Монтирование общих ресурсов Azure SMB на клиентах Linux

Область применения: ✔️ общие папки SMB

Вы можете подключать файловые ресурсы Azure в дистрибутивах Linux с помощью клиента ядра SMB.

В этой статье показано, как подключить файловый ресурс Azure по протоколу SMB с помощью аутентификации NTLMv2 (ключ учетной записи хранения данных). По соображениям безопасности Microsoft рекомендует аутентификацию на основе идентификации. См. раздел "Включение проверки подлинности Active Directory через SMB" для клиентов Linux, обращаюющихся к файлам Azure.

Протоколы

По умолчанию служба "Файлы Azure" применяет шифрование при передаче. Шифрование SMB доступно начиная с SMB 3.0. Файлы Azure также поддерживают SMB 2.1, что не поддерживает шифрование SMB. В результате Файлы Azure не разрешает подключение общих папок с помощью SMB 2.1 из другого Azure региона или локальной сети без дополнительной конфигурации сети по соображениям безопасности. Следует использовать SMB 3.1.1, если приложение не требует более старой версии.

Если дистрибутив Linux не указан в предыдущей таблице, проверьте версию ядра Linux с помощью uname команды:

uname -r

Предварительные условия

Установить cifs-utils

• Убедитесь, что установлен пакет cifs-utils. Установите последнюю версию пакета cifs-utils с помощью диспетчера пакетов в выбранном дистрибутиве Linux.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

В других дистрибутивах используйте соответствующий диспетчер пакетов или скомпилируйте из источника.

Проверьте подключение порта 445

• Самая последняя версия интерфейса командной строки (CLI) Azure. Дополнительные сведения об установке Azure CLI см. в статье "Установка Azure CLI " и выбор операционной системы. Если вы предпочитаете использовать модуль Azure PowerShell в PowerShell 6+, вы можете. Однако инструкции, описанные в этой статье, предназначены для Azure CLI.

• Убедитесь, что порт 445 открыт: SMB взаимодействует через TCP-порт 445. Убедитесь, что брандмауэр или ISP не блокирует TCP-порт 445 с клиентского компьютера. Замените <your-resource-group> и <your-storage-account> запустите следующий скрипт:

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Если подключение выполнено успешно, вы увидите следующие выходные данные:

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  Вы можете использовать VPN-подключение или Azure ExpressRoute если порт 445 заблокирован в сети. Дополнительные сведения см. в статье " Рекомендации по работе с сетями" для прямого доступа к общей папке Azure.

Разрешения

Все сценарии подключения в этой статье монтируют общие файловые ресурсы, используя стандартные права доступа Linux 0755 для файлов и папок. Этот параметр разрешения предоставляет права на чтение, запись и выполнение прав владельца файла или каталога, а также права на чтение и выполнение прав для пользователей в группе владельцев и других пользователей. В зависимости от политик безопасности организации может потребоваться задать альтернативные uid/gid или dir_modefile_mode разрешения в параметрах подключения. Дополнительные сведения о настройке разрешений см. в символьной нотации Unix. См. параметры подключения для списка параметров подключения.

Поддержка разрешений в стиле Unix

Вы также можете получить поддержку разрешений в стиле Unix для общих папок SMB Azure, используя клиентское управление доступом и добавление modefromsid,idsfromsid параметров монтирования в вашу команду подключения. Для работы этой поддержки выполните указанные ниже действия.

• Все клиенты, получающие доступ к общему ресурсу, должны монтировать его с помощью modefromsid,idsfromsid.
• Идентификаторы пользовательского интерфейса и GID должны быть одинаковыми для всех клиентов.
• Клиенты должны запускать один из следующих поддерживаемых дистрибутивов Linux: Ubuntu 20.04+, SLES 15 с пакетом обновления 3 (SP3) и более поздних версий.

Отложенное закрытие и двухпротокольный доступ

Клиент SMB Linux использует оптимизацию производительности, называемую отложенным закрытием (кэширование обработки). Когда приложение закрывает файл, клиент может отложить отправку запроса SMB CLOSE на сервер по умолчанию до одной секунды, если файл будет открыт быстро. Когда Файлы Azure получает запрос CLOSE, следующий за записью, он обновляет время последнего изменения файла (LMT) и, следовательно, его ETag.

Если вы обращаетесь к одной общей папке через SMB и API FileREST (доступ к двойному протоколу), эта задержка может вызвать состояние гонки. После того как клиент SMB завершает запись и закрывает файл, клиент REST, который считывает ETag файла и запускает условную операцию, может завершиться ошибкой «Файл был изменён параллельной операцией» (HTTP 412: предварительное условие не выполнено), когда поступает отложенный запрос CLOSE и обновляет LMT и ETag.

Для рабочих нагрузок, которые передают файлы между компонентом записи SMB и компонентом чтения на основе REST, отключите отложенное закрытие, добавив параметр монтирования closetimeo=0. Этот параметр заставляет клиента немедленно отправлять запрос SMB CLOSE (и тем самым завершать LMT и ETag), что устраняет состояние гонки ценой небольшого снижения производительности при открытии и закрытии.

Подключайте файловый ресурс Azure по требованию с помощью монтирования.

Когда вы монтируете общий файловый ресурс в ОС Linux, ваш удалённый файловый ресурс отображается как папка в локальной файловой системе. Вы можете монтировать общие файловые ресурсы в любом месте системы. В следующем примере показано подключение по пути /media. Вы можете изменить этот путь, изменив переменную $MNT_ROOT .

Замените <resource-group-name>, <storage-account-name> и <file-share-name> соответствующей информацией из своей среды:

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Затем инициализировать файл учетных данных, выполнив следующий скрипт.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Теперь вы можете подключить общую папку с помощью команды mount и файла учетных данных. В следующем примере команда $SMB_PATH заполняется с использованием полного доменного имени для файловой конечной точки учетной записи хранения. См. параметры подключения для списка параметров подключения SMB.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

При необходимости можно подключить одну и ту же общую папку Azure к нескольким точкам подключения.

Когда вы закончите использовать общую папку Azure, используйте sudo umount $mntPath для отключения общей папки.

Автоматически подключать общие папки

Когда вы монтируете общий файловый ресурс в ОС Linux, ваш удалённый файловый ресурс отображается как папка в локальной файловой системе. Вы можете подключать общие папки в любом месте вашей системы. В следующем примере показано подключение по пути /media. Вы можете изменить этот путь, изменив переменную $MNT_ROOT .

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Используйте имя учетной записи хранения в качестве имени пользователя общей папки и ключа учетной записи хранения в качестве пароля. Так как учетные данные учетной записи хранения могут меняться со временем, следует хранить учетные данные для учетной записи хранения отдельно от конфигурации подключения.

Если вы уже создали файл учетных данных в предыдущем разделе, перейдите к разделу о статическом монтировании или динамическом монтировании с autofs. В противном случае следуйте этим шагам, чтобы создать его. Не забудьте заменить <resource-group-name> и <storage-account-name> на соответствующую информацию из вашей среды.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Чтобы автоматически подключить общую папку, можно воспользоваться статическим подключением через служебную программу /etc/fstab или использовать динамическое подключение через служебную программу autofs.

Статическое подключение с помощью /etc/fstab

В той же среде создайте в каталоге подключения папку для вашей учетной записи хранения и общего файлового ресурса. Замените <file-share-name> на соответствующее имя общей папки Azure.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Наконец, создайте запись в файле /etc/fstab для файлового обмена Azure. В следующей команде используются разрешения файлов и папок Linux по умолчанию 0755. Эти разрешения означают чтение, запись и выполнение для владельца (в зависимости от владельца файла или каталога в Linux), чтение и выполнение для пользователей в группе владельца, а также чтение и выполнение для остальных пользователей в системе. Возможно, при монтировании стоит при необходимости установить альтернативные права доступа uid и gid или dir_mode и file_mode. Дополнительные сведения о настройке разрешений см. в числовых нотациях UNIX. См. параметры подключения для списка параметров подключения SMB.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Динамическое подключение с помощью autofs

Чтобы динамически подключить общий файловый ресурс с помощью утилиты autofs, установите её через диспетчер пакетов в выбранном вами дистрибутиве Linux.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Затем обновите файлы конфигурации autofs. Список параметров подключения SMB см. в разделе "Параметры подключения".

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

Последним шагом является перезапуск службы autofs.

sudo systemctl restart autofs

Подключение с помощью смены паролей

Периодическая ротация паролей (ключей учетной записи) является одной из лучших практик по обеспечению безопасности. Однако в прошлом эта практика требовала некоторого запланированного простоя. Теперь можно указать параметр монтирования password2=, чтобы, если срок действия основного пароля истечёт или он будет изменён, монтирование общего файлового ресурса продолжало работать без простоя для пользователей. Этот необязательный второй секрет, который вы передаете SMB-клиенту Linux, обеспечивает бесшовную ротацию учетных данных без размонтирования общего ресурса и без прерывания ввода-вывода.

При наличии этого параметра подключения клиент принимает password как во время установки сеанса, так и password2 во время повторного подключения, поэтому можно ввести новый ключ, пока старый ключ по-прежнему используется.

Вы можете указать password2 одним из двух способов:

• В файле учетных данных SMB вместе с именем пользователя и паролем
• В командной строке, чтобы обновить существующее монтирование тома: -o password2=new-secret, в том числе с помощью -o remount во время ротации

Предварительные условия

Для использования опции монтирования password2 требуется cifs-utils версии 7.4 или более поздней. Помимо правильного пакета cifs-utils дистрибутив Linux должен поддерживать минимальные необходимые версии ядра, как указано в следующей таблице:

С помощью файла учетных данных

Поместите оба секрета в файл учетных данных, а затем подключитесь с учетными данными. При смене ключа сначала обновите password2 на новый ключ, затем выполните повторное подключение или подождите его, а затем замените старое значение на новое в следующем окне обслуживания, чтобы новый ключ стал password.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Обновление существующего монтажа тома

Если у вас уже есть том, смонтированный в поддерживаемом дистрибутиве с подходящей версией cifs-utils, можно использовать следующую команду, чтобы изменить параметр монтирования, добавив параметр password2=.

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Параметры подключения

Используйте следующие параметры монтирования при монтировании общих папок файлов Azure с использованием SMB в Linux.

Следующий шаг

Дополнительные сведения об использовании общих папок SMB Azure с Linux см. в следующей статье:

• Устранение общих проблем SMB в Linux