[NFS] ACL на стороне клиента

Я правильно понял, что проблема в том, что при распаковывании образа файлам назначаются другие uid/gid? Может просто разворачивать tar с опцией --numeric-owner или админ сервера должен что-то изменять на этой NFS-шаре?

Нет, все распаковывается корректно. Проблема в другом:
Пусть в образе клиента есть пользователь someuser и группа somegroup. Им соответствуют uid=102 и gid=105. В файле client:/etc/group прописано, что someuser принадлежит somegroup. А на сервере uid=102 может не принадлежать к gid=105.
Один из негативных эффектов от такого несовпадания: на клиенте someuser не сможет писать в директорию /path/dir принадлежащую otheruser:somegroup и имеющую права доступа 0775, т.к. решение о разрешении доступа будет произведено на сервере, а там uid, соответствующий someuser, в группу, соответствующую somegroup не входит.

Может стоит посмотреть в сторону централизованного хранения учёток? LDAP например. Тогда на всех клиентах и серверах у одинаковых пользователей и групп будут одинаковые ID'ы.

К сожалению, такой вариант нежелателен. Образ нужно будет ставить на разных машинах с дистрибутивами разной разных лет, разворачивать на каждой LDAP - лениво.
Функционал клиента сильно урезан, на нем вертится nginx и один самописный демон. Проще забить на красивое управление правами доступа и ограничится прямым владением файлами - это, по крайней мере, nfs-ом не убивается.

Нашел причину проблем с группами. Это опция --manage-gids, которая по умолчанию (точнее через /etc/default/...) передается mountd.

    -g  or  --manage-gids
              Accept requests from the kernel to map user id numbers into  lists of group id numbers for use in access control.   An  NFS  request  will
              normally  (except when using Kerberos or other cryptographic authentication) contains a user-id and a list of group-ids.  Due to a limita‐
              tion in the NFS protocol, at most 16 groups ids can be listed.  If you use the -g flag, then the list  of  group  ids  received  from  the
              client  will be replaced by a list of group ids determined by an appropriate lookup on the server. Note that the 'primary' group id is not
              affected so a newgroup command on the client will still be effective.  This function requires a Linux Kernel with version at least 2.6.21.

А теперь вопрос к знающим OpenSUSE: почему вышеуказанный фокус там не работает? Т.е. вроде как в системном скрипте, запускающем mountd, опция --manage-gids нигде не значится, а проблемы с правами доступа присутствуют.

Продолжаем разговор. Запустил виртуальную машину с Debian testing, попробовал из нее смонтировать NFS-шару размещенную на сервере с Ubuntu 11.04. Автоматически была выбрана NFS версии 4. И когда в idmapd.conf на сервере я задал правильный домен, то он начал корректно сопоставлять uid-ы пользователей с одинаковыми именами, а остальных превращать в nobody.
Вопрос, бывает ли полноценный NFS4 на этапе загрузки (т.е. в ситуации, когда корневой раздел на NFS)?
Пока что у меня монтирование корня происходит в nfs3 и попытки задать другую версию через опции загрузки ни к чему не привели.

Здесь дело было не в nfs, а в tar и кривых руках: при распаковке tar-архива с системой (которую потом собираешься раздавать по nfs) полезно указывать ключ --numeric-owner :)