Container unprivilegiert - Mount aufs NAS

[lenny30]

Hi,
wie kann man einen unprevilegierten Container auf ein NAS mounten lassen?
Ich bekomme immer die Meldung "permission denied"

Sollte das gar nicht möglich sein, gibt es eine Möglichkeit, den Container in Privilegiert zu ändern?

Danke

 

[gmed]

Das geht nur bei previlegierten Containern.
Um zu Wechseln machst du ein Backup des LXC und danach einen Restore.
Bei Restore-Dialog kannst du angeben, das der danach previlegiert sein soll.
Nach dem Restore in den Optionen noch NFS-Mount erlauben.

 

[lenny30]

Klasse, das hat hervorragend geklappt. Danke!

Worin unterscheiden sich die beiden Modi?

 

[gmed]

Prima

Die Modi unterscheiden sich, salopp ausgedrückt, darin, dass previligierte Container mehr dürfen als ihre unpreviligierten Kollegen.
Zum Beispiel das Mounten von CIFS/ NFS Freigaben.
Aber auch Zugriff auf weitere Systemverzeichnisse im Host.
Was aber auch Nachteile in der Sicherheit mitbringt, da derartige Container eben erweiterte Zugriffsrechte auf gemeinsam genutzte Bereiche im Host haben.

Daher sollte man bei öffentlichen Diensten das wissen.
Evtl. ist man dann ab einem gewissen Punkt mit einer KVM-Maschine sicherer unterwegs. Mit dem Nachteil, dass diese mehr Ressourcen braucht, da ja eben CPU, RAM etc. nicht mitgenutzt werden.

 

[fireon]

Es geht auch mit unprivilegierten CT's. https://pve.proxmox.com/wiki/Unprivileged_LXC_containers
Nur bis jetzt hat das bei mir auch noch nie geklappt. Ist wohl komplexer...

 

[gmed]

Den Artikel verstehe ich so, dass man das NFS-Share auf dem Host mounted und dann an den CT weiter reicht.
Und das es dabei zu Problemen mit den UID's kommen kann etc.
Es ist eine Lösung zur Aufgabe "gib NFS-Platz an einen Container",
aber nach meinem Verständnis nicht das Gleiche,
als wie wenn der CT intern das NFS-Share direkt mounted?

 

[fireon]

Den Artikel verstehe ich so, dass man das NFS-Share auf dem Host mounted und dann an den CT weiter reicht.
Und das es dabei zu Problemen mit den UID's kommen kann etc.
Es ist eine Lösung zur Aufgabe "gib NFS-Platz an einen Container",
aber nach meinem Verständnis nicht das Gleiche,
als wie wenn der CT intern das NFS-Share direkt mounted?

Ich hab da nicht viel getestet, aber was ich weis geht NFSmount glaub ich im unpr. CT gar nicht. Zumindest kann man die Option im PVE Webinterface nicht setzen.

 

[gmed]

Für den NFS-Mount braucht es Zugriff auf Module vom Host, was bei unpreviligierten LXC's eben eingeschränkt ist aus Sicherheitsgründen.
So hab ich das zumindest verstanden.
LXC nutzen ja Teile des Hosts mit, weshalb die ja so rank und schlank daher kommen.