sicherheitsfeature, sondern nerverei wenn dann erst mal gar nichts passeirt.
Als letztes setzt man das GID Bit in allen Ordnern des NAS und gibt sie alle dem User 200. Danach gehört zwar weiterhin alles dem Ersteller aber alle die in der gruppe sind dürfen zureifen. (Man muss die Nutzer die auf das NAS zugreifen sollen nur in die Gruppe users packen.)

Zum zerschossenen System: Das problem tritt schon beim Hochfahren nicht erst beim einloggen auf?

[man-draker]

Also jetzt mal eine Erklärung wie man sowas vernünftigerweise lößt. Bevor noch welche auf die idee kommt sich so sein System zu Zerschießen:

Was hat das it dem konkreten NAS des Fragestellers zu tun?

Als letztes setzt man das GID Bit in allen Ordnern des NAS und gibt sie alle dem User 200. Danach gehört zwar weiterhin alles dem Ersteller aber alle die in der gruppe sind dürfen zureifen. (Man muss die Nutzer die auf das NAS zugreifen sollen nur in die Gruppe users packen.)

Du hast geprüft, dass das mit dem Synology DS213 auch genau so funktioniert?

[shadow]

Na und, dann installierst du halt neu. Wir sind ja nicht bei Windows hier.

Da hast du in Sachen Installation vollkommen Recht. Hab vor kurzem ein Win7 von CD ohne SP installiert. Es kam mir nicht nur vor wie eine Tagesaufgabe Mir ging es in Sachen zerschießen eher um meine noch vorhandenen Daten

Zum zerschossenen System: Das Problem tritt schon beim Hochfahren nicht erst beim einloggen auf?

Erst beim einloggen. Im abgesicherten Modus kann ich noch arbeiten. Hab versucht mir einen neuen Benutzer anzulegen, ohne Erfolg, Anmeldung nicht möglich!

[man-draker]

Hab versucht mir einen neuen Benutzer anzulegen, ohne Erfolg, Anmeldung nicht möglich!

Es gibt im System bereits eine Gruppe "shadow" mit der ID 25.
Ihr gehörten unter anderem die Dateien mit den shadow-Passwörtern.
An der Gruppe solltest du nicht herumfingern.
Schau mal in deine /etc/group, ob du nicht zwei Gruppen mit dem Namen "shadow" hast.
Allein die Verwendung des Usernamens "shadow" kann hier Verwirrung stiften.
Ich schlage vor, dass du deinen Benutzernamen wechselst.
Der Gruppe shadow wieder die ID 25 zuweist
und den Dateien
/usr/bin/chage
/usr/bin/passwd
/usr/lib64/chkpwd/tcb_chkpwd
/etc/shadow
/etc/shadow-
Den Eigentümer root und die Gruppe shadow mit der ID 25 zuweist.
Dann könnte es schon Neuinstallation klappen.
So sehen die Dateiattribute bei mir aus:

Code: Alles auswählen

-r--r-----  1 root shadow    801 Jan 12 11:30 shadow
-r--r-----  1 root shadow    801 Jan 12 11:30 shadow-
-rwx--s--x 1 root shadow 76336 Jan 12  2011 /usr/bin/chage*
-r-s--x--x 1 root shadow 27224 Jan 13  2011 /usr/bin/passwd*
-rwxr-sr-x 1 root shadow 7104 Mär  3  2012 /usr/lib64/chkpwd/tcb_chkpwd*

[shadow]

Danke, aber bei mir funzt leider gar nichts mehr. Hab mir gerade Mageia neu gezogen, werde es später neu installieren.

[shadow]

Hey,

einige Tage sind bisher vergangen. Die Datensicherung habe ich hinter mich gebracht, das System neu installiert.

Das Problem konnte ich eigentlich recht einfach lösen. Einfach per SSH auf die NAS verbinden und die UID/GID des entsprechenden Benutzers auslesen. Anschließend in der MCC-Benutzerverwaltung einen identischen Benutzer anlegen (Name, UID, GID), mit diesem Benutzer anmelden, als root Ordner einbinden, fertig.

@man-draker: Um evtl. weiter auftretende Komplikationen zu verhindern habe ich mich von dem Benutzer shadow verabschiedet.

Code: Alles auswählen

# id markus
uid=1027(markus) gid=100(users) Gruppen=100(users)

@wanne: Vielen Dank für deine guten Ideen und Tipps

Werde mich nun mit autofs beschäftigen.