권한은 고쳤는데 새 디렉터리만 다른 group으로 생길 때

대표 증상

권한은 고쳤는데 새 디렉터리만 다른 group으로 생길 때 상황은 하나의 설정값만 틀린 문제가 아니라 배포 경계, 런타임 상태, cache, 권한, 네트워크 경로가 함께 어긋나며 나타나는 경우가 많습니다. 검색으로 들어온 사용자는 먼저 증상을 작게 나누고, 이 가이드의 검색 의도인 기존 파일 권한은 맞지만 새로 생성되는 파일과 디렉터리의 group inheritance가 깨지는 상황을 검색한 사용자가 로그와 CLI 결과를 어떤 순서로 확인해야 하는지 정리합니다.를 기준으로 처음 확인할 신호를 정리해야 합니다.

초반에는 전체 rollback이나 무작정 재시작을 시도하기보다 영향 범위가 어느 node, Pod, job, 사용자, 경로에 묶여 있는지 확인합니다. 범위가 좁으면 최근 변경과 정상 상태를 비교하고, 범위가 넓으면 공통 의존성부터 확인하는 편이 안전합니다.

먼저 확인할 신호

가장 먼저 볼 것은 마지막 오류 줄이 아니라 같은 실패가 반복되는 경계입니다. new directory wrong group, setgid missing, umask mismatch 같은 신호를 기준으로 문제를 묶으면 로그가 길어도 root cause 후보를 줄일 수 있습니다.

• new directory wrong group 신호가 어느 경계에서 반복되는지 먼저 확인합니다.
• 최근 변경, 정상 기준, 영향 범위를 분리해서 같은 증상이 모든 대상에 나타나는지 비교합니다.
• `namei -l <path>` 결과를 정상 리소스와 비교합니다.
• 복구 전에는 rollback, restart, cache delete처럼 되돌리기 어려운 조치를 보류합니다.
• 원인 후보를 한 줄로 고정한 뒤 재발 방지 항목을 기록합니다.

로그와 CLI 예시

아래 명령은 정답을 바로 알려주는 명령이 아니라 원인을 좁히기 위한 첫 관찰 지점입니다. 명령 결과를 정상 시점 또는 같은 역할의 정상 리소스와 비교하면 재시도만 반복하는 시간을 줄일 수 있습니다.

journalctl -u <service> --since '30 min ago'
df -h && df -ih

흔한 오진

운영 장애에서 가장 위험한 패턴은 증상 이름을 곧 원인으로 착각하는 것입니다. 같은 timeout, permission denied, rollout failure라도 실제 원인은 cache, 권한 상속, Secret 범위, 오래된 client 연결, proxy header처럼 다른 층에 있을 수 있습니다.

• 증상 이름을 곧 원인으로 단정하고 cache, 권한, 네트워크, 인증 경계를 건너뛰는 것
• 로그를 더 많이 모으기 전에 정상 기준과 영향 범위를 정하지 않는 것
• 검증 없이 restart, rollback, policy 완화 같은 큰 조치를 먼저 하는 것

안전한 복구 순서

복구는 가장 작은 단위에서 시작합니다. 먼저 읽기 전용 확인으로 현재 상태를 고정하고, 그다음 영향이 제한된 리소스에서 변경을 검증합니다. 서비스 전체 재시작, cache 전체 삭제, 보안 정책 완화처럼 되돌리기 어려운 조치는 원인 후보가 좁혀진 뒤에 선택해야 합니다.

• Linux 장애는 마지막 오류 줄보다 실패가 반복되는 경계를 먼저 보면 원인 후보가 빠르게 줄어듭니다.
• 명령어 결과는 단독으로 보지 말고 정상 시점 또는 같은 역할의 정상 리소스와 비교해야 합니다.
• 복구는 전체 재시작보다 영향이 제한된 대상에서 검증한 뒤 넓히는 방식이 안전합니다.
• 장애 후에는 원인뿐 아니라 왜 감지가 늦었는지, 어떤 자동화가 비어 있었는지 남겨야 합니다.

재발 방지

장애가 끝난 뒤에는 원인 한 줄보다 “왜 그 상태가 오래 남았는지”를 기록해야 합니다. 배포 pipeline, 런타임 reload, 권한 상속, 인증서 갱신, 네트워크 정책처럼 자동화와 운영 절차 사이에 빈 곳이 있었는지 확인합니다.

Linux Storage and Filesystems, Linux Service Operations, Permission Denied, RHCSA 허브와 함께 보면 같은 증상을 다른 환경에서도 다시 진단해 볼 수 있습니다.

관련 InfraTree 문제

아래 문제들은 이 가이드의 내용을 실제 시나리오로 연습하기 위한 공개 문제입니다. 글을 읽은 뒤 문제를 풀면 신호를 먼저 나누고 복구 방향을 문장으로 정리하는 연습을 할 수 있습니다.

• A restored permission model looks right (Permission Denied)
• An SSH Match rule is updated and one admin still fails because the group token keeps the previous ops alias
• A redirect URI is valid and one callback still fails because the host alias keeps the retired preview token