patrick
wants to merge 3 commits from feature/ret-15-echter-ende-zu-ende-nachweis-storage-object-lock-chattr-faehiger-host into docs/ret-11-nachtrag-chattr-untersuchung
AC1/AC2: kein chattr-faehiger (privilegierter) Host gefunden. Repoweite Suche nach dokumentierten Hosts ergab 131, 204, 236 -- alle drei unprivilegierte LXC-Container (bestaetigt: systemd-detect-virt=lxc, uid_map 0 100000 65536 auf Host 236). Realer EPERM-Test auf Host 236 durchgefuehrt, identisches Ergebnis wie 131/204.
AC3: Ergebnis als zweiter Nachtrag-Abschnitt ("RET-15 Nachtrag: Host-Suche und Ergebnis", 2026-10-16) in archive/docs/RET-11-NACHTRAG-CHATTR-UNTERSUCHUNG.md ergaenzt, kein Paralleldokument.
Offene Bedingung dokumentiert: nur ein tatsaechlich privilegierter Host/Container ODER ein S3/MinIO Compliance-Mode Architekturwechsel wuerde den Nachweis ermoeglichen.
Base ist PR #312 (noch offen) da dieser RET-15-Branch auf dessen Nachtrag-Datei aufbaut -- erst #312 mergen, dann diesen PR gegen main neu stellen/mergen.
AC1/AC2: kein chattr-faehiger (privilegierter) Host gefunden. Repoweite Suche nach dokumentierten Hosts ergab 131, 204, 236 -- alle drei unprivilegierte LXC-Container (bestaetigt: systemd-detect-virt=lxc, uid_map 0 100000 65536 auf Host 236). Realer EPERM-Test auf Host 236 durchgefuehrt, identisches Ergebnis wie 131/204.
AC3: Ergebnis als zweiter Nachtrag-Abschnitt ("RET-15 Nachtrag: Host-Suche und Ergebnis", 2026-10-16) in archive/docs/RET-11-NACHTRAG-CHATTR-UNTERSUCHUNG.md ergaenzt, kein Paralleldokument.
Offene Bedingung dokumentiert: nur ein tatsaechlich privilegierter Host/Container ODER ein S3/MinIO Compliance-Mode Architekturwechsel wuerde den Nachweis ermoeglichen.
Base ist PR #312 (noch offen) da dieser RET-15-Branch auf dessen Nachtrag-Datei aufbaut -- erst #312 mergen, dann diesen PR gegen main neu stellen/mergen.
🤖 Generated with [Claude Code](https://claude.com/claude-code)
patrick
added 2 commits 2026-10-16 21:09:43 +02:00
Reale Reproduktion auf Host 204 (chattr, roher FS_IOC_SETFLAGS-Ioctl,
Gegenprobe auf tmpfs im selben Container) zeigt: Ursache ist der
unprivilegierte LXC-Container (capable(CAP_LINUX_IMMUTABLE) prueft
immer gegen den Host-Namespace, nicht gegen den Container), nicht ZFS
wie bisher in RET-11-PRUEFPROTOKOLL.md vermutet - betrifft jedes
Dateisystem im Container. Acht geprueften Alternativen (ZFS readonly/
hold, ACL/chmod, Proxmox-Features, Capabilities, verschachtelte
User-Namespaces, FUSE, externes Object-Lock-Backend) sind im
Container-Scope entweder nicht verfuegbar oder strukturell keine
vollwertige Entsprechung. Keine Aenderung an wormstore.go, da der
bestehende Fail-Closed-Mechanismus (ImmutableLockSupported) bereits
korrekt reagiert.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Suche nach einem chattr-faehigen Host im Projektkontext (131, 204
bereits bekannt unprivilegiert; zusaetzlich Host 236 geprueft) ergibt:
kein privilegierter Host verfuegbar. Host 236 ist ebenfalls ein
unprivilegierter LXC-Container (uid_map 0->100000, ZFS-Root), realer
chattr +i-Testversuch auf synthetischer Testdatei schlaegt mit EPERM
fehl, identisch zu 204/131. AC1/AC2 aus RET-15 bleiben damit offen,
dokumentiert als zweiter Nachtrag-Abschnitt in der bestehenden
RET-11-NACHTRAG-CHATTR-UNTERSUCHUNG.md (kein neues Paralleldokument).
Keine Aenderung an wormstore.go.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
PR #324 (RET-15) war nicht mergefaehig gegen seine Basis (PR #312,
docs/ret-11-nachtrag-chattr-untersuchung): Add/Add-Konflikt in
derselben Datei. Beide Seiten identisch bis auf den von RET-15 neu
angehaengten "RET-15 Nachtrag"-Abschnitt -- Original plus Anhang
behalten, keine inhaltliche Aenderung.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
AC1/AC2: kein chattr-faehiger (privilegierter) Host gefunden. Repoweite Suche nach dokumentierten Hosts ergab 131, 204, 236 -- alle drei unprivilegierte LXC-Container (bestaetigt: systemd-detect-virt=lxc, uid_map 0 100000 65536 auf Host 236). Realer EPERM-Test auf Host 236 durchgefuehrt, identisches Ergebnis wie 131/204.
AC3: Ergebnis als zweiter Nachtrag-Abschnitt ("RET-15 Nachtrag: Host-Suche und Ergebnis", 2026-10-16) in archive/docs/RET-11-NACHTRAG-CHATTR-UNTERSUCHUNG.md ergaenzt, kein Paralleldokument.
Offene Bedingung dokumentiert: nur ein tatsaechlich privilegierter Host/Container ODER ein S3/MinIO Compliance-Mode Architekturwechsel wuerde den Nachweis ermoeglichen.
Base ist PR #312 (noch offen) da dieser RET-15-Branch auf dessen Nachtrag-Datei aufbaut -- erst #312 mergen, dann diesen PR gegen main neu stellen/mergen.
🤖 Generated with Claude Code
Inhalt bereits in main enthalten (geprueft per merge_all_prs.sh: leerer Merge-Diff). Geschlossen ohne Merge.
Pull request closed