UGREEN NAS Rechte vererben: Unterordner und die ACL-Falle

Die Rechte einer UGREEN NAS stecken nicht in den klassischen Linux-Dateirechten, sondern in einem eigenen Rechtesystem von UGOS. Kopieren Sie aber per SSH oder mit Skripten, ohne die erweiterten Attribute mitzunehmen, kann ein Ordner plötzlich für fast alle gesperrt sein, sogar für die Gruppe Administrator. Diese Anleitung zeigt Schritt für Schritt, wie UGOS Rechte an Unterordner vererbt, wie diese Falle entsteht und wie Sie gesperrte Ordner mit der Funktion „Berechtigungen anwenden auf“ reparieren, ohne bestehende Sperren zu verlieren. Alles haben wir auf unserer NAS nachgestellt.

Die Abläufe folgen den Handbüchern von UGREEN, die Screenshots und Ausgaben stammen von einer UGREEN DXP4800 Pro mit UGOS Pro 1.21.0.0190. Als Beispiel dienen der Testordner S-EDV-Test mit seinem gesperrten Unterordner Vertraulich aus Teil 26 und das Konto testuser.

Voraussetzungen

• Ein freigegebener Ordner mit Rechten, siehe Teil 26
• Ein Konto mit Administratorrechten
• Für die Prüfung SSH-Zugang, siehe Teil 20
• Etwa 20 Minuten

Schritt 1: Verstehen, wie UGOS Rechte speichert

Unter Linux zeigt getfacl normalerweise die erweiterten Rechte eines Ordners. Auf unserer NAS liefert der Befehl beim gesperrten Unterordner Vertraulich aber nur die Grundrechte, von einer Sperre für testuser keine Spur:

# file: /volume2/S-EDV-Test/Vertraulich
# owner: admin
# group: admin
user::rwx
group::rwx
other::---

Die eigentlichen Rechte liegen woanders. Das Volume ist mit der Option ugacl eingebunden, das zeigt mount. Und getfattr findet am Ordner ein eigenes Attribut von UGOS:

sudo getfattr -d -m - /volume2/S-EDV-Test/Vertraulich

system.ugacl_self=0sAQAAAAUAAADPNwAABgAAAO4DAAAAAAAA

In diesem Attribut steckt die Sperre für testuser. Für die Praxis heißt das zweierlei: Klassische Linux-Werkzeuge zeigen die Rechte von UGOS nicht an, und alles, was erweiterte Attribute nicht mitkopiert, verliert die Rechte.

Verifizieren: mount | grep volume zeigt bei Ihren Volumes die Option ugacl.

Schritt 2: Die Falle nachstellen

Wir haben den Unterordner Vertraulich per SSH zweimal kopiert, einmal ohne und einmal mit erweiterten Attributen:

sudo cp -r Vertraulich Kopie-ohne-Attribute
sudo cp -a Vertraulich Kopie-mit-Attributen

In der App Dateien sehen beide Kopien aus wie der Originalordner.

Ein Blick auf die Linux-Rechte zeigt den Unterschied:

drwxrwxrwx+ 1 admin admin 42 Nov  3 11:56 Kopie-mit-Attributen
d---------  1 root  root  42 Nov  3 12:21 Kopie-ohne-Attribute
drwxrwxrwx+ 1 admin admin 42 Nov  3 11:56 Vertraulich

Die Kopie ohne Attribute gehört root und hat überhaupt keine Rechte mehr, das Pluszeichen für erweiterte Rechte fehlt. Die Kopie mit Attributen trägt dagegen dasselbe Attribut system.ugacl_self wie das Original.

Verifizieren: Sie verstehen, warum ein Kopierbefehl die Rechte verändern kann.

Schritt 3: Die Folgen in der App Dateien sehen

Öffnen Sie die Eigenschaften der Kopie ohne Attribute.

Als Eigentümer steht root. Im Reiter Berechtigung wird es deutlich:

Die Spalte Berechtigungen zeigt bei der Gruppe Administrator und bei allen Standardbenutzern Zugriff verweigern. Nur das Konto admin selbst zeigt noch Lesen/Schreiben.

Auch testuser und seine Gruppe haben keinen Zugriff mehr, obwohl sie auf den Testordner Lesen/Schreiben haben. Per SSH bestätigt: sudo -u testuser ls Kopie-ohne-Attribute wird verweigert. Genau das passiert in der Praxis, wenn Daten per Skript, mit einem Container oder bei einem Umzug ohne Attribute auf die NAS kopiert werden. Die Benutzer melden dann, dass ein Ordner „verschwunden“ oder gesperrt ist.

Verifizieren: Die Rechte der Kopie unterscheiden sich vom Rest des Ordners.

Schritt 4: Den Ordner mit Zusammenführen reparieren

Die Lösung liegt in der App Dateien. Öffnen Sie die Eigenschaften des übergeordneten Ordners, bei uns des freigegebenen Ordners S-EDV-Test, und wechseln Sie in den Reiter Berechtigung. Sie müssen an den Rechten nichts ändern. Wählen Sie unten bei „Berechtigungen anwenden auf“ den Eintrag Zusammenführen.

Laut Hinweis in der App Dateien überträgt Zusammenführen die Rechte auf die Unterordner, behält aber bereits festgelegte Rechte der Unterordner bei. Klicken Sie auf Bestätigen. UGOS meldete bei uns nach wenigen Sekunden „Vorgang erfolgreich“.

Danach haben wir per SSH geprüft:

Ordner	Vorher für testuser	Nach Zusammenführen
Kopie-ohne-Attribute	verweigert	Lesen und Schreiben möglich
Vertraulich	verweigert, gewollt	weiterhin verweigert
Kopie-mit-Attributen	verweigert, Sperre mitkopiert	weiterhin verweigert

Die kaputte Kopie hat wieder die Rechte des Testordners. Linux zeigt weiterhin root als Eigentümer, aber die Rechte stehen wieder auf drwxrwxrwx+ mit Pluszeichen. Die gewollte Sperre auf Vertraulich ist erhalten geblieben, ebenso die mitkopierte Sperre auf der Kopie mit Attributen. Damit ist Zusammenführen die sicherere Wahl als Überschreiben.

Verifizieren: Benutzer erreichen den reparierten Ordner wieder, gewollte Sperren bestehen weiter.

Schritt 5: Zusammenführen, Überschreiben oder Keine

Die drei Optionen unter „Berechtigungen anwenden auf“ unterscheiden sich deutlich:

Option	Wirkung laut Hinweis in der App Dateien	Wann sinnvoll
Zusammenführen	Rechte nach unten übertragen, eigene Rechte der Unterordner behalten	Reparatur nach dem Kopieren, neue Gruppe auf bestehende Struktur ausrollen
Überschreiben	Alle Rechte der Unterordner ersetzen	Bewusster Neuanfang, wenn die Struktur völlig verbaut ist
Keine	Nur der aktuelle Ordner ändert sich	Kleine Änderungen an einem einzelnen Ordner

Da Überschreiben laut Hinweis alle Rechte der Unterordner ersetzt, gehen eigene Sperren wie die auf Vertraulich dabei verloren. Nutzen Sie Überschreiben deshalb nur, wenn Sie alle Ausnahmen anschließend neu setzen. Bei großen Ordnern mit vielen Dateien kann das Anwenden einige Zeit dauern.

Ein Beispiel für Zusammenführen im Alltag: Sie legen eine neue Gruppe Archiv an und geben ihr am freigegebenen Ordner Nur-Lesen. Mit Zusammenführen erhält die Gruppe dieses Recht in allen bestehenden Unterordnern, und die Sperren, die Sie früher für einzelne Unterordner gesetzt haben, bleiben bestehen. Unterordner ohne eigene Rechte erben neue Rechte laut UGREEN ohnehin. Zusammenführen ist vor allem für Unterordner mit abweichenden oder fehlenden Rechten gedacht, etwa nach einer Kopie.

Verifizieren: Sie wissen, welche Option bestehende Ausnahmen behält.

Schritt 6: Beim Kopieren die Attribute mitnehmen

Besser als jede Reparatur ist, die Falle zu vermeiden. Auf der Kommandozeile der NAS gilt:

• cp -a statt cp -r, das kopiert laut unserem Test das Attribut von UGOS mit.
• Bei rsync die Option -X ergänzen, etwa rsync -aX. Laut rsync-Dokumentation überträgt sie erweiterte Attribute. Prüfen Sie das Ergebnis danach mit einem Testkonto.
• Kopien von einer anderen NAS oder von einem Linux-Rechner bringen keine UGOS-Rechte mit, weil das Attribut nur unter UGOS existiert. Führen Sie danach am Zielordner Zusammenführen aus.
• Docker-Container schreiben Dateien mit der Nutzer-ID des Containers. Wie Sie Ordner und Rechte für Container richtig anlegen, behandelt ein späterer Teil dieser Serie.

Die einfachste Regel: Daten, die Benutzer später über die App Dateien oder SMB nutzen sollen, kopieren Sie möglichst auch über diese Wege. Dann legt UGOS die Ordner selbst an, und die Falle entsteht gar nicht erst, denn sie betrifft Kopien an der Oberfläche vorbei.

Planen Sie größere Umzüge deshalb in zwei Schritten: erst die Daten kopieren, dann am Zielordner einmal Zusammenführen ausführen und mit einem Testkonto prüfen. Das kostet wenige Minuten und erspart Ihnen Anrufe von Benutzern, die plötzlich vor verschlossenen Ordnern stehen. Notieren Sie sich vorher, welche Unterordner eigene Sperren haben, damit Sie diese nach dem Umzug gezielt kontrollieren können. Für den Umzug von einer Synology-NAS gibt es einen eigenen Teil in dieser Serie.

Verifizieren: Nach einer Kopie per Kommandozeile hat der Zielordner das Pluszeichen in ls -l und ein Testkonto erreicht ihn.

Typische Fehler bei der Rechtevererbung

Symptom	Ursache und Lösung
Ordner nach Kopie für alle gesperrt, Eigentümer root	Kopie ohne erweiterte Attribute. Am übergeordneten Ordner Zusammenführen ausführen.
getfacl zeigt keine Sperre	UGOS speichert Rechte im Attribut system.ugacl_self. Rechte in der App Dateien prüfen.
Sperre in Unterordner nach Änderung weg	Überschreiben gewählt. Sperre neu setzen, künftig Zusammenführen.
Kopie behält ungewollte Sperre	Mit Attributen kopiert, die Sperre wandert mit. Rechte der Kopie anpassen.
Container legt unlesbare Dateien an	Nutzer-ID des Containers passt nicht. Rechte für Container gezielt setzen.

Häufige Fragen

Kann ich UGOS-Rechte per SSH setzen?

Das Attribut ist ein internes Format von UGOS. Setzen Sie Rechte über die App Dateien, dort sind sie dokumentiert und lassen sich prüfen.

Betrifft das auch Kopien über SMB?

Über SMB und die App Dateien legt UGOS neue Ordner selbst an. Die Falle entsteht vor allem bei Kopien an der Oberfläche vorbei, etwa per SSH oder mit Skripten.

Wie finde ich gesperrte Ordner?

Am zuverlässigsten mit einem Testkonto: Melden Sie sich damit in der App Dateien an oder prüfen Sie per SSH mit sudo -u testkonto ls Pfad. Ein Suchbefehl nach Linux-Rechten hilft wenig, denn auch korrekt freigegebene Ordner zeigen auf unserer NAS in den Linux-Grundrechten oft keine Bits, die Rechte stecken im Attribut von UGOS.

Ist Zusammenführen gefahrlos?

In unserem Test mit drei Ordnern blieben alle eigenen Sperren erhalten. Prüfen Sie wichtige Sperren danach trotzdem mit einem Testkonto.

Fazit

UGOS verwaltet Ordnerrechte in eigenen erweiterten Attributen. Wer an der Oberfläche vorbei kopiert, kann damit Ordner versehentlich für alle sperren. Mit cp -a passiert das nicht, und ist es doch passiert, repariert Zusammenführen am übergeordneten Ordner die Rechte, ohne gewollte Sperren anzutasten.

Weiterführende Anleitungen und Quellen

• Teil 26: Ordnerrechte vergeben
• Teil 24: Gruppen einrichten
• Teil 20: SSH und Btrfs-Scrub
• UGREEN: Berechtigungen für freigegebene Ordner
• UGREEN: Unterordner sperren