Настройка экспортируемых каталогов NFS - Dell EMC PowerStore
←
→
Транскрипция содержимого страницы
Если ваш браузер не отображает страницу правильно, пожалуйста, читайте содержимое страницы ниже
Dell EMC PowerStore Настройка экспортируемых каталогов NFS 2.x Июнь 2021 Ред. A01
Примечания, предупреждения и предостережения
ПРИМЕЧАНИЕ: Пометка ПРИМЕЧАНИЕ указывает на важную информацию, которая поможет использовать данное
изделие более эффективно.
ОСТОРОЖНО: Указывает на возможность повреждения устройства или потери данных и подсказывает, как
избежать этой проблемы.
ПРЕДУПРЕЖДЕНИЕ: Указывает на риск повреждения оборудования, получения травм или на угрозу для
жизни.
© Корпорация Dell или ее дочерние компании, 2020-2021. Все права защищены. Dell, EMC и другие товарные знаки являются товарными
знаками корпорации Dell Inc. или ее дочерних компаний. Другие товарные знаки могут быть товарными знаками соответствующих
владельцев.Содержание
Дополнительные ресурсы............................................................................................................4
Глава 1: Обзор.............................................................................................................................. 5
Поддержка NFS...................................................................................................................................................................5
О безопасном протоколе NFS........................................................................................................................................ 5
Вопросы планирования....................................................................................................................................................6
Глава 2: Создание серверов NAS..................................................................................................8
Общие сведения о настройке серверов NAS............................................................................................................ 8
Создание сервера NAS для файловых систем NFS (только для UNIX)............................................................8
Настройка сервисов разрешения имен сервера NAS............................................................................................ 9
Настройка DNS..............................................................................................................................................................9
Настройка сервиса каталогов UNIX сервера NAS для NIS.............................................................................10
Настройка использующего LDAP сервиса каталогов UNIX сервера NAS..................................................10
Настройка сервера NAS на использование локальных файлов для сервисов разрешения
имен.............................................................................................................................................................................11
Настройка протоколов общего доступа к серверу NAS........................................................................................12
Настройка сервера NFS............................................................................................................................................ 12
Настройка протокола общего доступа FTP или SFTP..................................................................................... 12
Настройка Kerberos для обеспечения безопасности сервера NAS...................................................................13
Создание пользовательской области для Kerberos.........................................................................................13
Настройка функций безопасности Kerberos для сервера NAS..................................................................... 14
Глава 3: Настройка экспортируемых каталогов NFS................................................................... 16
Обзор файловых систем и экспортируемых каталогов NFS.............................................................................. 16
Создайте файловую систему для экспортируемых каталогов NFS................................................................. 16
Создание экспорта NFS.................................................................................................................................................. 18
Глава 4: Дополнительные функции сервера NAS........................................................................ 19
Назначение предпочтительного сервиса каталогов UNIX...................................................................................19
Настройка сетей сервера NAS..................................................................................................................................... 19
Настройка файловых интерфейсов для сервера NAS................................................................................... 19
Настройка маршрутов для файлового интерфейса внешних подключений.......................................... 20
Включение защиты данных и событий NDMP........................................................................................................ 20
Глава 5: Дополнительные функции файловой системы............................................................. 21
Квоты файловой системы..............................................................................................................................................21
Включение квот пользователей............................................................................................................................ 22
Добавление квот пользователей в файловую систему.................................................................................22
Добавление дерева квот в файловую систему................................................................................................23
Добавление квот пользователей в дерево квот.............................................................................................. 23
Содержание 3Предисловие
Для улучшения продуктов периодически выпускаются обновленные версии программного обеспечения и оборудования.
Некоторые функции, описанные в этом документе, поддерживаются не всеми версиями программного обеспечения
или оборудования, которые используются на данный момент. Примечания к выпуску продукта содержат последние
обновленные сведения о функциях продукта. Если продукт работает ненадлежащим образом либо не так, как описано
в этом документе, обратитесь к своему поставщику услуг.
Ресурсы поддержки
Информацию о продуктах, их поддержке и лицензировании можно получить перечисленными ниже способами.
● Сведения о продуктах
Для изучения документации по продуктам и функциям, а также примечаний к выпускам, перейдите на PowerStore
Страницу документации по адресу https://www.dell.com/powerstoredocs.
● Поиск и устранение неисправностей
Для получения информации о продуктах, обновлениях ПО, лицензировании и сервисном обслуживании перейдите на
сайт https://www.dell.com/support и найдите страницу поддержки для соответствующего продукта.
● Техническая поддержка
Для получения технической поддержки и оформления сервисных заявок перейдите на https://www.dell.com/support
страницу Сервисные заявки. Чтобы подать сервисную заявку, необходимо иметь действующее соглашение о
поддержке. Для получения сведений о порядке заключения соглашения о поддержке, а также по любым вопросам,
связанным с вашей учетной записью, обращайтесь к менеджеру по продажам.
4 Дополнительные ресурсы1
Обзор
В этой главе содержатся следующие разделы:
Темы:
• Поддержка NFS
• О безопасном протоколе NFS
• Вопросы планирования
Поддержка NFS
Модель PowerStore T поддерживает NFSv3 и NFSv4. Эта система также поддерживает защищенный протокол NFS с
Kerberos для надежной аутентификации. Хотя Модель PowerStore T поддерживает большинство функций NFS версий 4 и 4.1,
описанных в соответствующих документах RFC, функции pNFS и делегирования каталогов не поддерживаются. Поддержка
NFS включается на сервере NAS во время или после его создания, что позволяет создавать на этом сервере файловые
системы с поддержкой NFS.
О безопасном протоколе NFS
Защищенный протокол NFS можно настроить при создании или изменении сервера NAS, поддерживающего сетевые папки
UNIX. Безопасный протокол NFS обеспечивает аутентификацию пользователя на основе Kerberos, целостность сетевых
данных и их конфиденциальность.
Kerberos — это служба распределенной аутентификации, предназначенная для обеспечения строгой аутентификации и
использующая шифрование с секретным ключом. Она работает на основе "заявок", которые позволяют узлам сообщаться
по небезопасной сети, чтобы они могли подтвердить подлинность своих идентификационных данных безопасным
способом. Если она настроена на работу в качестве безопасного сервера NFS, сервер NAS будет использовать концепцию
безопасности RPCSEC_GSS и протокол аутентификации Kerberos для проверки пользователей и сервисов.
Параметры безопасности
Безопасный протокол NFS поддерживает следующие параметры безопасности.
● krb5: аутентификация по протоколу Kerberos
● krb5i: аутентификация по протоколу Kerberos и обеспечение целостности данных за счет добавления подписи
(цифровой) к каждому пакету NFS, передаваемому по сети
● krb5p: аутентификация по протоколу Kerberos, обеспечение целостности данных и конфиденциальности данных
благодаря шифрованию данных перед их передачей по сети
Шифрование данных требует дополнительных ресурсов для обработки системой и может привести к снижению
производительности.
В защищенной среде NFS доступ пользователей к файловым системам NFS предоставляется на основе имен субъектов
Kerberos. Однако контроль доступа к сетевым папкам в файловой системе осуществляется на основе UID и GID UNIX или
списков контроля доступа.
ПРИМЕЧАНИЕ: Защищенный протокол NFS поддерживает учетные данные NFS более чем с 16 группами, что
эквивалентно варианту расширенных учетных данных UNIX.
Настройка защищенного протокола NFS
При реализации защищенного протокола NFS выполните следующие настройки.
Обзор 5● Для синхронизации даты и времени на устройстве PowerStore должен быть настроен по крайней мере один сервер NTP. Рекомендуется настроить для каждого домена не менее двух серверов NTP во избежание наличия одной точки отказа. ● Сервис каталогов UNIX (UDS) ● Один или несколько DNS-серверов ● Для выполнения проверки подлинности Kerberos необходимо добавить область AD или пользовательскую область. ● При использовании пользовательской области в конфигурации Kerberos необходимо загрузить файл keytab на сервер NAS Вопросы планирования Перед настройкой экспортируемых каталогов NFS ознакомьтесь с приведенными ниже сведениями. Файловая система хранения данных поддерживается только при использовании устройств Модель PowerStore T. При использовании устройств Модель PowerStore X файловая система хранения данных не поддерживается. Сети серверов NAS Создание сетей VLAN и IP-адресов необязательно для серверов NAS. Если вы планируете создать сеть VLAN для серверов NAS, сеть VLAN нельзя будет использовать совместно с другими сетями управления или хранения Модель PowerStore T. Кроме того, не забудьте обратиться к сетевому администратору, чтобы зарезервировать сетевые ресурсы и настроить сеть на коммутаторе. Подробные сведения представлены в Руководство по работе с сетью PowerStore для моделей PowerStore T. Требования к развертыванию Сервисы NAS доступны только на устройствах Модель PowerStore T. При использовании устройств Модель PowerStore X эти сервисы недоступны. Во время первоначальной настройки устройства Модель PowerStore T необходимо выбрать Unified. Если при запуске мастера начальной настройки выбран параметр Block Optimized, сервисы NAS не установлены. Для установки сервисов NAS потребуется повторная инициализация системы представителем службы поддержки клиентов. Повторная инициализация системы: ● устройство возвращается в заводское состояние; ● все настройки, выполненные в системе с помощью мастера Initial Configuration Wizard, удаляются; ● все настройки, выполненные в PowerStore после первоначальной настройки, удаляются. Дополнительные замечания Для создания сервера NAS оба узла на устройстве должны быть запущены и работать. Если один из узлов на устройстве не работает, сервер NAS не будет создан. Создание экспортируемых каталогов NFS Перед созданием экспортируемых каталогов NFS в PowerStore выполните следующие действия. 1. Создайте серверы NAS с поддержкой протокола NFS 2. Создайте файловую систему для экспортируемых каталогов NFS Ресурсы документации Дополнительные сведения см. в следующей таблице. 6 Обзор
Таблица 1. Ресурсы документации
Документ Описание Местоположение
Руководство по работе Содержит сведения о планировании и настройке https://www.dell.com/powerstoredocs
с сетью PowerStore для сетей.
моделей PowerStore T
Руководство по настройке Содержит сведения, необходимые для настройки
сетевых папок SMB в сетевых папок SMB с помощью PowerStore Manager.
PowerStore
Dell EMC PowerStore Содержит сведения о характеристиках, функциях и
Технический документ о протоколах, поддерживаемых файловой архитектурой
возможностях файловой Dell EMC PowerStore.
системы
Онлайн-справка по Предоставляет контекстно-зависимую информацию Встроена в PowerStore Manager
PowerStore для страницы, открытой в PowerStore Manager.
Обзор 72
Создание серверов NAS
В этой главе содержатся следующие разделы:
Темы:
• Общие сведения о настройке серверов NAS
• Создание сервера NAS для файловых систем NFS (только для UNIX)
• Настройка сервисов разрешения имен сервера NAS
• Настройка протоколов общего доступа к серверу NAS
• Настройка Kerberos для обеспечения безопасности сервера NAS
Общие сведения о настройке серверов NAS
Перед тем как приступить к предоставлению файловых ресурсов хранения в системе хранения, в ней необходимо
запустить сервер NAS. Сервер NAS — это файловый сервер, предоставляющий сетевым хостам доступ к общим данным
с использованием протокола SMB, протокола NFS или обоих этих протоколов. Он также каталогизирует, упорядочивает и
оптимизирует операции чтения и записи для соответствующих файловых систем.
В этом документе описывается настройка сервера NAS с поддержкой протокола NFS. На таком сервере можно создавать
файловые системы с экспортируемыми каталогами NFS.
Создание сервера NAS для файловых систем NFS
(только для UNIX)
Серверы NAS создаются до создания файловых систем.
Убедитесь в наличии у вас сведений о сети NAS.
1. Выберите Storage > NAS Servers.
2. Нажмите Создать.
3. Продолжите, используя мастер Create NAS Server.
Экран мастера Описание
Подробные Введите имя, описание и сведения о сети сервера NAS.
сведения ПРИМЕЧАНИЕ: Использовать виртуальные локальные сети, задействованные для управления
и сетей хранения, нельзя.
Sharing Protocol Select Sharing Protocol
Выберите NFSv3 или NFSv4 либо оба варианта.
ПРИМЕЧАНИЕ: При выборе SMB и протокола NFS автоматически включится поддержка
нескольких протоколов сервером NAS.
Unix Directory Services (сервисы разрешения имен)
Сервисы разрешения имен можно настроить с использованием сочетания локальных файлов и NIS
или LDAP.
Сведения о настройке см. в следующих разделах:
● Использование локальных файлов
● С NIS
● С LDAP
8 Создание серверов NASЭкран мастера Описание
Здесь можно включить защищенный протокол NFS.
Для использования защищенного протокола NFS требуется выполнение следующих условий:
● Для синхронизации даты и времени на устройстве PowerStore должен быть настроен по крайней
мере один сервер NTP. Рекомендуется настроить для каждого домена не менее двух серверов
NTP во избежание наличия одной точки отказа.
● Сервис каталогов UNIX (UDS)
● Один или несколько DNS-серверов
● Для выполнения проверки подлинности Kerberos необходимо добавить область AD или
пользовательскую область.
● При использовании пользовательской области в конфигурации Kerberos необходимо загрузить
файл keytab на сервер NAS
DNS
Информация о сервере DNS обязательна в следующих случаях:
● При присоединении к домену AD (но необязательна для автономного NAS сервера).
● При настройке защищенного протокола NFS.
Сервис DNS также может использоваться для разрешения хостов, определенных в списках доступа
к экспортируемым каталогам NFS.
Резюме Просмотрите содержание и нажмите Previous, чтобы вернуться назад и внести изменения.
4. Выберите Create NAS Server, чтобы создать сервер NAS.
Откроется окно Status, и после отображения сервера на станице вы будете перенаправлены на страницу NAS Servers.
После создания сервера NAS для NFS можно продолжить настройку параметров сервера.
Если вы включили защищенный протокол NFS, необходимо продолжить настройку, чтобы настроить Kerberos.
Выберите сервер NAS, чтобы продолжить настройку, или измените параметры сервера NAS.
Настройка сервисов разрешения имен сервера NAS
Для сервера NAS можно настроить или изменить сервисы разрешения имен.
При настройке сервисов разрешения имен требуется настроить один или нескольких из следующих объектов:
● DNS
● NIS для сервисов каталогов UNIX (UDS)
● LDAP для UDS
● Локальные файлы
Настройка DNS
Можно отключить DNS или включить и настроить сервер NAS на использование DNS.
Сервис DNS также может использоваться для разрешения хостов, определенных в списках доступа к экспортируемым
каталогам NFS.
DNS требуется для:
● защищенного протокола NFS;
● присоединения к домену AD.
Нельзя отключить DNS для серверов NAS, для которых настроены следующие возможности:
● Мультипротокольный общий доступ к файлам
● Совместное использование файлов по протоколу SMB при наличии подключения к Active Directory (AD)
● Защищенный протокол NFS
1. Выберите Storage > NAS Servers > [nas server] > DNS.
2. Включите или отключите DNS. Если вы включили DNS, введите сведения о DNS-сервере.
Создание серверов NAS 9Настройка сервиса каталогов UNIX сервера NAS для NIS
Можно настроить сервис каталогов UNIX сервера NAS (UDS) для NIS.
1. Выберите Storage > NAS Servers > [nas server] > Naming Services > UDS.
2. Если параметр отключен, сдвиньте кнопку в положение Enabled.
3. В раскрывающемся списке Unix Directory Service выберите NIS.
4. Введите Domain для NIS и добавьте IP Addresses для серверов NIS.
5. Выберите Apply.
При поиске и устранении проблем с настройкой службы каталогов Unix, использующей NIS, убедитесь в правильности
значений, введенных для домена сервера NIS и IP-адресов серверов.
Настройка использующего LDAP сервиса каталогов UNIX
сервера NAS
Можно настроить использующий LDAP сервис каталогов UNIX сервера NAS (UDS).
LDAP должен соответствовать схемам IDMU, RFC2307 или RFC2307bis. Некоторые примеры включают LDAP AD с IDMU,
iPlanet и OpenLDAP. Сервер LDAP должен быть настроен надлежащим образом для предоставления идентификаторов UID
всем пользователям. Например, в IDMU администратору необходимо обратиться к свойствам каждого пользователя и
добавить на вкладку «Атрибуты UNIX» идентификатор UID.
Можно настроить LDAP для использования анонимной и простой аутентификации, а также аутентификацией Kerberos. Если
используется аутентификация по протоколу Kerberos, прежде чем продолжить настройку LDAP с Kerberos, необходимо
выполнить следующие настройки.
1. На карте Naming Services настройте DNS-сервер, который используется для подключения сервера Kerberos к области и
его отключения от нее.
2. С карты Security добавьте область Kerberos.
1. Выберите Storage > NAS Servers > [nas server] > Naming Services > UDS.
2. Если параметр отключен, сдвиньте кнопку в положение Enabled.
3. В раскрывающемся списке Unix Directory Service выберите LDAP.
4. Оставьте значение по умолчанию или введите другое значение Port Number.
ПРИМЕЧАНИЕ: По умолчанию для LDAP используется порт 389, а для LDAPS (LDAP over SSL) — порт 636.
5. Добавьте IP-адреса серверов LDAP.
Сервер NAS можно настроить на использование обнаружения сервиса DNS для автоматического получения IP-адресов
сервера LDAP.
ПРИМЕЧАНИЕ: Чтобы этот процесс обнаружения работал, DNS-сервер должен содержать указатели на серверы
LDAP, а серверы LDAP должны использовать одинаковые настройки аутентификации.
6. Настройте аутентификацию по протоколу LDAP согласно описанию в следующей таблице.
Параметр Описание
Анонимный Укажите базовое доменное имя и доменное имя профиля для сервера iPlanet/OpenLDAP.
Простота Укажите следующую информацию.
● Если используется AD, LDAP или IDMU:
○ Различающееся имя привязки в формате нотации LDAP, например
cn=administrator,cn=users,dc=svt,dc=lab,dc=com.
○ Различающееся имя, которое совпадает с полным доменным именем (например, svt.lab.com).
○ Доменное имя профиля.
● Если используется сервер iPlanet или OpenLDAP:
○ Различающееся имя привязки в формате нотации LDAP, например
cn=administrator,cn=users,dc=svt,dc=lab,dc=com.
○ Пароль
10 Создание серверов NASПараметр Описание
○ Базовое доменное имя. Например, при использовании полного доменного имени svt.lab.com
различающимся именем базы будет DC=svt,DC=lab,DC=com.
○ доменное имя профиля для сервера iPlanet или OpenLDAP.
Kerberos Настройте пользовательскую область, чтобы она указывала на любой тип области Kerberos (Windows,
MIT или Heidmal). Если выбран этот параметр, сервер NAS использует пользовательскую область
Kerberos, определенную в подразделе Kerberos на вкладке Security сервера NAS.
ПРИМЕЧАНИЕ: Если используется безопасный протокол NFS с пользовательской областью,
необходимо загрузить файл keytab.
7. Выберите Retrieve Current Schema, чтобы скачать файл ldap.conf.
8. Отредактируйте и сохраните файл ldap.conf.
9. Выберите Upload New Schema для загрузки обновленного файла ldap.conf.
10. При необходимости включите LDAP Secure (используйте SSL) и загрузите сертификат ЦС.
При поиске и устранении проблем с настройкой службы каталогов Unix, использующей LDAP, убедитесь в выполнении
следующих условий.
● Конфигурация LDAP соответствует одной из поддерживаемых схем, как описано выше в этом разделе.
● Контейнеры, определенные в файле ldap.conf, указывают на существующие действительные контейнеры.
● Для всех пользователей LDAP задан уникальный идентификатор UID.
Настройка сервера NAS на использование локальных файлов
для сервисов разрешения имен
Сервисы разрешения имен можно настроить для использования локальных файлов.
● Локальные файлы можно использовать вместо сервисов каталогов DNS, LDAP и NIS или вместе с ними.
● Если локальные файлы настроены вместе с сервисом каталогов UNIX, система хранения сначала опрашивает
локальные файлы.
● После завершения создания сервера NFS можно вернуться и загрузить дополнительные локальные файлы.
● После создания сервера NAS включите локальные файлы согласно описанию в представленной ниже процедуре.
1. Выберите Storage > NAS Servers > [nas server] > Naming Services > Local Files.
2. Для каждого типа локальных файлов нажмите стрелку вниз, чтобы скачать текущий файл. Если файл в системе
хранения отсутствует, система загружает файл шаблона.
3. Обновите файл, указав информацию о системе.
Чтобы для доступа по протоколу FTP использовать локальные файлы, файл passwd должен содержать
зашифрованный пароль для пользователей. Этот пароль используется только для доступа по протоколу FTP. Формат
и синтаксис файла passwd такие же, как в стандартной системе UNIX, поэтому этот пароль можно использовать для
создания локального файла passwd. В системе UNIX используйте useradd, чтобы добавить нового пользователя, и
passwd, чтобы задать пароль для него. Затем скопируйте хэшированный пароль из файла /etc/shadow, добавьте его
во второе поле в файле /etc/passwd и загрузите файл /etc/passwd на сервер NAS.
4. Сохраните обновленный файл на локальном компьютере.
5. Выберите Upload Local Files, перейдите в папку, в которой был изменен файл, и выберите файл для загрузки.
6. Повторите эти действия для каждого типа файлов.
При поиске и устранении проблем, связанных с настройкой локальных файлов, убедитесь в выполнении следующих
условий.
● Файл создан с использованием надлежащего синтаксиса. (Для каждой строки требуются шесть двоеточий.)
Дополнительные сведения о синтаксисе и примеры см. в шаблоне.
● Каждый пользователь имеет уникальное имя и идентификатор UID.
Создание серверов NAS 11Настройка протоколов общего доступа к серверу
NAS
Можно настроить или изменить протоколы общего доступа, настроенные для сервера NAS.
Настройка протоколов общего доступа для NFS включает в себя настройку одного или нескольких из следующих объектов:
● Сервер NFS
● FTP
Настройка сервера NFS
Настройте сервер NAS только для систем UNIX или измените параметры сервера NFS.
Перед настройкой защищенного сервера NFS необходимо настроить DNS и NTP.
1. Выберите Storage > NAS Servers > [nas server] > Sharing Protocols > NFS Server.
2. Включите параметр Linix/UNIX shares, чтобы определить поддержку UNIX сервером NAS.
3. Включите NFSv3 или NFSv4 либо оба этих параметра.
4. При необходимости отключите или включите защищенный протокол NFS.
Также включаются расширенные учетные данные UNIX.
5. Установите или снимите флажок Enable extended Unix credentials.
ПРИМЕЧАНИЕ: Защищенный протокол NFS поддерживает учетные данные NFS более чем с 16 группами, что
эквивалентно варианту расширенных учетных данных UNIX.
● Если этот параметр включен, сервер NAS использует идентификатор пользователя (UID) для получения первичного
идентификатора группы (GID), а также всех идентификаторов групп, которым он принадлежит. Сервер NAS получает
идентификаторы GID из локального файла паролей или от службы UDS.
● Если этот параметр отключен, учетные данные UNIX запроса NFS извлекаются непосредственно из сетевой
информации, содержащейся в пакете. Этот метод более производителен, однако он не позволяет включать более 16
идентификаторов групп (GID).
6. В поле Credential Cache Retention введите время (в минутах), в течение которого учетные данные для доступа должны
храниться в кэше.
7. Нажмите Apply, чтобы применить изменения.
Настройка протокола общего доступа FTP или SFTP
Настроить параметры FTP или SFTP (FTP over SSH) можно только для существующего сервера NAS.
Протокол FTP в пассивном режиме не поддерживается.
Аутентификация доступа по протоколу FTP может выполняться с помощью тех же методов, что и аутентификация
доступа по протоколу NFS. После выполнения аутентификации доступ будет идентичен доступу по протоколу NFS в
целях безопасности и поддержки разрешений на доступ. Если формат отличается от user@domain или domain\user,
используется проверка подлинности по протоколу NFS. Для аутентификации NFS используются локальные файлы, LDAP,
NIS или локальные файлы с LDAP либо NIS.
Чтобы для доступа по протоколам FTP и NFS использовать локальные файлы, файл passwd должен содержать
зашифрованный пароль для пользователей. Этот пароль используется только для доступа по протоколу FTP. Формат и
синтаксис файла passwd такие же, как в стандартной системе Unix, поэтому этот файл можно использовать для создания
локального файла passwd. В системе Unix используйте useradd, чтобы добавить нового пользователя, и passwd, чтобы
задать пароль для него. Затем скопируйте хэшированный пароль из файла /etc/shadow, добавьте его во второе поле в
файле /etc/passwd и загрузите файл /etc/passwd на сервер NAS.
1. Выберите Storage > NAS Servers > [nas server] > Sharing Protocols > FTP.
2. Если на вкладке FTP протокол отключен, сдвиньте кнопку в положение Enable.
3. При необходимости можно также включить SSH FTP. Если на вкладке SFTP протокол отключен, сдвиньте кнопку в
положение Enable.
4. В разделе FTP/SFTP Server Access выберите тип прошедших проверку подлинности пользователей, которым будет
предоставлен доступ к файлам.
12 Создание серверов NAS5. При необходимости разверните список параметров Home Directory and Audit.
● Установите или снимите флажок Home directory restrictions. Если этот параметр отключен, введите значение в
поле Default home directory.
● Установите или снимите флажок Enable FTP/SFTP Auditing. Если этот флажок установлен, введите расположение
каталога, в котором требуется сохранять файлы аудита, и укажите максимальный размер файла аудита.
6. При необходимости выберите Show Messages и введите Welcome message и Message of the day, используемые по
умолчанию.
7. При необходимости выберите Show Access Control List, чтобы предоставить или отклонить доступ к Filtered Users,
Filtered Groups и Filtered hosts.
8. Нажмите Применить.
Настройка Kerberos для обеспечения безопасности
сервера NAS
На сервере NAS можно настроить протокол Kerberos.
Kerberos — это служба распределенной аутентификации, предназначенная для обеспечения строгой аутентификации и
использующая шифрование с секретным ключом. Она работает на основе "заявок", которые позволяют узлам сообщаться
по небезопасной сети, чтобы они могли подтвердить подлинность своих идентификационных данных безопасным
способом. Если она настроена на работу в качестве безопасного сервера NFS, сервер NAS будет использовать концепцию
безопасности RPCSEC_GSS и протокол аутентификации Kerberos для проверки пользователей и сервисов.
Если на сервере NAS настроен только протокол NFS, а вы настраиваете защищенный протокол NFS или LDAP с Kerberos,
перед настройкой системы безопасности в PowerStore необходимо настроить протокол Kerberos с пользовательской
областью.
Если на сервере NAS настроены протоколы NFS и SMB, можно использовать протокол Kerberos, унаследованный от AD, так
как на сервере NAS существует сервер SMB, подключенный к домену.
Для системы хранения данных необходимо настроить сервер NTP. Kerberos использует правильную синхронизацию
времени между KDC, серверами и клиентом в сети.
Настройка Kerberos для защищенного протокола NFS
При настройке Kerberos для защищенного протокола NFS необходимо иметь в виду представленные ниже сведения.
● При настройке сервера NAS только для NFS необходимо использовать пользовательскую область. Если вы настроили
сервер NAS с NFS и SMB, вы можете использовать область AD или пользовательскую область.
● В целях безопасности рекомендуется использовать LDAPS или LDAP с Kerberos.
● DNS-сервер настраивается на уровне сервера NAS. Все участники области Kerberos, включая KDC, сервер NFS и
клиентов NFS, должны быть зарегистрированы на DNS-сервере.
● Полностью определенное доменное имя хоста клиента NFS и полностью определенное доменное имя сервера NAS
должны быть зарегистрированы на сервере DNS. Клиенты и серверы должны быть способны закрепить полностью
определенные доменные имена за IP-адресом для любого члена домена Kerberos.
● Часть полностью определенного доменного имени участника-службы клиента NFS должна быть зарегистрирована на
сервере DNS.
● При настройке безопасного NFS необходимо загрузить файл keytab на сервер NAS.
Создание пользовательской области для Kerberos
Можно настроить пользовательскую область для использования с Kerberos.
Пользовательская область Kerberos позволяет настроить любые KDC (MIT/Heidmal или AD). Используйте этот метод при
отсутствии домена сервера SMB, настроенного на сервере NAS, или если требуется использовать другую область Kerberos
вместо той, что настроена для сервера SMB.
Создание серверов NAS 13Создание пользовательской области для чистого NFS сервера
Чтобы использовать KDC на базе Unix, перед настройкой Kerberos в PowerStore выполните следующие действия.
Предполагается, что в качестве имени хоста сервера NFS требуется использовать myrealm в области Kerberos
linux.dellemc.com.
1. Запустите инструмент kadmin.local.
2. Создайте субъекты и их ключи.
kadmin.local: addprinc -randkey nfs/myrealm.linux.dellemc.com
и/или
kadmin.local: addprinc -randkey nfs/myrealm
3. Поместите ключ участника в файл keytab myrealm.linux.dellemc.fr:
kadmin.local: ktadd -k myrealm.linux.dellemc.com.keytab nfs/myrealm.linux.dellemc.fr
Создание пользовательской области для сервера NAS с поддержкой
нескольких протоколов (NFS и SMB)
Чтобы использовать KDC на базе Windows, не используя учетную запись сервера SMB на сервере NAS, перед настройкой
Kerberos в PowerStore выполните указанные ниже действия. Предполагается, что в качестве FQDN для сервера NFS
требуется использовать myrealm.windows.dellemc.com.
1. Создайте учетную запись myrealm для сервера NAS в службе Active Directory (AD) домена Windows windows.dellemc.com.
2. Зарегистрируйте имя SPN службы в созданной учетной записи компьютера.
C:\setspn -S nfs/myrealm.windows.dellemc.com myrealm
3. Убедитесь, что имя SPN создано.
C:\setspn myrealm
4. Создайте файл keytab для SPN:
C:\ktpass -princ nfs/myrealm.windows.dellemc.com@WINDOWS.DELLEMC.COM -mapuser
WINDOWS\myrealm
-crypto ALL +rndpass -ptype KRB5_NT_PRINCIPAL -out myrealm.windows.dellemc.com.keytab
Настройка функций безопасности Kerberos для сервера NAS
Для сервера NAS можно настроить функции безопасности Kerberos.
Если выполняется настройка для NFS, для сервера NAS должны быть настроены сервисы DNS и UDS и все участники
области Kerberos должны быть зарегистрированы на DNS-сервере.
Если используется сервер NAS, настроенный как для SMB, так и для NFS, добавьте в домен AD сервер SMB.
1. Выберите Storage > NAS Servers > [nas server] > Security > Kerberos.
2. Если параметр отключен, сдвиньте кнопку в положение Enabled.
3. Введите имя области Realm.
4. Введите Kerberos IP Address и щелкните Add.
5. Введите порт TCP, который будет использоваться для Kerberos. Порт по умолчанию — 88.
6. Нажмите Применить.
Если вы заменили область AD на пользовательскую область после успешного создания сервера NAS с поддержкой
защищенного протокола NFS, смонтировать экспортируемые каталоги NFS можно будет только после выполнения
указанных ниже действий.
1. Создайте файл Keytab.
2. Удалите область AD с сервера NAS.
14 Создание серверов NAS3. Введите имя пользователя и пароль для сервера AD.
4. Введите пользовательскую область.
5. Загрузите файл Keytab.
Создание серверов NAS 153
Настройка экспортируемых каталогов NFS
В этой главе содержатся следующие разделы:
Темы:
• Обзор файловых систем и экспортируемых каталогов NFS
• Создайте файловую систему для экспортируемых каталогов NFS
• Создание экспорта NFS
Обзор файловых систем и экспортируемых
каталогов NFS
При создании файловых систем и экспортируемых каталогов NFS необходимо иметь в виду следующее.
● Перед созданием файловой системы требуется настроить сервер NAS для поддержки протокола NFS.
● Добавить экспортируемые каталоги NFS в файловую систему можно при ее первом создании или после ее создания.
Создайте файловую систему для экспортируемых
каталогов NFS
Можно создать файловую систему для экспортируемых каталогов NFS.
Убедитесь в наличии сервера NAS, настроенного для поддержки протокола NFS.
1. Выберите Storage > File Systems.
2. Нажмите Добавить.
Запустится мастер Add File System.
3. Выберите для файловой системы сервер NFS с поддержкой NFS.
4. Укажите сведения о файловой системе, включая ее имя и размер; минимальный размер — 3 Гбайт, максимальный —
256 Тбайт.
ПРИМЕЧАНИЕ: В момент создания всех «тонких» файловых систем, вне зависимости от их размера,
резервируется 1,5 Гбайт для метаданных. Например, после создания «тонкой» файловой системы емкостью
100 Гбайт в Модель PowerStore T сразу отображается, что 1,5 Гбайт занято. Когда файловая система смонтирована
на хосте, для нее отображается 98,5 Гбайт доступной емкости.
Это связано с тем, что пространство для метаданных резервируется из доступной емкости файловой системы.
5. Настройте для файловой системы первоначальный экспортируемый каталог.
ПРИМЕЧАНИЕ: Позднее в файловую систему можно добавить экспортируемые каталоги NFS.
6. Настройка прав доступа.
Параметр Описание
Minimum Выберите Sys, чтобы разрешить пользователям с небезопасным или безопасным NFS монтирование и
Security экспорт NFS в файловой системе. Если вы не настраиваете безопасный NFS, выберите этот вариант.
Если вы создаете файловую систему с безопасным NFS, вы можете выбрать один из следующих
вариантов:
16 Настройка экспортируемых каталогов NFSПараметр Описание
● Kerberos, чтобы разрешить любой тип безопасности Kerberos для проверки подлинности (krb5/krb5i/
krb5p).
● Kerberos with Integrity, чтобы разрешить Kerberos с целостностью и Kerberos с шифрованием для
проверки подлинности пользователя (krb5i/krb5p).
● Kerberos with Encryption, чтобы разрешить только Kerberos с шифрованием для проверки
подлинности пользователя (krb5p).
Default Тип доступа, применяемый для хостов по умолчанию. При необходимости можно выбрать другой тип
Access доступа к хосту при добавлении отдельных хостов. Возможные варианты:
● No Access — доступ к ресурсу хранилища или сетевой папке запрещен.
● Read/Write — хосты обладают разрешением на просмотр содержимого ресурса хранилища или
сетевой папки, но не обладают разрешением на запись в эти объекты.
● Read-Only — хосты обладают разрешением на чтение и запись в хранилище данных NFS или
сетевую папку.
ПРИМЕЧАНИЕ: Хосты ESXI должны обладать разрешением Read//Write для монтирования
хранилища данных NFS с использованием NFSv4 с проверкой подлинности Kerberos NFS owner.
● Read/Write, allow Root — хосты обладают разрешением на чтение ресурса хранилища или сетевой
папки и на запись в них, а также на предоставление и отзыв разрешений на доступ (например,
разрешения на чтение, изменение или выполнение определенных файлов и каталогов) для других
учетных записей, имеющих доступ к данному хранилищу. Учетная запись root клиента NFS имеет
root-доступ к сетевой папке.
ПРИМЕЧАНИЕ: Если хосты не являются частью поддерживаемых настроек кластера, не
следует предоставлять доступ для чтения и записи более чем одному хосту.
ПРИМЕЧАНИЕ: Хосты ESXi должны обладать разрешением Read/Write, allow Root для
монтирования хранилища данных NFS с использованием NFSv4 с проверкой подлинности
«Владелец NFS: корневой».
● Read-Only, allow Root — хосты обладают разрешением на просмотр содержимого сетевой папки, но
не имеют разрешения на запись в нее. Учетная запись root клиента NFS имеет root-доступ к сетевой
папке.
Add Host Введите хосты по отдельности или добавьте их, загрузив CSV-файл в надлежащем формате. Можно
сначала скачать CSV-файл, чтобы получить шаблон. Чтобы скачать, отредактировать и использовать
шаблон CSV-файла:
a. Щелкните значок Export Hosts.
b. Обновите CSV-файл с хостами и типы доступа, которые требуется импортировать.
c. Сохраните CSV-файл на локальном компьютере.
d. Щелкните Import CSV file.
e. Найдите CSV-файл и щелкните Open в окне проводника Microsoft.
Хосты из CSV-файла отобразятся в списке хостов импорта с параметром Access Type,
определенным в CVS-файле.
Параметр Описание
Локальный Путь к ресурсу хранения данных файловой системы в СХД. Этот путь задает уникальное
путь расположение сетевой папки в СХД.
● Каждая сетевая папка NFS должна иметь уникальный локальный путь.PowerStore автоматически
назначает этот путь изначальному экспортируемому каталогу, который создается в новой
файловой системе. Имя локального пути основано на имени файловой системы.
● Для создания дополнительных экспортируемых каталогов в файловой системе NFS необходимо
создать каталог для общего доступа на хосте Linux/UNIX, подключенном к файловой системе.
Затем можно создать экспортируемый каталог в PowerStore и предоставить соответствующие
разрешения на доступ.
Путь экспорта Путь, используемый хостом для подключения к экспортируемому каталогу. PowerStore создает
путь к экспортируемому каталогу на основе IP-адреса хоста и имени экспортируемого каталога.
Для монтирования экспортируемого каталога или подключения к нему с сетевых хостов хосты
используют имя файла или путь к экспортируемому каталогу.
7. При необходимости добавьте в файловую систему политику защиты данных.
Настройка экспортируемых каталогов NFS 17В случае добавления политики защиты данных в файловую систему эта политика должна быть создана до создания
файловой системы. Для защиты данных файловых систем поддерживаются только моментальные снимки. Репликация
в файловой системе не поддерживается.
8. Просмотрите сводную информацию и нажмите Create File System.
Файловая система будет добавлена на вкладку File System. Если вы одновременно создали экспортируемый каталог,
он отобразится на вкладке NFS export.
Создание экспорта NFS
Вы можете создать экспорт NFS в файловой системе.
1. Выберите Storage > File Systems > NFS Export.
2. Нажмите Create.
Запустится мастер Create NFS Export.
3. Введите запрашиваемые сведения, приняв во внимание следующую информацию.
● До создания экспортируемого каталога NFS необходимо создать моментальные снимки.
● Локальный путь Local Path должен соответствовать имени существующей папки в файловой системе, которая была
создана на хосте.
● Значение, указанное на странице NFS Export Details, поле Name, в сочетании с именем сервера NAS представляет
собой имя, используя которое хосты получают доступ к экспортируемому каталогу.
● Имена экспортируемых каталогов NFS должны быть уникальными на уровне сервера NAS для каждого протокола.
Однако для сетевой папки SMB и экспортируемых каталогов NFS можно указывать одно и то же имя.
4. После подтверждения настроек нажмите Create NFS Export.
Экспортируемый каталог NFS отобразится на странице NFS Export.
18 Настройка экспортируемых каталогов NFS4
Дополнительные функции сервера NAS
В этой главе содержатся следующие разделы:
Темы:
• Назначение предпочтительного сервиса каталогов UNIX
• Настройка сетей сервера NAS
• Включение защиты данных и событий NDMP
Назначение предпочтительного сервиса каталогов
UNIX
После создания сервера NAS можно задать предпочтительный порядок поиска сервисов каталогов UNIX (UDS) для доступа
пользователей.
1. Выберите Storage > NAS Servers.
2. Установите флажок в столбце Name слева от сервера NAS.
3. Нажмите Изменить.
4. Выберите предпочтительный порядок поиска UDS для использования в раскрывающемся списке Unix Directory Service
Search Order.
5. Нажмите Применить.
Настройка сетей сервера NAS
Можно изменить или настроить сети сервера NAS.
Настройте для сетей сервера NAS следующие объекты:
● файловые интерфейсы;
● маршруты к внешним сервисам, например хостам.
Настройка файловых интерфейсов для сервера NAS
После добавления сервера NAS в PowerStore для него можно настроить файловые интерфейсы.
Можно добавить дополнительные файловые интерфейсы и определить предпочтительный интерфейс для использования.
Также можно определить, какой интерфейс следует использовать для инфраструктуры и резервного копирования либо для
IPv4 или IPv6.
1. Выберите Storage > NAS Servers > [nas server].
2. Нажмите Add, чтобы добавить на сервер NAS еще один файловый интерфейс.
3. Введите свойства файлового интерфейса.
ПРИМЕЧАНИЕ: Использовать виртуальные локальные сети, задействованные для управления и сетей хранения,
нельзя.
4. Вы можете выполнить следующие действия с файловым интерфейсом, выбрав файловый интерфейс из списка.
Нажмите…
Параметр Описание
Изменение Изменение свойств файлового интерфейса.
Дополнительные функции сервера NAS 19Параметр Описание
Delete Удаление файлового интерфейса с сервера NAS.
Ping Проверка возможности подключения сервера NAS к внешнему IP-адресу.
Предпочтительный Определение интерфейса, который система PowerStore должна использовать по
интерфейс умолчанию, если определены несколько интерфейсов инфраструктуры и резервного
копирования.
Настройка маршрутов для файлового интерфейса внешних
подключений
Можно настроить маршруты, которые файловая система использует для внешних подключений.
Чтобы определить, имеет ли файловый интерфейс доступ к внешнему ресурсу, можно использовать функцию Ping карты
File Interface.
Как правило, для интерфейсов сервера NAS настроен шлюз по умолчанию, который используется для маршрутизации
запросов от интерфейса сервера NAS к внешним сервисам.
Выполните следующие шаги.
● Если необходимо настроить более детализированные маршруты к внешним сервисам.
● Чтобы добавить маршрут для доступа к серверу с определенного интерфейса через конкретный шлюз.
1. Выберите Storage > NAS Servers > [nas server] > Networks > Routes to External Services.
2. Нажмите Add, чтобы ввести сведения о маршруте в мастере Add Route.
Включение защиты данных и событий NDMP
Стандартное резервное копирование для серверов NAS можно настроить с использованием NDMP. Протокол NDMP
обеспечивает стандарт для резервного копирования файловых серверов в сети. Если он включен, приложение для
управления данными (DMA) стороннего производителя, например Dell EMC Networker, может обнаружить NDMP PowerStore
с помощью IP-адреса сервера NAS.
NDMP включается после создания сервера NAS.
PowerStore поддерживает:
● Трехсторонний протокол NDMP. Данные передаются в режиме прямого доступа к памяти (DMA) по локальной или
глобальной сети.
● Полное и добавочное резервное копирование.
1. Выберите Storage > NAS Servers > [nas server] > Protection and Events .
2. Если в разделе NDMP Backup включен параметр Disabled, сдвиньте кнопку, чтобы изменить его на Enabled.
3. Введите пароль в поле New Password.
Имя пользователя всегда ndmp.
4. Введите этот же пароль в поле Verify Password еще раз в качестве нового пароля.
5. Нажмите Применить.
Покиньте страницу NDMP, а затем вернитесь на нее, чтобы убедиться, что протокол NDMP включен.
20 Дополнительные функции сервера NAS5
Дополнительные функции файловой
системы
В этой главе содержатся следующие разделы:
Темы:
• Квоты файловой системы
Квоты файловой системы
Чтобы иметь возможность отслеживать и ограничивать использование дискового пространства, следует настроить квоты
для файловых систем на уровне файловой системы или каталога. Включать и отключать квоты можно в любой момент,
но рекомендуется включать или отключать их в непиковое время во избежание негативного влияния на работу файловой
системы.
ПРИМЕЧАНИЕ: Включать квоты для файловых систем, доступных только для чтения, невозможно.
Типы квот
Существует три типа квот, которые можно применить в файловой системе.
Таблица 2. Типы квот
Type Описание
Квоты пользователей Ограничивает объем пространства, используемого для хранения данных
отдельного пользователя в файловой системе.
Квота в виде дерева Деревья квот ограничивают общий объем пространства, используемого для
определенного дерева каталогов. Деревья квот можно использовать в следующих
целях:
● Задайте ограничения хранилища на уровне проекта. Например, это дает
возможность создавать деревья квот для каталога проекта, в рамках которого
несколько пользователей могут создавать файлы.
● Отслеживание использования каталога путем установки значения 0 (нуль) для
жесткого и мягкого ограничений квот дерева.
ПРИМЕЧАНИЕ: Ограничения для дерева квот можно менять, и изменения
вступят в силу немедленно без прерывания операций файловой системы.
Квота пользователей для дерева квот Ограничивает объем пространства, используемого для хранения данных
отдельного пользователя в дереве квот.
Ограничения квот
Таблица 3. Жесткие и мягкие ограничения
Type Описания
Жесткое ограничение Жесткое ограничение является абсолютным предельным значением при использовании
ресурсов хранения данных.
Дополнительные функции файловой системы 21Таблица 3. Жесткие и мягкие ограничения (продолжение)
Type Описания
При достижении жесткого ограничения для квоты пользователя в файловой системе или
дереве квот пользователь не сможет осуществлять запись данных в файловую систему
или дерево, пока не станет доступно больше пространства. При достижении жесткого
ограничения для дерева квот ни один пользователь не сможет осуществлять запись
данных в дерево, пока не станет доступно больше пространства.
Мягкое ограничение Мягкое ограничение более предпочтительно при использовании ресурсов хранения.
Пользователю разрешается использовать пространство до тех пор, пока не закончится
льготный период.
Затем до завершения льготного периода пользователю выдается оповещение о
достижении мягкого ограничения. После этого осуществляется переход в состояние
отсутствия пространства, для выхода из которого объем данных пользователя
необходимо сократить до значений, не превышающих мягкого ограничения.
Льготный период квоты
Льготный период квоты дает возможность указать определенный льготный период для каждой квоты дерева в файловой
системе. Льготный период отсчитывает время между мягким и жестким ограничениями, а также оповещает пользователя о
времени, оставшемся до достижения жесткого ограничение. По истечении льготного периода вы не сможете осуществлять
запись в файловую систему, пока не будет добавлено дополнительное пространство, даже если жесткое ограничение не
достигнуто.
Для льготного периода можно указать дату истечения срока действия. Значение по умолчанию — 7 дней. Вы также можете
задать в качестве даты истечения льготного периода неограниченное количество времени, и льготный период никогда не
закончится, либо указать количество дней, часов или минут. По истечении срока льготного периода он больше не будет
применяться к каталогу файловой системы.
Дополнительные сведения
Дополнительные сведения о квотах см. в Техническом документе о файловых возможностях Dell EMC PowerStore.
Включение квот пользователей
Необходимо включить квоты и задать значения квоты пользователей по умолчанию, прежде чем добавлять квоты
пользователей в файловую систему.
1. Выберите Storage > File Systems > [file system] > Quotas.
2. Выберите Storage > File Systems > [файловая система] > Quotas > Properties.
3. Сдвиньте кнопку Disabled вправо, чтобы она изменила значение на Enabled.
4. Введите Grace Period, используемый по умолчанию для квоты пользователей в файловой системе, который будет
отсчитывать время после достижения мягкого ограничения и до достижения жесткого ограничения.
5. Введите Soft Limit и Hard Limit, используемые по умолчанию, и щелкните Update.
Добавление квот пользователей в файловую систему
Создайте квоту пользователя в файловой системе, чтобы ограничить или отслеживать объем пространства системы
хранения, который занимают отдельные пользователи в этой файловой системе. При создании или изменении квот
пользователей можно использовать жесткое и мягкое ограничения по умолчанию, которые устанавливаются на уровне
файловой системы.
Необходимо включить квоты и задать значения квоты пользователей по умолчанию, прежде чем добавлять квоты
пользователей в файловую систему. См. раздел Включение квот пользователей.
ПРИМЕЧАНИЕ: Создать квоты для файловых систем, доступных только для чтения, невозможно.
22 Дополнительные функции файловой системы1. Выберите Storage > File Systems > [файловая система] > Quotas > User.
2. На странице User Quota выберите Add.
3. В мастере Add User Quota укажите запрашиваемые сведения. Для отслеживания потребления пространства без
задания ограничений установите для параметров Soft Limit и Hard Limit значение 0, указывающее на отсутствие
ограничений.
4. Нажмите кнопку Add.
Добавление дерева квот в файловую систему
Создайте дерево квот на уровне каталога файловой системы, чтобы ограничить используемое для этого каталога
пространство для хранения данных или отслеживать его.
1. Выберите Storage > File Systems > [file system] > Quotas > Tree Quotas.
2. Нажмите кнопку Add.
3. Сдвиньте переключатель Enforce User Quota вправо, чтобы включить квоту пользователя по умолчанию в дереве квот.
4. Введите запрашиваемые сведения.
● Введите Grace Period для отсчета времени между мягкими и жесткими ограничениями. Вы начнете получать
оповещения по истечении льготного периода.
● Для отслеживания использования пространства без введения ограничений установите в полях Soft Limit и Hard
Limit значение 0, соответствующее отсутствию ограничений.
5. Нажмите кнопку Add.
Добавление квот пользователей в дерево квот
Квоты пользователей в дереве квот создаются для ограничения или отслеживания объема пространства для хранения
данных, используемого отдельными пользователями в этом дереве. При создании квот пользователей в дереве квот
можно использовать льготный период по умолчанию, а также жесткое и мягкое ограничения по умолчанию, которые
устанавливаются на уровне дерева квот.
1. Выберите Storage > File Systems > [file system] > Quotas > Tree Quotas.
2. Выберите путь и нажмите Add User Quota.
3. На экране Add User Quota укажите запрашиваемые сведения. Для отслеживания использования пространства
без введения ограничений установите в полях Soft Limit и Hard Limit значение 0, соответствующее отсутствию
ограничений.
Дополнительные функции файловой системы 23Вы также можете почитать
