PermLens

ÜbersichtOverview

Alle Container und VMsEvery container and VM

Alle LXCs und VMs, ob sie laufen, ob sie privilegiert oder unprivilegiert sind und ob sie ein eigenes Mapping haben.All LXCs and VMs, whether they are running, privileged or unprivileged, and whether they have a custom mapping.

ProblemeProblems

Ist alles in Ordnung?Is everything all right?

Nach jedem Einlesen prüft PermLens von selbst bekannte Fehlerquellen: Ordner, die ein Container als „nobody“ sieht, fehlende Mount-Quellen, gemeinsame Ordner ohne setgid, gleiche Namen mit verschiedenen Nummern, NFS mit no_root_squash und mehr. Zu jedem Problem gibt es eine Erklärung, einen Befehl zum Kopieren und die Einstufung harmlos, Vorsicht oder Risiko. Viele Lösungen kann PermLens auch selbst ausführen (siehe unten).After every scan PermLens checks known pitfalls on its own: folders a container sees as “nobody”, missing mount sources, shared folders without setgid, the same name with different numbers, NFS with no_root_squash and more. Every problem comes with an explanation, a command to copy and a rating: harmless, caution or risk. PermLens can carry out many fixes itself (see below).

PrüfenCheck

Kann X hier schreiben?Can X write here?

Container, Benutzer und Ordner wählen. PermLens rechnet aus, ob Lesen und Schreiben klappt, und zeigt den Rechenweg: Besitzer, Gruppe, ACL, Mapping und jeden Ordner auf dem Weg. Eine Gegenprobe fragt im Container als dieser Benutzer nach, ohne etwas zu schreiben. Bei NFS ist sie nur ein Hinweis, deshalb gibt es zusätzlich einen echten Schreibtest. Unter jeder Antwort steht „So geht es“ mit dem passenden Weg.Pick a container, a user and a folder. PermLens works out whether reading and writing will work and shows how it got there: owner, group, ACL, mapping and every folder along the path. A cross-check asks inside the container as that user, without writing anything. With NFS it is only a hint, so there is also a real write test. Below every answer, “How to fix it” shows the matching way forward.

Container

Wer ist wer?Who is who?

Jeder Benutzer im Container mit UID und GID, in Klartext erklärt (bei www-data etwa: „Unter diesem Namen laufen Webserver wie nginx oder Apache.“), und wer er auf dem Host ist. Dazu die Einstellungen aus /etc/pve/lxc/<Nr>.conf mit Erklärung der wichtigen Zeilen. Eine eigene Seite zeigt jeden Namen und jede Nummer über den Host und alle Container, Unterschiede stehen oben.Every user in the container with UID and GID, explained in plain words (for www-data, e.g.: “Web servers such as nginx or Apache run under this name.”), and who they are on the host. Plus the settings from /etc/pve/lxc/<id>.conf with the important lines explained. A separate page shows every name and number across the host and all containers, with differences at the top.

Mapping

Aus 1000 wird …1000 becomes …

Welche Nummern im Container zu welchen Nummern auf dem Host werden, und welche „durchgereicht“ werden.Which numbers inside the container become which numbers on the host, and which are passed through.

OrdnerFolders

Host und ContainerHost and container

Jeder eingehängte Ordner mit Besitzer und Rechten, auf dem Host und im Container nebeneinander, dazu ACLs. Auch NFS- und SMB-Freigaben, die ein Container selbst einhängt. Jeder gemeinsam genutzte Ordner erscheint mit allen Containern, die ihn nutzen, und wie er von jedem aus aussieht.Every mounted folder with owner and permissions, on the host and inside the container side by side, plus ACLs. Also NFS and SMB shares a container mounts itself. Every shared folder appears with all containers using it and how it looks from each of them.

FreigabenShares

Samba und NFSSamba and NFS

Bei Samba-Containern jede Freigabe mit Ordner, wer sich anmelden darf und als wer geschrieben wird. NFS-Exporte mit Erklärung der Optionen, z. B. root_squash.For Samba containers, every share with its folder, who may log in and as whom files are written. NFS exports with their options explained, e.g. root_squash.

Host

Was der Host siehtWhat the host sees

Alle Speicher des Proxmox-Hosts mit ihrem Zweck (z. B. nur Backups) und den Containern, die sie nutzen, dazu von Hand eingehängte Netzfreigaben, die Benutzer des Hosts und wofür jeder Nummernbereich in /etc/subuid gebraucht wird.All storage of the Proxmox host with its purpose (e.g. backups only) and the containers using it, plus manually mounted network shares, the host’s users and what each number range in /etc/subuid is needed for.

Mapping-AssistentMapping assistant

Sicher unprivilegiertSafely unprivileged

Unprivilegierte Container sind sicherer, sehen gemeinsame Ordner aber oft als „nobody“. Der Assistent rechnet aus, welche Nummern durchgereicht werden müssen, und zeigt die Befehle zum Kopieren: als Bauplan für einen neuen Container (z. B. paperless-ngx), als Vorschlag für einen bestehenden oder als geführten Umstieg von privilegiert auf unprivilegiert, bei dem der alte Container als Rückfall erhalten bleibt. Am Host ändert PermLens dabei nichts selbst.Unprivileged containers are safer but often see shared folders as “nobody”. The assistant works out which numbers have to be passed through and shows the commands to copy: as a blueprint for a new container (e.g. paperless-ngx), as a suggestion for an existing one, or as a guided switch from privileged to unprivileged that keeps the old container as a fallback. PermLens itself changes nothing on the host.

Docker · neu in 1.1Docker · new in 1.1

Als wer schreibt meine App?Who does my app write as?

Läuft im LXC Docker, zeigt PermLens je App die ganze Kette: als welche Nummer sie wirklich schreibt (gemessen an ihren laufenden Programmen, sonst PUID/PGID aus der Stack-Datei), wer das im Container und auf dem Host ist, und ob sie in ihre eingehängten Ordner schreiben darf. Probleme wie „App kann nicht in /data schreiben“ oder „App schreibt als root“ findet PermLens von selbst, Prüfen rechnet für eine App wie für einen Benutzer. Passwörter aus den Umgebungsvariablen bekommt PermLens nie zu sehen.If Docker runs in the LXC, PermLens shows the whole chain for every app: which number it really writes as (measured from its running programs, otherwise PUID/PGID from the stack file), who that is in the container and on the host, and whether it may write to its mounted folders. Problems such as “app cannot write to /data” or “app writes as root” are found automatically, and Check works for an app just like for a user. PermLens never gets to see passwords from the environment variables.

Nachschauen · neu in 1.1Look up · new in 1.1

Wie ein Terminal, nur lesendLike a terminal, read-only

Eine Konsole, die aussieht wie ein Terminal, aber nur feste, lesende Befehle kennt (id, ls -ld, stat, getfacl, df -h, docker ps …), für den Host, einen Container oder eine Docker-App. Keine Shell, keine Dateiinhalte.A console that looks like a terminal but only knows fixed, read-only commands (id, ls -ld, stat, getfacl, df -h, docker ps …), for the host, a container or a Docker app. No shell, no file contents.

OrdnerFolders

Besitzer, Rechte, ACLOwner, permissions, ACL

Besitzer, Rechte und ACLs, für einen Ordner oder den ganzen Ordnerbaum. Vor Änderungen am ganzen Baum sichert PermLens Besitzer, Rechte und ACLs aller Dateien.Owner, permissions and ACLs, for one folder or the whole tree. Before changing a whole tree, PermLens backs up owner, permissions and ACLs of every file.

Benutzer und GruppenUsers and groups

Im ContainerInside the container

Anlegen, löschen, in Gruppen aufnehmen, Hauptgruppe, Nummern ändern und Dateien umnummerieren („gleicher Name, andere Nummer“).Create, delete, add to groups, primary group, change numbers and renumber files (“same name, different number”).

SchreibtestWrite test

Echt ausprobierenActually try it

Legt als ein Benutzer eine leere Datei an und löscht sie wieder. Sicher auch bei NFS.Creates an empty file as a user and deletes it again. Reliable with NFS too.

AbsicherungSafeguards

Immer gleich abgesichertAlways the same safeguards

Vorschau mit genauem Befehl, Einstufung harmlos / Vorsicht / Risiko, was sich für wen ändert, Rückgängig-Befehl. Bei Risiko tippst du die Container-Nummer ein. Danach prüft PermLens nach, alles steht im Protokoll und lässt sich zurückdrehen.Preview with the exact command, rating harmless / caution / risk, what changes for whom, the undo command. For risk you type the container number. Afterwards PermLens verifies the result; everything is logged and can be undone.

NieNever

Was tabu bleibtWhat stays off-limits

root, Systemkonten, Systemordner, Passwörter, der Host selbst.root, system accounts, system folders, passwords, the host itself.

Mehrere ProxmoxSeveral hosts

Eine OberflächeOne interface

Mehrere Proxmox in einer Oberfläche, oben in der Kopfzeile umschalten. Jeder Proxmox entscheidet selbst, ob PermLens dort ändern darf.Several Proxmox hosts in one interface, switch at the top. Each host decides for itself whether PermLens may change things there.

AnmeldungLogin

Zwei-FaktorTwo-factor

Zwei-Faktor-Anmeldung mit einer Authenticator-App (TOTP), dazu Ersatz-Codes.Two-factor login with an authenticator app (TOTP), plus backup codes.

Updates

Hinweis auf neue VersionenNew-version notice

Ein Hinweis in der Fußzeile, wenn es eine neue Version gibt. Eingespielt wird nichts von selbst, das Update machst du über Dockhand (Pull → Redeploy). Abschaltbar.A notice in the footer when a new version is out. Nothing is installed by itself; you update via Dockhand (pull → redeploy). Can be switched off.

EinrichtungSetup

Genau zwei ÄnderungenExactly two changes

• Ein Befehl in der Proxmox-Shell lädt ein kurzes Script über HTTPS, nur vom Zertifikat deines PermLens (--pinnedpubkey), und führt es nur aus, wenn seine Prüfsumme stimmt.One command in the Proxmox shell downloads a short script over HTTPS, only from your PermLens’ certificate (--pinnedpubkey), and runs it only if its checksum matches.
• Neu: das Wächter-Script /usr/local/sbin/permlens-guard.New: the guard script /usr/local/sbin/permlens-guard.
• Eine Zeile mehr in /root/.ssh/authorized_keys. Nichts wird gelöscht oder überschrieben.One extra line in /root/.ssh/authorized_keys. Nothing is deleted or overwritten.
• Der Befehl gilt eine Stunde und nur einmal.The command is valid for one hour and only once.

Der SchlüsselThe key

Fest an den Wächter gebundenBound to the guard

• command=: Egal was PermLens schickt, es startet immer nur der Wächter. Eine Shell gibt es nicht.command=: whatever PermLens sends, only the guard starts. There is no shell.
• restrict: keine Weiterleitungen, kein Terminal.restrict: no forwarding, no terminal.
• from=: gilt nur von der Adresse des PermLens-LXC aus.from=: only valid from the PermLens LXC’s address.
• Jeder Aufruf steht im Systemprotokoll: journalctl -t permlens.Every call is logged: journalctl -t permlens.

ErlaubtAllowed

Lesen, feste ListeReading, fixed list

• Lesen ist immer erlaubt, nach einer festen Liste (Wächter-Script Version 8, ab PermLens 1.1.0).Reading is always allowed, from a fixed list (guard script version 8, from PermLens 1.1.0).
• Docker-Einblick mit gefilterten Feldern: Name, Image, Benutzer, Ordner. Umgebungsvariablen nie, außer Nummern wie PUID.Docker insight with filtered fields: name, image, user, folders. Never environment variables, except numbers such as PUID.
• Container-Liste und -Einstellungen, Benutzer und Gruppen, Mounts, /etc/subuid und /etc/subgid, im Container Samba- und NFS-Einstellungen.Container list and settings, users and groups, mounts, /etc/subuid and /etc/subgid, Samba and NFS settings inside the container.
• Besitzer und Rechte nur der Ordner, die in Container eingehängt sind, nie deren Inhalt.Owner and permissions of only the folders mounted into containers, never their content.
• Gegenprobe: im Container als ein Benutzer fragen, ob Lesen oder Schreiben erlaubt ist (test -r, -w, -x). Dabei wird nichts geschrieben.Cross-check: ask inside the container as a given user whether reading or writing is allowed (test -r, -w, -x). Nothing is written.
• Keine Passwortdateien, kein freier Befehl, Sonderzeichen wirken nicht.No password files, no free-form commands, special characters have no effect.

Konsole · ab 1.1.0Console · from 1.1.0

Nachschauen ohne ShellLook up without a shell

• Im Container nur id, getent … <Name>, ls -lnd, df -hP, stat und getfacl.Inside the container only id, getent … <name>, ls -lnd, df -hP, stat and getfacl.
• Dateinamen (ls -ln) nur in Containern aus der Schalter-Datei.File names (ls -ln) only in containers listed in the switch file.
• Docker nur über eigene Befehle mit fester Ausgabe.Docker only through its own commands with fixed output.
• Keine Shell, keine Dateiinhalte.No shell, no file contents.

NieNever

Was ausdrücklich nicht passiertWhat explicitly does not happen

• Keine Pakete, keine Dienste neu starten, sshd_config und Firewall bleiben unberührt.No packages, no service restarts, sshd_config and firewall stay untouched.
• Nichts an Cluster, Corosync, HA, Storage, Containern oder VMs.Nothing on cluster, Corosync, HA, storage, containers or VMs.
• Keine API-Tokens, keine Passwörter.No API tokens, no passwords.

ClusterCluster

Gilt für alle KnotenApplies to all nodes

• authorized_keys ist bei Proxmox ein Link nach /etc/pve/priv/ und gilt im ganzen Cluster.On Proxmox, authorized_keys is a link into /etc/pve/priv/ and applies to the whole cluster.
• Der Wächter liegt nur auf einem Knoten. Auf den anderen bricht die Anmeldung mit dem PermLens-Schlüssel ab.The guard lives on one node only. On the others, login with the PermLens key fails.
• Beim Entfernen nur die Zeile mit permlens löschen und nicht sed -i verwenden, sonst geht der Link verloren.When removing, delete only the line ending in permlens and do not use sed -i, or the link is lost.

ÄndernChanging

Nur mit deinem SchalterOnly with your switch

• Ändern geht nur, wenn du auf dem Host /etc/permlens/schreiben-erlaubt anlegst, und nur für die Container, die du darin einträgst (Nummern und Bereiche, z. B. 140,150-152). Löschen schaltet es sofort ab.Changing only works once you create /etc/permlens/schreiben-erlaubt on the host, and only for the containers you list in it (numbers and ranges, e.g. 140,150-152). Deleting it switches it off at once.
• Nur im Container, nur in eingehängten Ordnern und unter /home. Nie root, Systemkonten oder Passwörter.Only inside the container, only in mounted folders and under /home. Never root, system accounts or passwords.
• Vor Änderungen an ganzen Ordnerbäumen sichert PermLens Besitzer, Rechte und ACLs.Before changing whole folder trees, PermLens backs up owner, permissions and ACLs.
• Host-Einstellungen (idmap, subuid) sind eine eigene, gefährlichere Stufe. Dafür zeigt PermLens bisher nur die Befehle (Mapping-Assistent).Host settings (idmap, subuid) are a separate, more dangerous level. For these PermLens only shows the commands so far (mapping assistant).
• Mehrere Proxmox: Jeder bekommt sein eigenes Wächter-Script und entscheidet mit seiner eigenen Schalter-Datei, ob PermLens dort ändern darf.Several hosts: each gets its own guard script and decides with its own switch file whether PermLens may change things there.