Beim Upgrade des kea-Pakets auf Version 1:3.0.3-6 oder neuer hat sich das Laufzeitverhalten der Dienste verändert: Alle kea-Dienste werden jetzt nicht mehr als root, sondern als dedizierter Nutzer kea ausgeführt. Diese Sicherheitsänderung erfordert, dass die Berechtigungen von bereits existierenden Laufzeitdateien manuell angepasst werden, damit der neue Nutzer Zugriff auf benötigte Dateien hat. Nachfolgend die empfohlenen Schritte und Hinweise für Admins unter Arch Linux.

Was wurde geändert?

Die Umstellung betrifft den Benutzerkontext, unter dem die kea-Dienste laufen. Statt root verwenden die Dienste nun den dedizierten Systemnutzer kea. Dadurch müssen Dateien und Verzeichnisse, die während des Dienstbetriebs verwendet oder erstellt werden, dem neuen Eigentümer bzw. der passenden Gruppe zugeordnet sein. Die Änderung zielt auf verbesserte Sicherheit ab, benötigt aber manuelles Anpassen vorhandener Laufzeitdateien nach dem Upgrade.

Empfohlene Nacharbeiten nach dem Upgrade

Arch-Entwickler empfehlen, unmittelbar nach dem Paket-Upgrade die folgenden Befehle auszuführen, um Besitzrechte anzupassen und die Dienste neu zu starten:

chown kea: /var/lib/kea/* /var/log/kea/* /run/lock/kea/logger_lockfile

systemctl try-restart kea-ctrl-agent.service kea-dhcp{4,6,-ddns}.service

Der erste Befehl setzt den Eigentümer und die Gruppe der genannten Laufzeitdateien und -verzeichnisse auf kea. Der zweite Befehl versucht, die aufgeführten systemd-Dienste neu zu starten, falls sie aktiv sind.

Kurze Erklärung der Befehle

• chown kea: ändert Eigentümer und Gruppenzuordnung der angegebenen Pfade zu kea (Nutzer und Gruppe).
• /var/lib/kea/* und /var/log/kea/*: typische Laufzeitorte für kei‑Daten wie Lease‑Dateien und Logdateien.
• /run/lock/kea/logger_lockfile: gesperrte Laufzeitdatei, die ebenfalls dem kea-Nutzer gehören muss.
• systemctl try-restart …: versucht, die Dienste neu zu starten, falls sie aktuell laufen; ist ein Dienst nicht aktiv, wird er nicht gestartet.

Wer sollte der Gruppe kea hinzugefügt werden?

Konten, die mit kea-Dateien interagieren müssen — etwa Nutzer, die Lease‑Dateien unter /var/lib/kea lesen/schreiben, Logdateien unter /var/log/kea einsehen oder Konfigurationen unter /etc/kea bearbeiten — sollten der Gruppe kea hinzugefügt werden. Das vereinfacht den Zugriff ohne dauerhafte Ausweitung von Root‑Rechten.

Praxis-Tipp

Führen Sie die genannten Befehle möglichst zeitnah nach dem Upgrade aus und prüfen Sie anschließend die Dienste auf Fehler. Verwenden Sie dafür journalctl oder die systemd-Statusausgabe, um Fehlermeldungen zu identifizieren und gegebenenfalls Berechtigungen für weitere Dateien anzupassen.

Quell‑ und Lizenzhinweis

Die Information wurde am 2026-04-07 von Robin Candau veröffentlicht. Beachten Sie die üblichen Markenhinweise von Arch Linux.