主页 / computer / 问题 / 1740492
Accepted
ehammer
Asked: 2022-09-04 05:40:07 +0800 CST

NFS 目录组权限不起作用

  • 772

由于某种原因，属于特定组的用户（该组在 NFS 目录上有 rwx）无法 cd 进入该目录。我在这里不知所措，一定有我想念的东西。客户端和服务器都是 Debian 11 服务器

在 NFS 客户端上，这里是用户/组信息：

root@client:/# ls -lisa /media/
total 17
 4 drwxr-xr-x  5 root  root  4096 Apr 15 14:33 .
 4 drwxr-xr-x 17 root  root  4096 Aug 16 05:14 ..
 4 drwxrwx---  5 media media 4096 Sep  2 20:41 Download

root@client:/# ls -lisa /media/Download/
total 36
       2  4 drwxrwx--- 6 media media  4096 Sep  3 09:05 .
  783361  4 drwxr-xr-x 5 root  root   4096 Sep  3 09:04 ..
      11 16 drwxrwx--- 2 media media 16384 Apr 11 17:55 lost+found
11272193  4 drwxr-xr-x 2 media media  4096 Sep  3 09:05 testdir
      12  0 -rw-r--r-- 1 media media     0 Sep  3 09:04 test.txt

root@client:/# id media
uid=1090(media) gid=1090(media) groups=1090(media)

root@client:/# id user
uid=1000(user) gid=1000(user) groups=1000(user),1090(media)

root@client:/# cat /etc/passwd | egrep "user|media"
user:x:1000:1000:user,,,:/home/user:/bin/bash
media:x:1090:1090::/home/media:/usr/sbin/nologin

root@client:/# mount
192.168.24.10:/media/Download on /media/Download type nfs4 (rw,relatime,vers=4.2,rsize=131072,wsize=131072,namlen=255,hard,proto=tcp,timeo=600,retrans=2,sec=sys,clientaddr=192.168.24.5,local_lock=none,addr=192.168.24.100)

user@client:~$ whoami | id
uid=1000(user) gid=1000(user) groups=1000(user),1090(media)

user@client:~$ ls -lisa /media/Download/
ls: cannot open directory '/media/Download/': Permission denied

为什么用户被拒绝访问下载文件夹？它们是组媒体的一部分，并且该文件夹具有该组的 rwx。这里有什么问题？

在 NFS 服务器上：

root@server:/# ls -lisa /media/
total 16
128771 4 drwxr-xr-x  4 root  root  4096 Apr 15 04:32 .
     2 4 drwxr-xr-x 18 root  root  4096 Aug 16 08:12 ..
     2 4 drwxrwx---  6 media media 4096 Sep  3 08:05 Download

root@server:/# ls -lisa /media/Download/
total 36
       2  4 drwxrwx--- 6 media media  4096 Sep  3 08:05 .
  128771  4 drwxr-xr-x 4 root  root   4096 Apr 15 04:32 ..
      11 16 drwxrwx--- 2 media media 16384 Apr 11 16:55 lost+found
11272193  4 drwxr-xr-x 2 media media  4096 Sep  3 08:05 testdir
      12  0 -rw-r--r-- 1 media media     0 Sep  3 08:04 test.txt

root@server:/# id media
uid=1090(media) gid=1090(media) groups=1090(media)

root@server:/# cat /etc/exports
/media/Download 192.168.24.5/32(rw,anonuid=1090,anongid=1090,no_subtree_check,root_squash)

root@server:/# cat /etc/passwd | grep media
media:x:1090:1090::/home/media:/usr/sbin/nologin

如果我将 NFS 服务器目录权限更改为 777，那么我可以从客户端读取和写入下载。但显然我宁愿限制更多，只让允许的用户在该目录中读/写。

我已经多次重新启动客户端和服务器，但同样的权限被拒绝。

permissions nfs

1 个回答

  1. Best Answer

    但是，服务器上的用户不是媒体组的一部分。

    它真的应该是。（理想情况下，客户端和服务器都应该自动知道来自 LDAP 或 NIS 或类似系统的所有 UID 和组。）

    虽然 NFS 支持在 RPC 请求中发送客户端用户的辅助组，但最多有 16 个组（请记住，凭据包含在每个单独的 RPC 请求中，因此每个额外的 GID 都是网络开销）。

    由于这个限制，NFS 服务器通常被设置为完全忽略客户端提供的辅助 GID，而是进行新的服务器端查找。在 Linux 上，当服务器的 rpc.mountd 使用-g/--manage-gids选项（您可以在/etc/default/nfs-kernel-serverDebian 上找到）启动时或在（在较新的 nfs-utils 上存在）启用时manage-gids启用。/etc/nfs.conf

    确保在服务器上禁用“manage-gids”可能会有所帮助（systemctl daemon-reload在 Debian 上需要一个，但可能需要完全重新启动以使内核停止执行查找），但理想情况下，服务器和所有客户端之间的组成员身份应该是一致的 -如果您将 NFS 设置切换到 Kerberos 身份验证，则服务器端组查找将成为强制性的。

    服务器上的 anonuid 和 anongid 出口不应该压缩服务器上本地用户的使用吗？

    除非你使用all_squash. 这些参数仅用作已经映射到“nobody”用户（例如带有“root_squash”的root）的请求的UID/ GID。

    • 0

相关问题