PaperlessNGX in docker container op proxmox

[The-dragon]

Hi Tweakers,

Ik zit al een aantal dagen te sukkelen om PaperlessNGX werkend te krijgen.
De Situatie: proxmox -> LXC met docker/portainer -> hierop wil ik een container met PaperlessNGX.
Ik heb op Truenas een NFS share gemaakt, deze gemount naar proxmox en binnen proxmox opnieuw
gemount naar docker LXC.




via de Shell in proxmox kan ik deze share benaderen, de mappen op de nfsshare zijn ook te zien

code:

root@docker:~# cd /
root@docker:/# ls -all
total 81
drwxr-xr-x  20 root   root     4096 May 21 11:40 .
drwxr-xr-x  20 root   root     4096 May 21 11:40 ..
lrwxrwxrwx   1 root   root        7 Dec 19 20:43 bin -> usr/bin
drwxr-xr-x   2 root   root     4096 Dec  9 20:15 boot
drwxr-xr-x   6 root   root      480 May 21 11:20 dev
drwxr-xr-x   5   1000    1000  4096 May 21 00:08 documents
drwxr-xr-x  72 root   root     4096 May 21 11:20 etc
drwxr-xr-x   2 root   root     4096 Dec  9 20:15 home
lrwxrwxrwx   1 root   root        7 Dec 19 20:43 lib -> usr/lib
lrwxrwxrwx   1 root   root        9 Dec 19 20:43 lib32 -> usr/lib32
lrwxrwxrwx   1 root   root        9 Dec 19 20:43 lib64 -> usr/lib64
lrwxrwxrwx   1 root   root       10 Dec 19 20:43 libx32 -> usr/libx32
drwx------   2 nobody nogroup 16384 May 20 23:39 lost+found
drwxr-xr-x   2 root   root     4096 Dec 19 20:43 media
drwxr-xr-x   2 root   root     4096 Dec 19 20:43 mnt
drwxr-xr-x   3 root   root     4096 May 20 23:40 opt
drwxrwxrwx   9 nobody nogroup     9 May 21 11:35 paperlessngx
dr-xr-xr-x 506 nobody nogroup     0 May 21 11:20 proc
drwx------   3 root   root     4096 May 21 00:02 root
drwxr-xr-x  17 root   root      580 May 21 11:20 run
lrwxrwxrwx   1 root   root        8 Dec 19 20:43 sbin -> usr/sbin
drwxr-xr-x   2 root   root     4096 Dec 19 20:43 srv
dr-xr-xr-x  13 nobody nogroup     0 May 21 11:20 sys
drwxrwxrwt   9 root   root     4096 May 21 11:20 tmp
drwxr-xr-x  14 root   root     4096 Dec 19 20:43 usr
drwxr-xr-x  11 root   root     4096 Dec 19 20:43 var
root@docker:/# cd /paperlessngx
root@docker:/paperlessngx# ls -all
total 16
drwxrwxrwx  9 nobody nogroup    9 May 21 11:35 .
drwxr-xr-x 20 root   root    4096 May 21 11:40 ..
drwxrwxrwx  2 nobody nogroup    2 May 20 23:35 consume
drwxrwxrwx  2 nobody nogroup    2 May 20 23:35 data
drwxrwxrwx  2 nobody nogroup    2 May 20 23:35 db
drwxrwxrwx  2 nobody nogroup    2 May 20 23:35 export
drwxr-xr-x  2 nobody nogroup    2 May 21 11:35 images
drwxrwxrwx  2 nobody nogroup    2 May 20 23:35 media
drwxrwxrwx  2 nobody nogroup    2 May 20 23:36 redis
root@docker:/paperlessngx#

...

Dit is de code die ik gebruik in de Portainer Stacks Web editor.

code:

version: "3.6"
services:
  redis:
    image: redis
    container_name: PaperlessNGX-REDIS
    restart: always
    volumes:
      - /paperlessngx/redis:/data

  db:
    image: postgres
    container_name: PaperlessNGX-DB
    restart: always
    volumes:
      - /paperlessngx/db:/var/lib/postgresql/data
    environment:
      POSTGRES_DB: paperless
      POSTGRES_USER: paperless
      POSTGRES_PASSWORD: paperless

  webserver:
    image: ghcr.io/paperless-ngx/paperless-ngx
    container_name: PaperlessNGX
    restart: always
    depends_on:
      - db
      - redis
      - gotenberg
      - tika
    ports:
      - 8777:8000
    volumes:
      - /paperlessngx/data:/usr/src/paperless/data
      - /paperlessngx/media:/usr/src/paperless/media
      - /paperlessngx/export:/usr/src/paperless/export
      - /paperlessngx/consume:/usr/src/paperless/consume
    environment:
      PAPERLESS_REDIS: redis://redis:6379
      PAPERLESS_DBHOST: db
      USERMAP_UID: 1026
      USERMAP_GID: 100
      PAPERLESS_TIME_ZONE: Europe/Brussels
      PAPERLESS_ADMIN_USER: admin
      PAPERLESS_ADMIN_PASSWORD: admin
      PAPERLESS_OCR_LANGUAGE: deu+eng
      PAPERLESS_TIKA_ENABLED: 1
      PAPERLESS_TIKA_GOTENBERG_ENDPOINT: http://gotenberg:3000/forms/libreoffice/convert#
      PAPERLESS_TIKA_ENDPOINT: http://tika:9998

  gotenberg:
    image: gotenberg/gotenberg
    restart: always
    container_name: PaperlessNGX-GOTENBERG
    ports:
      - 3000:3000
    command:
      - "gotenberg"
      - "--chromium-disable-routes=true"
  
  tika:
    image: ghcr.io/paperless-ngx/tika
    container_name: PaperlessNGX-TIKA
    ports:
      - 9998:9998
    restart: always

Na het deployen runnen alle containers, maar kan ik geen verbinding maken met de container
http://local-ip-adress:8777




Relevante software en hardware die ik gebruik
Proxmox 7.4-3
Truenas Scale
Docker LXC op proxmox

Wat doe ik verkeerd?

[Hero of Time]

Wat zie je in de logs van de verschillende containers? Je verwijst ook met poorten naar Tika en Gotenberg, maar hoe maakt de webserver verbinding met de database en redis? Want daar geef je geen PAT op zoals je dat met de andere wel doet.

En bovenal, ga je ook naar poort 8000 of 8777 voor je webserver? Ik zie bij de screenshot namelijk geen poortnummer in het adres.

[The-dragon]

Hero of Time schreef op zondag 21 mei 2023 @ 13:33:
Wat zie je in de logs van de verschillende containers? Je verwijst ook met poorten naar Tika en Gotenberg, maar hoe maakt de webserver verbinding met de database en redis? Want daar geef je geen PAT op zoals je dat met de andere wel doet.

En bovenal, ga je ook naar poort 8000 of 8777 voor je webserver? Ik zie bij de screenshot namelijk geen poortnummer in het adres.

Uiteraard ga ik naar poort 8777, chrome laat dit enkel zien in het adresbalk

dit komt er uit de log:
Container: PaperlessNGX

code:

Waiting for Redis...
Redis ping #0 failed.
Error: Error 111 connecting to redis:6379. Connection refused..
Waiting 5s
Redis ping #1 failed.
Error: Error -2 connecting to redis:6379. Name or service not known..
Waiting 5s
Redis ping #2 failed.
Error: Error -2 connecting to redis:6379. Name or service not known..
Waiting 5s
Redis ping #3 failed.
Error: Error -2 connecting to redis:6379. Name or service not known..
Waiting 5s
Redis ping #4 failed.
Error: Error -2 connecting to redis:6379. Name or service not known..
Waiting 5s
Failed to connect to redis using environment variable PAPERLESS_REDIS.
Paperless-ngx docker container starting...
Creating directory /tmp/paperless
Adjusting permissions of paperless files. This may take a while.
chown: changing ownership of '/usr/src/paperless/export': Operation not permitted
chown: changing ownership of '/usr/src/paperless/data': Operation not permitted
chown: changing ownership of '/usr/src/paperless/data/index': Operation not permitted
chown: changing ownership of '/usr/src/paperless/media': Operation not permitted
chown: changing ownership of '/usr/src/paperless/media/documents': Operation not permitted
chown: changing ownership of '/usr/src/paperless/media/documents/originals': Operation not permitted
chown: changing ownership of '/usr/src/paperless/media/documents/thumbnails': Operation not permitted
chown: changing ownership of '/usr/src/paperless/consume': Operation not permitted

Container: PaperlessNGXGOTENBERG

code:

  _____     __           __               
 / ___/__  / /____ ___  / /  ___ _______ _
/ (_ / _ \/ __/ -_) _ \/ _ \/ -_) __/ _ '/
\___/\___/\__/\__/_//_/_.__/\__/_/  \_, / 
                                   /___/
A Docker-powered stateless API for PDF files.
Version: 7.8.2
-------------------------------------------------------
[SYSTEM] modules: api chromium gc libreoffice logging pdfcpu pdfengines pdftk prometheus qpdf uno uno-pdfengine webhook 
[SYSTEM] api: server listening on port 3000
[SYSTEM] gc: application started
[SYSTEM] uno: long-running LibreOffice listener ready to start
[SYSTEM] prometheus: collecting metrics
[SYSTEM] pdfengines: pdfcpu pdftk qpdf uno-pdfengine

Container:PaperlessNGX-DB

code:

chmod: changing permissions of '/var/lib/postgresql/data': Operation not permitted
chown: changing ownership of '/var/lib/postgresql/data': Operation not permitted
chmod: changing permissions of '/var/lib/postgresql/data': Operation not permitted
chown: changing ownership of '/var/lib/postgresql/data': Operation not permitted
chmod: changing permissions of '/var/lib/postgresql/data': Operation not permitted
chown: changing ownership of '/var/lib/postgresql/data': Operation not permitted
chmod: changing permissions of '/var/lib/postgresql/data': Operation not permitted
chown: changing ownership of '/var/lib/postgresql/data': Operation not permitted

Container: PaperlessNGX-TIKA

code:

INFO  [main] 11:34:40,781 org.apache.tika.server.core.TikaServerProcess Starting Apache Tika 2.7.0 server
INFO  [main] 11:34:41,011 org.apache.tika.server.core.TikaServerProcess loading resource from SPI: class org.apache.tika.server.standard.resource.XMPMetadataResource
May 21, 2023 11:34:41 AM org.apache.cxf.endpoint.ServerImpl initDestination
INFO: Setting the server's publish address to be http://0.0.0.0:9998/
INFO  [main] 11:34:41,321 org.eclipse.jetty.util.log Logging initialized @1967ms to org.eclipse.jetty.util.log.Slf4jLog
INFO  [main] 11:34:41,371 org.eclipse.jetty.server.Server jetty-9.4.50.v20221201; built: 2022-12-01T22:07:03.915Z; git: da9a0b30691a45daf90a9f17b5defa2f1434f882; jvm 17.0.6+10-Ubuntu-0ubuntu122.04
INFO  [main] 11:34:41,393 org.eclipse.jetty.server.AbstractConnector Started ServerConnector@3cc20577{HTTP/1.1, (http/1.1)}{0.0.0.0:9998}
INFO  [main] 11:34:41,393 org.eclipse.jetty.server.Server Started @2041ms
WARN  [main] 11:34:41,397 org.eclipse.jetty.server.handler.ContextHandler Empty contextPath
INFO  [main] 11:34:41,425 org.eclipse.jetty.server.handler.ContextHandler Started o.e.j.s.h.ContextHandler@3605c4d3{/,null,AVAILABLE}
INFO  [main] 11:34:41,439 org.apache.tika.server.core.TikaServerProcess Started Apache Tika server 9b438da7-f881-4456-b5da-c256d69dba13 at http://0.0.0.0:9998/

Container: PaperlessNGX-REDIS

code:

chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted
chown: changing ownership of '.': Operation not permitted

Blijkt dat het een toegangsprobleem is tot de folders.
In truenas heb ik een user "paperless" UID 1026 aangemaakt en deze toegevoegd aan de groep "users" GID 100 en deze eigenaar gemaakt van de NFS share.

[Hero of Time]

Wat je ook hebt gedaan, een hele hoop dingen mogen niet. Ik weet ook niet in hoeverre een container of VM die gebruik maakt van een locatie op het host OS dat effectief weer een NFS share is een chown op zaken mag uitvoeren. Lijkt mij dat het host OS dat tegenhoud om te voorkomen dat data spontaan onbereikbaar wordt voor zichzelf of data lekt naar onbedoelde gebruikers.

Maar ook je Redis is niet toegankelijk.
En in je database wil iets de rechten en eigenaar van de database bestanden zelf wijzigen. Klinkt ook niet als iets dat standaard nodig is. De database draait als een specifieke gebruiker en als de data bestanden opeens van iemand anders zijn, is het niet meer te lezen. En het zal wellicht zoals o.a. openssh weigeren te starten als de rechten te open zijn.

Je hebt iig nogal wat uit te zoeken qua rechten en wat de boel nou werkelijk wil doen.

[The-dragon]

ik heb deze toturial als basis genomen, als ik de code uit de tutorial copy/paste, dan werkt het gewoon.. maar dan staan mijn documenten in de container ipv op mijn nfs share.

https://mariushosting.com...ith-office-files-support/
hier heb je de code uit de tutorial, ik heb enkel de volumes aangepast, meer niet.

code:

version: "3.6"
services:
  redis:
    image: redis
    container_name: PaperlessNGX-REDIS
    restart: always
    volumes:
      - /volume1/docker/paperlessngx/redis:/data

  db:
    image: postgres
    container_name: PaperlessNGX-DB
    restart: always
    volumes:
      - /volume1/docker/paperlessngx/db:/var/lib/postgresql/data
    environment:
      POSTGRES_DB: paperless
      POSTGRES_USER: paperless
      POSTGRES_PASSWORD: paperless

  webserver:
    image: ghcr.io/paperless-ngx/paperless-ngx
    container_name: PaperlessNGX
    restart: always
    depends_on:
      - db
      - redis
      - gotenberg
      - tika
    ports:
      - 8777:8000
    volumes:
      - /volume1/docker/paperlessngx/data:/usr/src/paperless/data
      - /volume1/docker/paperlessngx/media:/usr/src/paperless/media
      - /volume1/docker/paperlessngx/export:/usr/src/paperless/export
      - /volume1/docker/paperlessngx/consume:/usr/src/paperless/consume
    environment:
      PAPERLESS_REDIS: redis://redis:6379
      PAPERLESS_DBHOST: db
      USERMAP_UID: 1026
      USERMAP_GID: 100
      PAPERLESS_TIME_ZONE: Europe/Bucharest
      PAPERLESS_ADMIN_USER: marius
      PAPERLESS_ADMIN_PASSWORD: mariushosting
      PAPERLESS_OCR_LANGUAGE: deu+eng
      PAPERLESS_TIKA_ENABLED: 1
      PAPERLESS_TIKA_GOTENBERG_ENDPOINT: http://gotenberg:3000/forms/libreoffice/convert#
      PAPERLESS_TIKA_ENDPOINT: http://tika:9998

  gotenberg:
    image: gotenberg/gotenberg
    restart: always
    container_name: PaperlessNGX-GOTENBERG
    ports:
      - 3000:3000
    command:
      - "gotenberg"
      - "--chromium-disable-routes=true"
  
  tika:
    image: ghcr.io/paperless-ngx/tika
    container_name: PaperlessNGX-TIKA
    ports:
      - 9998:9998
    restart: always

Klinkt misschien allemaal dom, maar ben totaal niet thuis in Docker en dit soort materie.

[Hero of Time]

Weet je zeker dat ook zaken als Redis en Postgres werken met die config en je ook echt alleen de volumes voor de webserver hebt aangepast? Begin dan eerst met de volumes naar een lokaal pad van het host OS te sturen, ipv een NFS locatie. Anders kan je net zo goed direct NFS in je container gebruiken.

En ik ben ook niet bekend met containers e.d., maar kan wel zaken debuggen.

[itons]

Ik denk dat dit komt door de UID en GIDs in de container niet hetzelfde zijn

https://denibertovic.com/...ions-with-docker-volumes/
https://medium.com/@niels...-permissions-772c1aee23ca

[The-dragon]

Hero of Time schreef op zondag 21 mei 2023 @ 14:39:
Weet je zeker dat ook zaken als Redis en Postgres werken met die config en je ook echt alleen de volumes voor de webserver hebt aangepast? Begin dan eerst met de volumes naar een lokaal pad van het host OS te sturen, ipv een NFS locatie. Anders kan je net zo goed direct NFS in je container gebruiken.

En ik ben ook niet bekend met containers e.d., maar kan wel zaken debuggen.

deze werkt weldegelijk als ik de config cop/paste van de tutorial.

[Hero of Time]

The-dragon schreef op zondag 21 mei 2023 @ 15:32:
[...]

deze werkt weldegelijk als ik de config cop/paste van de tutorial.
[Afbeelding]

Als je echt alleen de volumes voor de data van Paperless hebt aangepast, zouden Postgresql en Redis geen foutmeldingen uit moeten spugen over permission denied en operation not permitted. Toch gebeurde dat, dus je zal dan wel meer hebben aangepast dan alleen wat data locaties voor de applicatie zelf.

En dat heb je ook gedaan. En daardoor is de boel stuk gegaan. Want zoals ik al suggereerde, de applicaties wil rechten aanpassen op je NFS die door de host gebruikt wordt. Dat mag niet.

[The-dragon]

Hero of Time schreef op zondag 21 mei 2023 @ 16:14:
[...]

Als je echt alleen de volumes voor de data van Paperless hebt aangepast, zouden Postgresql en Redis geen foutmeldingen uit moeten spugen over permission denied en operation not permitted. Toch gebeurde dat, dus je zal dan wel meer hebben aangepast dan alleen wat data locaties voor de applicatie zelf.

En dat heb je ook gedaan. En daardoor is de boel stuk gegaan. Want zoals ik al suggereerde, de applicaties wil rechten aanpassen op je NFS die door de host gebruikt wordt. Dat mag niet.

klopt, heb het zonet nogmaals een kans gegeven en heb de Postgresql en Redis een locale map gegeven en de rest naar een nfs share en nu werkt het.

[oxyra]

Root squash is a special mapping that maps remote root user (uid 0) to local "nobody" user (uid 65534), which has minimal privileges.

Check in een werkende versie van je container als wat voor user het process en wat voor permissies de files hebben.

code:

docker exec -it your_container_name /bin/bash
id
ls -la /yourfiles

Als dit de root user is, zorg dat je nfs share exported is met no_root_squash zodat permissies werken.
En chown alle data van nobody:nogroup naar root:root

Dit is uiteraard niet perfect voor security.

Oplossing extend Dockerfile en draai process als niet root.
Of no_root_squash als je begrijpt wat de risico's hiervan zijn.

Als het process in de container niet als root draait maar als wat specified is met
USERMAP_UID: 1026
USERMAP_GID: 100

Files chownen naar 1026:100

[ Voor 24% gewijzigd door oxyra op 25-05-2023 18:26 ]