Hilfe!!! Ich habe mich aus dem DSM ausgesperrt ;)

[rexxxx]

Hallo,
ich habe vorhin ein wenig meine Benutzer bereinigt, die sich im Laufe der Zeit angesammelt haben.
Dabei habe ich auch im Bereich der Gruppen die "users" Gruppe bearbeitet.

Da ich den normalen Nutzer als Standard keinen Zugriff auf die Webdienste geben wollte, haben ich dort die Zugriffe für DSM, Filestation, Audiostation etc auf "Verweigert" gestellt und bestätigt.

Kurz darauf wurde ich ausgeloggt und komme auch nicht mehr rein.
Weil scheinbar der admin auch zu den Usern gehört und seine Berechtigungen der Gruppe Users unterliegen.
Macht für mich zwar keinen Sinn, warum das so ist, aber so erkläre ich es mir, dass diese Anpassung den admin und auch mein Ersatz Administrator Konto beeinflussen konnte.

Ich habe noch immer vollen SSH zugriff und komme an alles dran, meine Frage ist nun, wo ist die Gruppenbereechtigung für die Webdienste gespeichert, damit ich das rückgängig machen kann.

Danke!

 

[wegomyway]

hilft da der Reset 1 weiter ?
Damit wird der Systemadmin aktiviert und damit kommt man wieder rauf/rein.

 

[ottosykora]

versuche vielleicht zuerst den einfachen Reset zu machen, dann wird der original admin erreicht

 

[wegomyway]

https://www.synology-forum.de/threads/passwort-verloren.135665/post-1197373

 

[rexxxx]

@ottosylora
Wenn möglich möchte ich das umgehen, da dabei auch Netzwerkkonfigurationen zurückgesetzt werden laut Synology. Habe auch daran gedacht, aber das wäre die allerletzte Möglichkeit. Ich möchte auch die anderen Nutzer nicht gefährden.

Es muss einen Weg über SSH geben, die Gruppe wieder sauberzumachen.
Habe parallel mit dem Chatbot bei Synology gesprochen und ein Ticken geöffnet.

Der Bot hat einen interessanten Befehl ausgespuckt (synouser --setprivilege Users DSM allow)
leider gibt es den Parameter -setprivilege nicht.

 

[Benie]

Es wird Dir nur der kleine Reset helfen, und soviel muß man da nicht an Netzwerkeinstellungen durchführen. Hast Du eh schon alles mal gemacht.
Synology Assistenten auf dem PC installieren und damit verbinden.

 

[rexxxx]

@Benie
Wenn ich bis morgen Mittag keine alternative habe, werde ich das auch machen.

Es ist aber schon komisch, dass man die Admins damit aussperren kann. Das ganze erscheint mir schon ziemlich merkwürdig, vor allem da ich da kein Einzelfall bin, soweit ich das sehe.

Habe vorhin mal einen User erstellt, der nur in der Admingruppe ist und auch der kommt nicht rein, obwohl er kein Mitglied in der Users-Gruppe ist. Users scheint über allen anderen zu stehen.

​

 

[ottosykora]

also irgendwie hast du etwas falsch verstanden
die Gruppe users ist eine Systemgruppe und der müssen alle User angehören
Irgendwo muss das System die User Basis verwalten können. Und an System Gruppen oder Berechtigungen fummelt man nicht. Das kann bis zu Neuinstalation führen.
System regelt hier alles korrekt.
Und nein, du kannst keinen User haben der nur der Admin Gruppe angehört aber nicht in der users Liste verzeichnet ist.
Das hier ist Linux als Grundlage, aber eigentlich ist es bei anderen Systemen nicht viel anders.

Kleiner reset
was macht dir da Sorgen? Ja, Netzwerk wird auf DHCP umgestellt für den Fall dass du eine fixe IP zugeteilt hast. Und wo ist das Problem? Du kommst auf deine NAS und schreibst die fixe IP wieder rein.
Ist das ein Problem? Dauert doch keine 2 Minuten.


Bitte suche nicht Probleme wo es solche gar nicht gibt.

 

[Benie]

Habe vorhin mal einen User erstellt, der nur in der Admingruppe ist

Gibt es nicht der ist grundsätzlich auch Mitglied der Gruppe Users.

Ich denke, daß ydu an den falschen Rädchen gedreht hast. Die 3 Grundliehenden Gruppen darf man nicht verändern wenn man nicht in Teufels Küche kommen will.

So und nun zur einzigen Möglichkeit die Du hast kleiner Reset Mode 1 durchführen.

 

[Stationary]

Es ist zwar schon alles gesagt worden, noch nicht von jedem…im Terminal werden die Gruppen üblicherweise nicht mit dem Befehl synouser modifiziert, sondern mit dem Befehl synogroup, in Deinem Fall “synogroup --member groupname username”
siehe CLI Administrator Guide for Synology NAS.
Auch wenn das geht, würde ich persönlich das nicht machen, sondern über den kleinen Reset gehen. Bei synogroup mußt Du nämlich meines Wissens immer die ganzen Mitglieder der Gruppe auflisten, wenn Du da einen vergißt, dann geht hinterher etwas anderes nicht.
Bei synouser gibt es kein --setprivilege, es gibt --modify und dann den Parameter app_privilege, da brauchst Du dann aber Codes für die verschiedenen Anwendungen, die Du dann entsprechend aufaddieren mußt. Beispiel: FTP 0x01, Filestation 0x02. Ein user der zu beidem Zugang haben soll braucht also das Privileg 0x03.

 

[rexxxx]

Nachdem ich noch lange nach alternative gesucht habe, habe ich jetzt den Reset Mode 1 durch geführt und ihr hattet Recht, ich habe mir umsonst Sorgen gemacht.

Danke für die Hilfe.

 

[metalworker]

Super das es wieder läuft .

allgemein kann man sagen . Beim Rechte Blockieren immer genau aufpassen.
Gerade Synlogy ist beim Thema User Rechte echt ne Zicke.

Ist wie bei Firewall regeln , immer schauen das man sich nicht selbst aussperrt.

 

[rexxxx]

Was mich an der Nummer stört ist, dass es keine echte Lösung für solche Fälle über SSH gibt. Weil man ja eigentlich über SSH alle wieder grade gebogen bekommen sollte.

 

[metalworker]

Gehen tut da schon , da müsste man den CLI Guide von Synology sich mal anschauen. Zur Not mal beim Support nachfragen.

 

[Stationary]

Die SSH Lösung steht in Post #10. Nur daß Du da sehr genau wissen mußt, was Du tust. Also eher nichts für Leute, die sich schon mit einem GUI selbst aussperren…

 

[rexxxx]

Beim Support hatte ich gezielt danach gefragt, aber da hab ich auch nur den Reset Mode 1 als Antwort bekommen.

Soweit ich das gesehen habe, gibt es unter/etc die date/ sql Datenbank synoappprivilege.db
Da drin sind diese Berechtigungen wohl verknüpft mit den usern.
Das hat dann aber meine Fähigkeiten überstiegen.
Und da über all steht reset mode 1 und danach waren alle wieder glücklich hab ich mir gedacht, dass ich genug Zeit mit meinem Dickschädel verschwendet habe.

 

[Stationary]

Es ist doch klar, daß Dir als Endkunde der Support nur die einfache und für den “gemeinen Nutzer” vorgesehene Lösung gibt. Die wollen sich doch nicht die Probleme aufhalsen, wenn Du über SSH alles bis zum kompletten Datenverlust zerschießt.

 

[wegomyway]

@rexxxx, Erkenntnis erlangt, Problem angegangen, Problem beseitigt.
Fazit: läuft

 

[rexxxx]

@wegomyway
Ja, es liegt nur in meiner Natur, dass ich an so Sachen hängen bleibe. Tief hinten in meinem Kopf will ich wissen, wie es trotzdem gehen kann. Aber aktuell habe ich genug andere Themen, die eine höhere Prio haben.

Das ist das Los des Entwicklers. Man möchte es auch verstehen, auch wenn es unwichtig ist. Aber man sollte auch nicht jedem Unsinn hinterherlaufen, weil es vergeudete Lebenszeit ist
Das hier ist so ein Fall.

​