Proxmox LXC / CT Samba Freigabe unprivilegierter Container Schreibrechte?

Oggy1

### Bitte nur antworten, wenn man eine Lösung hat!!! Es also selbst getestet und oder am Laufen hat.

Hier dann man die Lösung, wie es bei mir funktioniert https://www.technik22.de/d/987-proxmox-lxc-ct-samba-freigabe-unprivilegierter-container-schreibrechte/5

Moin,
die Gründe sind erstmal egal, ich möchte in einem unprivilegierten LXC eine Samba Freigabe mit Schreibrechten erstellen, was mir einfach nicht gelingen will.
Ich schaffe es nur Freigaben mit Leserechte zu erstellen, was mir aber nicht viel nützt.

Erstelle ich einen privilegierten Container, habe ich alle Rechte die ich benötige, also lesen, schreiben, ausführen…, kurz um 777.

Ein unprivilegierter Container ist sicherer als ein privilegierter Container, aber das ist mir auch relativ egal, dass dieser eh nur um lokalen Netzwerk läuft.
Wenn es egal ist, warum dann keinen privilegierter Container? Ganz einfach, dann zickt Docker rum “docker-default profile could not be loaded” wegen AppArmor usw..

Ich hatte die letzten Tage großes Kino und zig Seiten + Anleitungen durch, komme aber keinen Schritt weiter.

Ich benötige auch keine “versuch mal dies, oder das, oder, oder oder…” Anleitungen, sondern eine Anleitung wie es wirklich funktioniert.
Ja, der unprivilegierter Container erledigt nur seinen Job, aber eine Samba Freigabe mit Schreibrechte soll doch wohl möglich sein.

Nur noch zur Info wo ich stehe.
Die Samba Freigabe ist im Proxmox VE nano /etc/fstab eingetragen und funktioniert ohne Probleme.
Für den Container habe ich in der nano /etc/pve/lxc/200.conf den entsprechenden Mount Point “mp0: /mnt/sambafreigabe,mp=/mnt/sambafreigabe” gesetzt.
Melde ich mich in den Container an und gehe ich die Freigabe cd /mnt/sambafreigabe dann sehe ich den Inhalt vom Netzwerklaufwerk.
Bis hier passt alles, jedoch fehlen mir nun die Berechtigungen zum Schreiben.
Ja, im Samba Server habe ich die nouser:nogroup explizit die die Freigabe freigegeben, aber es ändert sich nichts.

Wie bekomme ich das also hin? Bitte keine Verlinkungen, da ich wohl schon alle möglichen Beiträge gelesen habe.

boris_clinton

Ich habe zwar keine Lösung, aber ich bewundere das Problem…

Mal im Ernst, ein kurzer Abstecher im Proxmox-Forum zeigt wohl auf, dass es dabei um ein Problem im Remapping der Userrechte handeln könnte. Die User ID’s auf dem unprivilligierten Server sind bewusst andere als auf dem Host-Server, so dass wohl ein Remapping nötig sein soll. Auch wenn Du keine weitere Verlinkung wolltest, so werde ich Dir einzig diese hier geben, da hier wohl die Lösung zu finden sein soll. Im Proxmox-Forum endete die Suche ständig hier und wurde danach als gut befunden… Und ehrlich: Ich verstehe nicht die Bohne, was hier steht!

https://pve.proxmox.com/wiki/Unprivileged_LXC_containers

Erstaunt war ich allerdings, als in Google die Wortfolge “smb freigabe unprivilligierter server proxmox” eingegeben habe und als 2. Treffer Deine Anfrage hier gefunden habe.

Und nochmals Sorry, dass ich Dir keine Lösung sondern einzig das liefere, was Du ausdrücklich nicht wolltest.

Oggy1

Nun habe ich mein Hirn nochmals angestengt und erstmal verstanden, dass der Container gar nicht auf die Samba Freigabe direkt zugreift, sondern auf die eingebundene Freigabe im Host (PVE).

Damit kann ich bei der Samba Freigabe einstellen was ich will, denn diese Einstellungen haben damit wohl kein Gewicht für den LXC.

Nun habe ich es nochmals so versucht, wie es diese Anleitung https://pve.proxmox.com/wiki/Unprivileged_LXC_containers vorgibt und Ja, ich habe diese Anleitung schon X-Fach durchgekaut.

Ich habe also einen unprivilegierten Container und die .conf schaut so aus…

nano /etc/pve/lxc/232.conf

arch: amd64
cores: 4
features: nesting=1
hostname: paperless-test
memory: 4096
mp0: /mnt/sambafreigabe,mp=/mnt/sambafreigabe
net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.178.1,hwaddr=BX:44:66:65:E9:YX,ip=192.168.178.232/24,type=veth
ostype: ubuntu
rootfs: local-lvm:vm-232-disk-0,size=25G
swap: 1024
unprivileged: 1
lxc.idmap: u 0 100000 1005
lxc.idmap: g 0 100000 1005
lxc.idmap: u 1005 1005 1
lxc.idmap: g 1005 1005 1
lxc.idmap: u 1006 101006 64530
lxc.idmap: g 1006 101006 64530

Sollte ja erstmal stimmen.
nun noch die…
nano /etc/subuid

root:1005:1
root:1000:1
root:100000:65536
media:165536:65536

und die
nano /etc/subgid

root:1005:1
root:1000:1
root:100000:65536
media:165536:65536

Nun noch im Host (PVE) diesen Befehl ausgeführt…
chown -R 1005:1005 /mnt/sambafreigabe

und schon lief bis hier erstmal alles ohne Fehler durch.
Wenn ich im Host (PVE) in die Netzwerkfreigabe reinschaue cd /mnt/sambafreigabe dann sehe ich den Inhalt und kann mit mkdir test und rm -r test Ordner erstellen und löschen, kann aber auch mit nano test.txt Dokumente bearbeiten usw.

Nun starte ich den LXC 232 und dieser startet ohne Probleme durch.
Wechsel ich in Netzwerkfreigabe cd /mnt/sambafreigabe, dann sehe ich den Inhalt.
Möchte ich nun einen Ordner erstellen mkdir test kommt als Ausgabe

mkdir: cannot create directory ‘test’: File exists

und das ist erstmal richtig, denn diesen Ordner gibt es schon.
Möchte ich nun einen anderen Ordner erstellen mkdir test1 kommt als Ausgabe

mkdir: cannot create directory ‘test1’: Permission denied

Super, es will einfach nicht funktionieren, was sagen die Berechtigungen im LXC?
ls -lhn

0 drwxr-xr-x 2 65534 65534 0 Nov 3 20:25 test

oder
ls -lachs

total 4.0K
0 drwxr-xr-x 2 nobody nogroup 0 Nov 3 22:23 .
4.0K drwxr-xr-x 3 root root 4.0K Nov 6 18:49 ..
0 drwxr-xr-x 2 nobody nogroup 0 Nov 3 20:25 test

oder

0 drwxr-xr-x 2 65534 65534 0 Nov 3 22:23 sambafreigabe

Ah, 65534:65534 also weiterhin nouser:nogroup
drwxr-xr-x 2 nobody nogroup 0 Nov 3 20:25 test

Was sagt der Rest?

total 72
0 lrwxrwxrwx 1 0 0 7 Apr 22 2024 bin -> usr/bin
4 drwxr-xr-x 2 0 0 4096 Apr 8 2024 bin.usr-is-merged
4 drwxr-xr-x 2 0 0 4096 Apr 22 2024 boot
0 drwxr-xr-x 6 0 0 480 Nov 6 18:51 dev
4 drwxr-xr-x 83 0 0 4096 Nov 6 18:51 etc
4 drwxr-xr-x 2 0 0 4096 Apr 22 2024 home
0 lrwxrwxrwx 1 0 0 7 Apr 22 2024 lib -> usr/lib
4 drwxr-xr-x 2 0 0 4096 Apr 8 2024 lib.usr-is-merged
0 lrwxrwxrwx 1 0 0 9 May 7 2024 lib32 -> usr/lib32
0 lrwxrwxrwx 1 0 0 9 Apr 22 2024 lib64 -> usr/lib64
0 lrwxrwxrwx 1 0 0 10 May 7 2024 libx32 -> usr/libx32
16 drwx—— 2 65534 65534 16384 Nov 3 22:05 lost+found
4 drwxr-xr-x 2 0 0 4096 May 7 2024 media
4 drwxr-xr-x 3 0 0 4096 Nov 6 18:49 mnt
4 drwxr-xr-x 3 0 0 4096 Nov 4 23:31 opt
0 dr-xr-xr-x 384 65534 65534 0 Nov 6 18:51 proc
4 drwx—— 5 0 0 4096 Nov 3 22:09 root
0 drwxr-xr-x 16 0 0 520 Nov 6 18:51 run
0 lrwxrwxrwx 1 0 0 8 Apr 22 2024 sbin -> usr/sbin
4 drwxr-xr-x 2 0 0 4096 Mar 31 2024 sbin.usr-is-merged
4 drwxr-xr-x 2 0 0 4096 May 7 2024 srv
0 dr-xr-xr-x 13 65534 65534 0 Nov 6 18:51 sys
4 drwxrwxrwt 8 0 0 4096 Nov 6 18:51 tmp
4 drwxr-xr-x 14 0 0 4096 May 7 2024 usr
4 drwxr-xr-x 11 0 0 4096 Nov 3 22:06 var

Da wird man echt langsam blöde. Was mach ich also falsch? Steht weiter unten!

Oggy1

So, es scheint zu funktionieren.

Ich habe jetzt einfach im im Host (PVE) diesen Befehl eingegeben..
chown -R 65534:65534 /mnt/sambafreigabe
und schon darf ich schreiben.

Ich werde jetzt mal alle Änderungen soweit rückgängig machen und schauen was wirklich geändert werden muss, also chown -R 1005:1005…… ist wohl erstmal flasch.

Oggy1

Ohhh man, scheinbar wieder zu kompliziert gedacht, nachdem es nicht funktionierte.

Hier mal eine Anleitung, wie es bei mir auf zwei unterschiedliche Proxmox Virtual Environment 8.2.7
funktioniert.

Wie unter jedem Linux nutze ich meine .smbcredentials Datei, welche die Zugangsdaten für die Netzwerkfreigabe enthält.
Diese habe ich im /root/ Verzeichnis angelegt.
nano /root/.smbcredentials
Dort trägt man seine Zugangsdaten ein…

username=
password=
domain=WORKGROUP

Nachdem man diese Datei angelegt hat, vergibt man noch die Rechte.
chmod 600 /root/.smbcredentials

Jetzt erstellt man den Ordner für die Freigabe
mkdir /mnt/sambafreigabe

Jetzt noch die Rechte vergeben (das ist der eigentliche Punkt, der so einfach ist, ab hier bekommt der LXC die Schreibrechte…)
chown -R 65534:65534 /mnt/sambafreigabe

Jetzt öffnet man fstab und passt den Eintrag an sein Netzwerk an…
//192.168.178.100/sambafreigabe /mnt/sambafreigabe cifs credentials=/root/.smbcredentials,iocharset=utf8,rw,file_mode=0777,dir_mode=0777,mapchars,uid=34,noforceuid,gid=34,noforcegid

Nun noch den Mount Pint in der LXC.config setzen, auch hier an seine Einstellungen anpassen, XXX muss durch die Nummer vom LXC/CT ersetzt werden.
pct set XXX -mp0 /mnt/sambafreigabe,mp=/mnt/sambafreigabe

Das war es schon, LXC starten und unter cd /mnt/sambafreigabe sollte man dann seine Dateien sehen und auch verändern oder neue schreiben können.
Wenn man ls -leingibt, sollte die Ausgabe so aussehen…

Fertig.

Den ganzen Quark mit…

nano /etc/pve/lxc/232.conf

arch: amd64
cores: 4
features: nesting=1
hostname: paperless-test
memory: 4096
mp0: /mnt/sambafreigabe,mp=/mnt/sambafreigabe
net0: name=eth0,bridge=vmbr0,firewall=1,gw=192.168.178.1,hwaddr=BX:44:66:65:E9:YX,ip=192.168.178.232/24,type=veth
ostype: ubuntu
rootfs: local-lvm:vm-232-disk-0,size=25G
swap: 1024
unprivileged: 1
lxc.idmap: u 0 100000 1005
lxc.idmap: g 0 100000 1005
lxc.idmap: u 1005 1005 1
lxc.idmap: g 1005 1005 1
lxc.idmap: u 1006 101006 64530
lxc.idmap: g 1006 101006 64530

Sollte ja erstmal stimmen.
nun noch die…
nano /etc/subuid

root:1005:1
root:1000:1
root:100000:65536
media:165536:65536

und die
nano /etc/subgid

root:1005:1
root:1000:1
root:100000:65536
media:165536:65536

alles unnötig.