LXC bindmount Permissions (Schreib-/Lesezugriff)

[ShadowDragon]

Hi,

ich habe folgendes Problem: Ich habe ein SMB Share mit folgenden Permissions:

Dieses wird bei mir in Proxmox eingebunden und der Proxmox Host kann hier auch reinschreiben. Das Hauptproblem entsteht jtzt dadurch, wenn der unpriviliged LXC Container versucht Daten zu schreiben. Folgenden Ausschnitt der LXC Config für diesen:

arch: amd64
features: nesting=1
mp0: /mnt/pve/mediashare-books,mp=/mnt/shares/books
mp1: /mnt/pve/mediashare-config,mp=/mnt/shares/config
ostype: ubuntu
unprivileged: 1

So wie ich das verstehe müsste man nun hier irgendwie ACLs einrichten, damit der Container darauf schreiben kann. Das hier ist schonmal das ID-Mapping vom Hostsystem:

cat /etc/subuid
root:100000:65536

cat /etc/subgid
root:100000:65536

Die Frage ist nun, wie kann ich hier am besten das ganze einrichten, vor allem da der Proxmox-Host nicht der einzige Rechner mit Zugriff auf diese Daten ist.

 

[NJay]

Soweit ich Unix permissions fuer SMB verstehe, muss man immer basic unix rechte haben, um auf den SMB-Share lesen/schreiben zu koennen, die SMB perimissions erweitern das nur. Du muesstest also den user, als der der container laeuft, z.B. in eine gruppe mit rw rechten hinzufuegen.

 

[ShadowDragon]

Soweit ich Unix permissions fuer SMB verstehe, muss man immer basic unix rechte haben, um auf den SMB-Share lesen/schreiben zu koennen, die SMB perimissions erweitern das nur. Du muesstest also den user, als der der container laeuft, z.B. in eine gruppe mit rw rechten hinzufuegen.

OK, also einfach neue Gruppe auf dem Host erstellen und dann die gemappte User-Id dort hinzufügen.
Dann bleibt nur noch die Frage offen wie ich jetzt sicherstelle dass diese Gruppe read/write Zugriff hat. Hierzu könnte man vermutlich ACLs nutzen, denke ich.
Bisher habe ich den Share einfach nur gemountet unterm Desktop oder via proxmox und es hat sofort funktioniert. XD

EDIT: einfach nur einen neuen User und eine neue Gruppe zu erstellen (entsprechend des UID/GID Mappings) und dieser dann Zugriff auf den Ordner geben scheint das Problem nicht zu lösen.