융융이'Blog

결론컨테이너가 정상 실행됐지만 사진 공유 폴더를 읽지 못한 근본 원인은 컨테이너의 임의 UID/GID와 Synology DSM에서 읽기 권한을 받은 서비스 계정의 UID/GID가 일치하지 않았기 때문이었다.DSM 마스터 계정이나 root로 실행하지 않고, 다음 방식으로 해결했다.관리자 그룹에 속하지 않은 DSM 전용 서비스 계정을 만든다.테스트 사진 공유 폴더에만 읽기 권한을 준다.전용 계정의 실제 UID/GID를 확인한다.그 값을 Compose의 컨테이너 실행 사용자에 매핑한다.읽기 성공과 쓰기 실패를 각각 재검증한다.핵심은 “Permission denied를 없애는 것”이 아니라 “필요한 사용자만 읽고 누구도 이 경로를 쓰지 못하는 상태”를 만드는 것이었다.현상과 영향Photo MCP 컨테이너는 시작..

한 문장 정의UID와 GID는 Linux가 사용자와 그룹을 구분하는 숫자 신분증이고, ACL은 특정 사용자와 그룹이 파일이나 디렉터리에 어떤 작업을 할 수 있는지 표현하는 권한 목록이다.이 개념이 중요한 이유Docker 컨테이너가 정상적으로 실행되고 NAS 폴더가 컨테이너에 마운트됐는데도 Permission denied가 발생할 수 있다.이때 흔히 다음과 같이 생각하기 쉽다.“컨테이너 안에 mcp라는 사용자가 있고 비루트로 실행했으니 권한 설정이 끝난 것 아닌가?”하지만 Linux 파일시스템은 대부분 사용자 이름보다 숫자 UID와 GID를 기준으로 접근 권한을 판단한다. 컨테이너 안의 사용자 이름과 Synology DSM의 사용자 이름이 같아 보여도 숫자 ID가 다르면 같은 신분으로 취급되지 않는다.이 ..

ACL란? 특정 트래픽을 필터링을 하는 것을 최종 목적이다. 라우터의 패킷 처리 순서 ACL( permit, deny ) NAT Routing( 경로 선택, 패킷 포워딩 ) Standard: 패킷의 출발지 IP만을 확인한뒤 해당 패킷을 Permit 또는 Deny 한다. 서비스에 대해서 all or nothing access-list 1 permit 192.168.101.0 0.0.0.255 : 와일드 카드로 설정 ( 설명 : https://gmldbd94.tistory.com/107) Extended : 출발지 IP(Source), 도착지 IP(Destination) , SRC PORT , DST port...(L3, L4) 주로 클라우드에서는 extended 방식을 적용하여 허용하고자 하는 서비스를 오..