Dotaz: Adresar a prava

[Petrzala]

Dobry den. Chtel bych se zeptat, jestli je v Linuxu mozne vytvorit adresar, do ktereho kdyz presunu soubor s jakymykoliv pravy, mel prava pevne definovana?

---

---

Odpovědi

[rastos]

Ne.

Môžeš nanajvýš nastaviť setgid pre adresár a súbor dostane príslušnosť ku grupe.

[Filip Jirsák]

Přímo přes práva to nejde. Ale asi by bylo možné využít mechanismus inotify (např. přes incron), a pokaždé, když se v tom adresáři objeví nový podadresář nebo soubor, spustit nějaký skript, který práva upraví.

[none]

ACLka by ti mohly pomoct... Neco jako:

setfacl -m d:u:franta:rwx /dir

[Filip Jirsák]

To ale platí jenom pro nově vytvářené soubory a adresáře. Při přesouvání se většina rozumných programů bude snažit práva zachovat.

[Petrzala]

Jak pak ale resit sdileny adresar pro vice uzivatelu? Cron, ktrey bude v urcitem intervalu menit prava?

[Filip Jirsák]

Se standardními unixovými právy se to řešilo společnou skupinou pro uživatele a nastavením SGID bitu na sdílený adresář (jehož vlastnickou skupinou je ona společná skupina). Nově vytvořené soubory a adresáře pak mají jako vlastnickou skupinu uvedenu (díky SGID bitu) opět tu společnou skupinu. Očekává se, že při nějakých přesunech atd. si uživatel nakonec zkontroluje, zda jsou práva nastavena správně, případně je změní. To už je samozřejmě dost zastaralý přístup, pohodlnější pro použití uživateli je systém práv umožňující dědění. Ve světě Linuxu je asi nejblíž NFSv4 ACL, doufejme, že se co nejdřív dostane i do nativních linuxových souborových systémů. Určitý mezistupeň jsou posixová ACL, která sice umožňují nastavit práva více uživatelům a více skupinám, ale dědičnost je možné nastavit opět pouze na pro následující úroveň adresářového stromu a opět se týká jen nově vytvořených souborů, při kopírování nebo přesunech záleží na aplikaci, jak práva nastaví.

Pokud tedy uživatelé nepracují přímo ve sdíleném adresáři, ale soubory do něj přesouvají a kopírují, je podle mne dnes nejjistější řešení použít incron – tím můžete práva změnit hned, nemusí se čekat na spuštění cronu, a zároveň práva můžete měnit jen na změněných souborech, nemusíte vše znovu procházet. Případně můžete uživatelům připravit skript, který spustí po kopírování nebo přesouvání souborů a který práva opraví.

[Petrzala]

>> Pokud tedy uživatelé nepracují přímo ve sdíleném adresáři, ale soubory do něj přesouvají a kopírují, je podle mne dnes nejjistější řešení použít incron – tím můžete práva změnit hned, nemusí se čekat na spuštění cronu, a zároveň práva můžete měnit jen na změněných souborech, nemusíte vše znovu procházet. Případně můžete uživatelům připravit skript, který spustí po kopírování nebo přesouvání souborů a který práva opraví.

Tak tohle vypada zajimave, diky za tip. ACL (ne ty NFSv4) mam a pouzivam... ale.. prave proto jsem se ptal na to, jak resit konkretne presouvani souboru, SGID atd, to vse mam. OK, podivam se na vase doporuceni a kdyztak dam vedet, jak jsem dopadl. Prozatim dekuju.

[david]

Nemate prosim odkaz na jenake howto pro relativni zacatecniky? koukal jsem na ty stranky incronu a vubec nechapu, jak a co nastavit. me by se to taky hodilo k podobnemu ucelu. mam ubuntu.

[david]

nefunguje mi IN_MOVED_TO, kdyz chci, aby se zmenila prava souborum presunutym do adresare (v syslogu se neobjevi ani spusteni incronu). testoval jsem IN_CREATE a to funguje.

Mam tam tohle

/FILMY IN_MOVE_TO /bin/chmod 0777 $@/$#

[david]

Tak nevim proc, ale to co potrebuju mi dela jen IN_CLOSE_WRITE. Jak mam ale nastavit, aby pri presunu do toho hlidaneho adresare mely vsechny soubory prava 0770 a soubory 0660?

[Filip Jirsák]

Musíte spustit nějaký skript, který ty práva nastaví. Jinak přesun je zřejmě možné dělat jenom v rámci jednoho oddílu, jakmile je to mezi různými oddíly (nebo např. ze síťového disku), jde ve skutečnosti o kopii a smazání původního souboru. Nějaký návod pro konfiguraci incronu je třeba zde: Triggering Commands On File/Directory Changes With Incron.

[david]

No ted zapasim se skriptem, ale vubec nevim, jak tam mam napsat promene, aby se to aplikovalo prave na ten soubor, ktery akorat presouvam a incron jej na nej aplikuje.

Dejme tomu, ze na nej budu chtit spustit

/bin/chmod 0660 soubor && chown user:filmy soubor

Jak to zapisu?

[Filip Jirsák]

V proměnné $# by měl být soubor, kterého se daná událost týká. Takže bych zkusil

/bin/chmod 0660 $# chown user:filmy $#

[david]

Aha, ja myslel, ze tuhle promenou muzu davat jen do te incron tabulky, ale ne do "externiho" scriptu. No otestuju to a dam vedet.

[david]

takze pokud udelam tohle, zmeni se mi prava souboru /bin/chmod na tech 0660

[david]

tak jsem dal mezi ty dva prikazy i to &&, ale vysledek prakticky zadny

[Šangala]

Pokud na to máte skript, tak dle manuálu to bude:

/muj/sledovany/files on_neco,on_neco /usr/local/bin/mujskript '$#'

(těmi apostrofy si nejsem jistý…)
A v mujskript bude něco jako:

chmod 666 "$1"
chown kubrt "$1"

Odzkoušel bych první v tom skriptu:

echo "$1" > /tmp/kuk

a co bude v kuk to je předáno jako parametr, nevím jestli $# je včetně cesty…

[david]

tak jako parametr to predalo ten presouvany soubor.. nicmene ty prava se nezmenila

[david]

a kdyz spustim ten ./mujscript prenaseny_soubor, vystup je takovyto:

/bin/chown: nelze přistoupit k „“: Adresář nebo soubor neexistuje

[david]

takze problem dela az ten druhy prikaz (chown).. on to nema totiz kam aplikovat, kdyz ten prenaseny_soubor je uz pryc ... jak to ale resit?

[david]

tohle je blbost, mel jsem chybku ve skriptu.. asi ted budu mit problem v tom, ze se mi tam neposila ta cela cesta..

[david]

takze mam vyreseno a koncim se spamem Takto je to dobre (tj. vc. cesty) $@/$#. Diky

[david]

Jen pro informaci. Nakonec jsem nasadil watcher .. incron totiz neumi pracovat rekruzivne, takre uninstall. Skriptiky jsem ponechal a predhodil jsem je watcheru. Ted je to dokonaly.

[2X4B-523P]

čekal jsem, jestli někdo neví nějaký hezčí způsob a fandil jsem inotify, ale toto je také jedna z možností... rozhodně je to lepší než sdílet mrzácký FS jako vfat

[Šangala]

Otestoval jste cestu či název souboru obsahující mezeru?

[david]

jj, funguje, diky za tip. Ale zjistil jsem, ze se mi prava nezmeni (skript se neaplikuje), pokud soubor/adresar nakopiruju pres nfs

[Šangala]

Můžete povolit všechny události a místo změny práv a vlastníka vypisovat je parametr.
Zpět k incron:

/moje/cesta IN_ALL_EVENTS /usr/local/bin/mujskript $@ $# $% $&

mujskript:

outfiles=/root/kuk
echo "        cesta: $1" >> ${outfiles}
echo "        nazev: $2" >> ${outfiles}
echo " udalost-text: $3" >> ${outfiles}
echo "udalost-cislo: $4" >> ${outfiles}
echo '----------------------------------' >> ${outfiles}

A uvidíte co se děje v rostoucím 'kuk' filesu…
PS: Je třeba $@/$#, vždyť je to i v ukázkovém příkladu - nějak jsem to přehlédl…

[david]

nez nainstaluju zpet incron, zeptam se tak nejak obecne.. jaky je rozdil z pohledu systemu, kdyz kopiruju z lokalni partysny na jinou a nebo na nfs?

[pavel]

U nfs asi podobný, jako když kopíruješ s diskového oddílu na ftp, sambu atd.

[david]

Aha, to moc nevim, co si mam pod tim predstavit. Ja si myslel, ze nfs se napr. ve spojitosti s temi pravy chova stejne, jako namountovany lokalni disk. Proto nechapu, proc pri kopirovani na lokalni mount se mi prava zmeni a pri kopirovani na nfs ne?

[david]

nebo, ze bych mel ten warcher ci incron nastavoval jeste na tech klientskych pc, kde je vlastne ten sitovy disk pres nfs pripojeny?? To doufam, ze ne..

[Filip Jirsák]

NFS je bohužel ve spoustě ohledů výjimečný a nechová se stejně, jako jakýkoli jiný namountovaný disk.

[david]

Takze jsem to testoval pres ssh a taky to nefunguje

Tzn. zkopiroval jsem do "hlidaneho" adresare soubor pres ssh a prava se mi nazmenila..

[Šangala]

Je hodně tajné, co vlastně děláte?
A co tam tak dát odkazovaný skript, než jen hádat.

Konfigurace:

events=all
command=/usr/local/bin/mujskript $watched $filename $tflags $nflags

mujskript:

outfiles=/root/kuk
echo '----------------------------------' >> ${outfiles}
echo "        cesta: $1" >> ${outfiles}
echo "        nazev: $2" >> ${outfiles}
echo " udalost-text: $3" >> ${outfiles}
echo "udalost-cislo: $4" >> ${outfiles}
echo '----------------------------------' >> ${outfiles}

[david]

tajne to neni vubec co potrebuju je jasne predpokladam Takze mam zase nainstalovat incron? Bude tenhle test k necemu dobry, kdyz incron (diky tomu, ze neumi pracovat recursivne) pouzivat stejne nebudu?

[Šangala]

Když to není tajné, můžete nám i napsat jak to máte nastavaeno…
Klidně si instalujte co chcete, ale měl jsem pocit, že je to stejné a command jsem přepsal pro watcher.ini… …

[david]

Ja se omlouvam, ale uz jsem z toho blbej Ted mam nastaveny watcher takhle:

[job1]
watch=/shares/FOTKY
events=create,move_to
recursive=true
command=/usr/local/scripts/shares-perm/fotky-perm $filename

/shares/FOTKY jsou na lokalnim disku serveru, kde bezi watcher. Kdyz nakopiruju soubor/adresar v ramci serveru (i z jineho diskoveho oddilu), skript zmeni prava. Kdyz ale nakopiruju soubor/adresar do /shares/FOTKY pomoci ssh nebo nfs z jineho pc, skript se nespusti.

Je to srozumitelne?

[david]

jinak pokud zkusim dat events=all, tak v logu mam spoustu techto hlasek:

Exception in thread Thread-185:
Traceback (most recent call last):
  File "/usr/lib/python2.6/threading.py", line 532, in __bootstrap_inner
    self.run()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1348, in run
    self.loop()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1334, in loop
    self.process_events()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1128, in process_events
    self._default_proc_fun(revent)
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 810, in __call__
    return _ProcessEvent.__call__(self, event)
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 544, in __call__
    return meth(event)
  File "/etc/init.d/watcher", line 257, in process_IN_OPEN
    self.runCommand(event)
  File "/etc/init.d/watcher", line 213, in runCommand
    prefix)
  File "/etc/init.d/watcher", line 290, in addWatch
    wm = pyinotify.WatchManager()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1530, in __init__
    raise OSError()
OSError

Exception in thread Thread-221:
Traceback (most recent call last):
  File "/usr/lib/python2.6/threading.py", line 532, in __bootstrap_inner
    self.run()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1348, in run
    self.loop()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1334, in loop
    self.process_events()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1128, in process_events
    self._default_proc_fun(revent)
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 810, in __call__
    return _ProcessEvent.__call__(self, event)
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 544, in __call__
    return meth(event)
  File "/etc/init.d/watcher", line 257, in process_IN_OPEN
    self.runCommand(event)
  File "/etc/init.d/watcher", line 213, in runCommand
    prefix)
  File "/etc/init.d/watcher", line 290, in addWatch
    wm = pyinotify.WatchManager()
  File "/usr/lib/pymodules/python2.6/pyinotify.py", line 1530, in __init__
    raise OSError()
OSError

To nevim, jestli je dobre nebo spatne.

[Šangala]

No jestli pouštíte s tím svým skriptem na změnu oprávnění tak se to zacyklí, bo měníte oprávnění a na jejich změnu je to opět spuštěno a tak furt dokola

• vytvořte soubor /usr/local/bin/mujskript
• prdněte do něj výše uvedený obsah (mujskript)
• nastavte vlastníka chown root:root /usr/local/bin/mujskript
• nastavte oprávnění chmod 700 /usr/local/bin/mujskript
• command=/usr/local/scripts/shares-perm/fotky-perm $filename
  změnte na:
  command=/usr/local/bin/mujskript $watched $filename $tflags $nflags
• změňte events=create,move_to na events=all
• restartujte watcher
• Testuje a v souboru /root/kuk uvidíte co se děje, třeba cat /root/kuk

… myslím, že zjistíte, že přes NFS to jede jako create(což bych ignoroval) a pak write_close, ale chce to vyzkoušet co to dělá při přejmenování, move-ntutí či zkopírování (v rámci sdílení, či odjinud).
PS: Píšou: 'all' - Any of the above events are fired, takže by all mělo fungovat.

[david]

Poustim to s tim vasim skriptem. A pokud tam neco nakopiruju pres NFS, v souboru kuk se prave nic neobjevi.

[Šangala]

Pokud tam máte events=all, tak je to smůla a ta informace (event) není vyvolána, takže s tím tímto způsobem asi nic neuděláte.

[2X4B-523P]

ono to možná jen nefunguje rekursivně...

[david]

rekursivne to funguje.. a ja stejne ted presouvam primo do rootu toho hlidaneho adresare

[2X4B-523P]

ono těch způsobů jak dosáhnout toho samého je spousta, třeba jsem narazil na TENTO postup... právě tento dotaz mne donutil se nad tím vůbec zamyslet, nikdy jsem to neřešil, všechno co mi kdo nahraje do Share je nouser:nogroup a všichni si tam mohou dělat co chtějí...

[david]

no proto mi neni jasny ten rozdil v tom, jestli je to tam nakopirovane/presunute pres sit a nebo primo lokalne (to funguje). Vzdyt se na tom disku v tom hlidanem adresari ty data fyzicky vytvori. Tak proc to nejde? Nebo ten watcher/initify taha informace primo z mv a copy na tom lokalnim serveru?

[Šangala]

Ne, „hlídá“ to změny filesystému, takže pokud to běží na serveru a hlídá to svůj fs lokálně na-mount-ovaný, tak by to mělo event vyvolat, otázkou je jaký.

[david]

no dosli jsme k zaveru, ze zadny.. nebo se pletu?

[Šangala]

Já ne a notně bych se podivil , nevím jestli tam máte 'all' a jestli je tato konfigurace přenačtena.
A zkusil jste na serveru sync.

[david]

pokracuji tady, tahle nudle uz je neprehledna

[Šangala]

Došel jsem k závěru, že to normálně funguje, ale je tam jistý zádrhel.

Server: Bubuntu 10.04, IP: 192.168.1.129
Client: Debian Squeeze, IP: 192.168.1.2

server: sudo exportfs

/share/test   	192.168.1.2

server: grep -ov '#' /etc/exports

/share/test 192.168.1.2(rw,sync,rw,sync,no_subtree_check)

server: sudo incrontab -l

/share/test IN_ALL_EVENTS /usr/local/bin/mujskript $@ $# $% $&

client (na root-a):
mkdir bubuntunfs
chmod 777 ./bubuntunfs
mount -o 'vers=3' -t nfs 192.168.1.129:/share/test ./bubuntunfs

client (dále jen na běžného uživatele):
touch ./mv-nfs-share-file

TEST:

client: mv mv-nfs-share-file bubuntunfs/
server: sudo cat /root/kuk

        cesta: /share/test
        nazev: mv-nfs-share-file
 udalost-text: IN_CREATE
udalost-cislo: 256
----------------------------------
        cesta: /share/test
        nazev: mv-nfs-share-file
 udalost-text: IN_ATTRIB
udalost-cislo: 4
----------------------------------
        cesta: /share/test
        nazev: mv-nfs-share-file
 udalost-text: IN_ATTRIB
udalost-cislo: 4
----------------------------------
        cesta: /share/test
        nazev: mv-nfs-share-file
 udalost-text: IN_ATTRIB
udalost-cislo: 4
----------------------------------
        cesta: /share/test
        nazev: mv-nfs-share-file
 udalost-text: IN_ATTRIB
udalost-cislo: 4
----------------------------------

server: sudo rm /root/kuk

client: mv bubuntunfs/mv-nfs-share-file ./
server: sudo cat /root/kuk

        cesta: /share/test
        nazev: mv-nfs-share-file
 udalost-text: IN_DELETE
udalost-cislo: 512
----------------------------------

... a pak na root-a umount

Ale všimněte si pořadí vyvolaných event-ů, to může být komplikace řešitelná snad použitím event-u IN_CREATE a změny oprávnění se zpožděním. sleep 3 && chmod…, což má ovšem také svá úskalí.

Původní věc lze řešit i něčím podobným jako níže třeba v 5 min intervalech pokud to není rozsáhlý FS:

$myPath=/cesta/tam/kam/chci
myGroup='mojeskupina'
myPermFile=660
myPermDir=2770
find "$myPath" ! -group "$myGroup" -exec chgrp "$MyGroup" {} \;
find "$myPath" -type f ! -perm $myPermFile -exec chmod $myPermFile {} \;
find "$myPath" -mindepth 1 -type d ! -perm $myPermDir -exec chmod $myPermDir {} \;

díky hledání jen neodpovídajících nastavení, jsou většinou změny malé... …odzkoušejte postupně a používejte man - nevěřte mi

[Šangala]

¡Nevěřte mi!, ten dolar tam byl navíc…
myPath=/cesta/tam/kam/chci …

[david]

Diky za podrobny rozbor Zeptam se blbe.. nestaci tam pridat jen prametr IN_ATTRIB? Jak by se to chovalo? Muzu tim neco zkazit?

[Šangala]

Blbě zacyklí se to. U incron tam lze použít IN_NO_LOOP, tím pádem by to šlo.

[david]

tak jsem to zatim vyresil, ale jen napul, tim sleep 3 &&. Bohuzel se mi skripty neaplikuji. Bohuzel se mi prava nezmeni v pripade, kdyz nakopiruju adresar s obsahem. Na ten jeho obsah (soubory v nem) se prava neaplikuji. Pouzivam ten watcher protoze pracuje recursivne. Funguje mi, kdyz nakopiruju prazdny adresar a teprve pak jeho souborovy obsah - to se skript aplikuje a v mem propade se prava zmeni. Pritom jsem to overoval tim kuk souborem a system mi hlasi, ze soubory byly vytvoreny IN_CREATE - kdyz kopiruju adresar se souborovym obsahem. Jakto?

[Šangala]

To je ta limita, myslím si to. Ty události vznikají v různých časech a pravděpodobně změníte ty atributy (práva) a pak je až změní nfs…, prostě 3 sec je málo.

[david]

Zkousel jsem zmenit ty 3 vteriny na 10 a stejne nic. Tak to je na prd. Me se po te x denni laboraci nechce vracet zase ke Cronu. A ani tam to nebyla zadna slava, protoze jsem prava menil kazdych 10min a pokud jsem kopiroval neco dele, tak se kopirovani diky te zmene zastavilo. Nehlede na to, ze mi to reseni pripada takovy amatersky (i na me )

[2X4B-523P]

jak je to se změnou inode, ta se provede hned, nebo až při sync?

[2X4B-523P]

nasdílej vfat

[Kit]

Co takhle použít FUSE? Snad by se tam nějaký recept dal najít.

[david]

all tam mam nastaveno. sync jsem nezkusil, nejdrive se musim podivat, k cemu vubec je