Монтирование общих ресурсов Azure SMB на клиентах Linux

Общие папки Azure можно подключить в дистрибутивах Linux с помощью клиента ядра SMB.

В этой статье показано, как подключить файловый ресурс SMB Azure с помощью аутентификации NTLMv2 (ключ учетной записи хранения). Использование проверки подлинности на основе удостоверений предпочтительнее по соображениям безопасности. См. раздел "Включение проверки подлинности Active Directory через SMB" для клиентов Linux, обращаюющихся к файлам Azure.

Применяется к

Модель управления	Модель выставления счетов	Уровень медиа	Избыточность	малый и средний бизнес	Сетевая файловая система (NFS)
Microsoft.Storage	Настроенная версия 2	HDD (стандартный)	Локальное (LRS)
Microsoft.Storage	Настроенная версия 2	HDD (стандартный)	Зона (ZRS)
Microsoft.Storage	Настроенная версия 2	HDD (стандартный)	Гео (GRS)
Microsoft.Storage	Настроенная версия 2	HDD (стандартный)	GeoZone (GZRS)
Microsoft.Storage	Настроенная версия v1	SSD (премиум)	Локальное (LRS)
Microsoft.Storage	Настроенная версия v1	SSD (премиум)	Зона (ZRS)
Microsoft.Storage	Оплата по мере использования	HDD (стандартный)	Локальное (LRS)
Microsoft.Storage	Оплата по мере использования	HDD (стандартный)	Зона (ZRS)
Microsoft.Storage	Оплата по мере использования	HDD (стандартный)	Гео (GRS)
Microsoft.Storage	Оплата по мере использования	HDD (стандартный)	GeoZone (GZRS)

Протоколы

По умолчанию служба "Файлы Azure" применяет шифрование при передаче. Шифрование SMB доступно начиная с SMB 3.0. Файлы Azure также поддерживают SMB 2.1, что не поддерживает шифрование SMB. В результате файлы Azure не позволяют подключать общие папки с помощью SMB 2.1 из другого региона Azure или локальной среды без дополнительной конфигурации сети по соображениям безопасности. Следует использовать SMB 3.1.1, если приложение не требует более старой версии.

Если дистрибутив Linux не указан в таблице, можно проверить версию ядра Linux с uname помощью команды:

uname -r

Предварительные условия

• Убедитесь, что установлен пакет cifs-utils. Установите последнюю версию пакета cifs-utils с помощью диспетчера пакетов в выбранном дистрибутиве Linux.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

В других дистрибутивах используйте соответствующий диспетчер пакетов или скомпилируйте из источника.

• Самая последняя версия интерфейса командной строки (CLI) Azure. Дополнительные сведения об установке Azure CLI см. в статье "Установка Azure CLI " и выбор операционной системы. Если вы предпочитаете использовать модуль Azure PowerShell в PowerShell 6+, вы можете использовать его. Однако инструкции, описанные в этой статье, предназначены для Azure CLI.

• Убедитесь, что порт 445 открыт: SMB взаимодействует через TCP-порт 445. Убедитесь, что брандмауэр или ISP не блокирует TCP-порт 445 с клиентского компьютера. Замените <your-resource-group> и <your-storage-account> запустите следующий скрипт:

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Если подключение было успешным, отобразятся следующие выходные данные.

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  Vpn-подключение или ExpressRoute можно использовать, если порт 445 заблокирован в сети. Дополнительные сведения см. в статье " Рекомендации по работе с сетями" для прямого доступа к общей папке Azure.

Разрешения

Все сценарии монтирования в этой статье монтируют общие файлы с использованием файловых и папочных разрешений Linux по умолчанию 0755. Это означает, что владелец файла или каталога имеет права на чтение, запись и выполнение, пользователи в группе владельца имеют права на чтение и выполнение, а остальные пользователи — на чтение и выполнение. В зависимости от политик безопасности организации может потребоваться задать альтернативные uid/gid или dir_modefile_mode разрешения в параметрах подключения. Дополнительные сведения о настройке разрешений см. в символьной нотации Unix. См. параметры подключения для списка параметров подключения.

Поддержка разрешений в стиле Unix

Вы также можете получить поддержку разрешений в стиле Unix для общих папок SMB Azure, используя клиентское управление доступом и добавление modefromsid,idsfromsid параметров монтирования в вашу команду подключения. Чтобы это работало, выполните указанные ниже действия.

• Все клиенты, обращающиеся к общему ресурсу, должны подключаться с помощью modefromsid,idsfromsid
• Идентификаторы пользовательского интерфейса или GID должны быть универсальными для всех клиентов.
• Клиенты должны работать с одним из следующих поддерживаемых дистрибутивов Linux: Ubuntu 20.04+, SLES 15 с пакетом обновления 3 (SP3)

Подключайте файловый ресурс Azure по требованию с помощью монтирования.

При подключении общей папки в ОС Linux удаленный файловый ресурс будет представлен в виде папки в локальной файловой системе. Общие файловые ресурсы можно подключить в любом месте на вашей системе. В следующем примере показано подключение по пути /media. Вы можете изменить его на нужный путь, поменяв переменную $MNT_ROOT.

Замените <resource-group-name>, <storage-account-name> и <file-share-name> соответствующей информацией из своей среды:

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Затем инициализировать файл учетных данных, выполнив следующий скрипт.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Теперь вы можете подключить общую папку с помощью команды mount и файла учетных данных. В следующем примере команда $SMB_PATH заполняется с использованием полного доменного имени для файловой конечной точки учетной записи хранения. См. параметры подключения для списка параметров подключения SMB.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

При необходимости можно подключить одну и ту же общую папку Azure к нескольким точкам подключения.

Когда вы закончите использовать общую папку Azure, используйте sudo umount $mntPath для отключения общей папки.

Автоматически подключать общие папки

При подключении общей папки в ОС Linux удаленный файловый ресурс будет представлен в виде папки в локальной файловой системе. Общие файловые ресурсы можно подключить в любом месте на вашей системе. В следующем примере показано подключение по пути /media. Вы можете изменить его на нужный путь, поменяв переменную $MNT_ROOT.

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Используйте имя учетной записи хранения в качестве имени пользователя общей папки и ключа учетной записи хранения в качестве пароля. Так как учетные данные учетной записи хранения могут меняться со временем, следует хранить учетные данные для учетной записи хранения отдельно от конфигурации подключения.

В следующем примере показано, как создать файл для хранения учетных данных. Не забудьте заменить <resource-group-name> и <storage-account-name> на соответствующую информацию из вашей среды.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Чтобы автоматически подключить общую папку, можно воспользоваться статическим подключением через служебную программу /etc/fstab или использовать динамическое подключение через служебную программу autofs.

Статическое подключение с помощью /etc/fstab

Используя более раннюю среду, создайте папку для учетной записи хранения данных или общего доступа в папке монтирования. Замените <file-share-name> на соответствующее имя общей папки Azure.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Наконец, создайте запись в файле /etc/fstab для файлового обмена Azure. В приведенной ниже команде по умолчанию использованы разрешения для файлов и папок Linux 0755, что означает права на чтение, запись и выполнение для владельца (имеется в виду владелец файла/каталога Linux), права на чтение и выполнение для пользователей в группе владельца, а также права на чтение и выполнение для прочих пользователей системы. Возможно, вы хотите задать альтернативные разрешения uid и gid или dir_mode и file_mode на подключение по мере необходимости. Дополнительные сведения о настройке разрешений см. в числовых нотациях UNIX. См. параметры подключения для списка параметров подключения SMB.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Динамическое подключение с помощью autofs

Чтобы динамически подключить сетевую папку с помощью служебной программы autofs, установите её с помощью диспетчера пакетов в дистрибутиве Linux на ваш выбор.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Затем обновите файлы конфигурации autofs. См. параметры подключения для списка параметров подключения SMB.

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

Последним шагом является перезапуск службы autofs.

sudo systemctl restart autofs

Подключение с помощью смены паролей

Периодическая ротация паролей (ключей учетной записи) является одной из лучших практик по обеспечению безопасности. Однако в прошлом потребовалось некоторое запланированное время простоя. Теперь мы предоставляем возможность указать параметр монтирования password2=, чтобы, если срок действия основного пароля истек или он обновлен, подключение к общей папке продолжало работать без перерыва для пользователей. Это необязательный второй секрет, который можно передать клиенту SMB для Linux, чтобы включить беспрепятственную смену учетных данных без отмонтирования общего ресурса или прерывания I/O-операций.

При наличии этой опции монтирования клиент будет принимать как password так и password2 в процессе настройки и повторного подключения сеанса, поэтому можно ввести новый ключ, пока старый ключ по-прежнему используется.

Вы можете задать password2 одним из двух способов:

• В файле учетных данных SMB вместе с именем пользователя и паролем
• В командной строке для обновления существующего подключения тома: -o password2=new-secret, включая -o повторное подключение во время смены

Предварительные условия

Для использования опции монтирования password2 требуется cifs-utils версии 7.4 или более поздней. Помимо правильного пакета cifs-utils дистрибутив Linux должен поддерживать минимальные необходимые версии ядра, как указано в следующей таблице:

С помощью файла учетных данных

Поместите оба секрета в файл учетных данных, а затем подключитесь с учетными данными. При смене ключа сначала обновите password2 на новый ключ, затем выполните повторное подключение или подождите его, а затем замените старое значение на новое в следующем окне обслуживания, чтобы новый ключ стал password.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Обновление существующего монтажа тома

Если вы уже установили том на поддерживаемом дистрибутиве с соответствующей версией cifs-utils, можно использовать следующую команду, чтобы изменить параметр подключения, добавив password2= этот параметр.

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Параметры подключения

При монтировании SMB Azure файловых хранилищ в Linux можно использовать следующие параметры монтирования.

Следующий шаг

Дополнительные сведения об использовании общих папок SMB Azure с Linux см. в следующей статье:

• Устранение общих проблем SMB в Linux