Пользователь не может войти в каталог своей группы, несмотря на то, что каталог имеет правильные разрешения и пользователь находится в соответствующей группе
У меня есть каталог с именем /workspace, который выглядит так:
[root@machine workspace]# ls -al
total 7
drwxr-s---. 7 root workspace 4651468242 Nov 16 14:41.
dr-xr-xr-x. 22 root root 4096 Nov 15 11:36..
(Я пропустил его подкаталоги. Вы можете видеть, что /workspaceпринадлежит группеworkspace)
Затем есть пользователь yang, чей idвыглядит следующим образом:
[root@machine workspace]# id yang
uid=563(yang) gid=1701(yang) groups=1701(yang),1044(workspace)
Это должно позволить ему войти в /workspace, но на самом деле он не мог:
[root@machine workspace]# su - yang
Last login: Mon Nov 22 10:05:41 CST 2021 on pts/46
[yang@machine ~]$ cd /workspace/
-bash: cd: /workspace/: Permission denied
Однако из всех пользователей в группе workspaceон единственный с этой проблемой. Другие пользователи могут без проблем получить доступ к /workspace, например:
[root@machine workspace]# id zhao
uid=651(zhao) gid=651(zhao) groups=651(zhao),1044(workspace)
[root@machine workspace]# su - zhao
Last login: Mon Nov 22 10:13:27 CST 2021 on pts/103
[zhao@machine ~]$ cd /workspace/
[zhao@machine workspace]$
Подробнее здесь:
[yang@machine ~]$ id
uid=563(yang) gid=1701(yang) groups=1701(yang),1044(workspace) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
[zhao@machine ~]$ id
uid=651(zhao) gid=651(zhao) groups=651(zhao),1044(workspace) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
Разочаровывающая проблема возникает как в CentOS 6.9, так и в 7.9. Может ли кто-нибудь помочь мне с этим? Спасибо!
Итак, после того, как коллега предложил мне, что может быть верхний предел для дополнительных групп, я удвоил проверку и обнаружил, что /workspaceнаходится на диске nfsс командой df -hT, и согласно RFC5531, при использовании аутентификации AUTH_SYS максимальное количество идентификаторов групп по умолчанию равно 16. Я нашел руководство от NetApp, которое учит вас, как изменить ограничение по умолчанию. Хотя на практике метод должен отличаться у разных поставщиков, он, тем не менее, может дать вам общее представление.
Еще один урок заключается в том, чтобы никогда ничего не упускать из виду, задавая вопросы. Как оказалось, yangпринадлежал к более чем 16 группам, в то время как большинство других пользователей не превышали это число. Я пропустил другие группы, думая, что они слишком длинные, слишком навязчивые, но в конце концов они оказались проблемой.