Configurer le protocole NFSv4.1

Console Google Cloud

Configurer les paramètres de l'instance

1. Dans la console Google Cloud, accédez à la page Instances Filestore.

   Accéder à la page des instances Filestore

2. Cliquez sur Create Instance (Créer une instance).

3. Spécifiez les paramètres de base de l'instance, y compris le nom, le type d'instance et la capacité:

   1. Dans le champ ID d'instance, saisissez le nom que vous souhaitez utiliser pour l'instance Filestore.

   2. Dans Type d'instance, sélectionnez Régional ou Zonal.

      Pour créer une instance d'entreprise, vous devez exécuter des opérations directement via l'API Filestore.

   3. Dans Capacité allouée, saisissez la capacité que vous souhaitez utiliser. Vous devez saisir une valeur comprise entre 1 To et 10 To, par incréments de 256 Gio (0,25 To).

   4. Dans Région, sélectionnez la région que vous souhaitez utiliser.

   5. Dans Réseau VPC, sélectionnez le réseau que vous souhaitez utiliser pour l'instance Filestore et les clients NFS.

      • Si Microsoft AD géré se trouve dans le même projet que l'instance Filestore, le réseau VPC doit être autorisé dans le domaine Microsoft AD géré.
      • Si Microsoft AD géré se trouve dans un projet distinct, le réseau VPC doit être configuré avec l'appairage de réseau Active Directory dans la configuration Microsoft AD géré.

   6. Dans Plage d'adresses IP allouée, sélectionnez Utiliser une plage d'adresses IP automatiquement allouée (recommandé).

   7. Dans Protocole, sélectionnez NFSv4.1.

Configurer les paramètres d'authentification de l'instance

1. Configurez les paramètres d'authentification de l'instance.
   1. Cliquez sur Authentification.
   2. Sélectionnez le projet hébergeant Microsoft AD géré. Pour les besoins de ce guide, nous supposerons que le projet actuel est celui que nous souhaitons utiliser.
   3. Dans la liste Rejoindre un domaine Active Directory, sélectionnez le domaine Microsoft AD géré que vous souhaitez utiliser.
   4. Dans le champ Nom du compte d'ordinateur, saisissez le nom du compte d'ordinateur que vous souhaitez utiliser pour identifier l'instance Filestore dans le domaine Microsoft AD géré. Le nom est limité à 15 caractères alphanumériques.
   5. Dans le champ Nom du partage de fichiers, saisissez le nom du partage tel qu'il sera utilisé par les clients NFSv4.1.

2. Dans le volet Contrôle des accès, procédez comme suit:

   • Si vous utilisez Microsoft AD géré, sélectionnez Limiter l'accès par adresse IP ou plage d'adresses.

     1. Définissez la règle d'accès en fonction de l'adresse IP ou du sous-réseau que vous souhaitez définir. Pour les besoins de ce guide, utilisez les paramètres suivants:
     2. Dans le champ Adresse IP ou plage 1, saisissez l'adresse IP ou la plage que vous souhaitez utiliser.
     3. Cliquez sur la liste déroulante Accès 1, puis sélectionnez Administrateur.
     4. Cliquez sur la liste déroulante Mountsec= 1 (Montersec= 1), puis cochez la case sys.

     Le propriétaire / par défaut de Filestore est root. Pour autoriser d'autres utilisateurs et groupes à accéder à l'instance, vous devez créer une règle d'accès qui autorise l'accès aux VM de gestion à l'aide du rôle Admin et du paramètre de sécurité sec=sys.

   • Si vous n'utilisez pas Microsoft AD géré, sélectionnez Accorder l'accès à tous les clients sur le réseau VPC.

     Si le service Microsoft AD géré n'est pas utilisé, le seul paramètre de sécurité compatible est sec=sys.

3. Cliquez sur Créer pour créer l'instance.

gcloud

1. Installez et initialisez gcloud CLI.

   Si gcloud CLI est déjà installé, exécutez la commande suivante pour le mettre à jour:

   gcloud components update
   

2. Effectuez l'une des opérations suivantes:

   1. Si vous utilisez Microsoft AD géré, exécutez la commande gcloud beta filestore instances create suivante pour créer une instance Filestore zonale, régionale ou d'entreprise:

      gcloud beta filestore instances create INSTANCE-ID \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --tier=TIER \
      --protocol=PROTOCOL \
      --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
      --network=name="VPC_NETWORK",connect-mode=CONNECT_MODE,reserved-ip-range="RESERVED_IP_RANGE" \
      --managed-ad=domain=projects/MANAGED_AD_PROJECT_ID/locations/global/domains/MANAGED_AD_DOMAIN_NAME,computer=DOMAIN_COMPUTER_ACCOUNT \
      --project=CONSUMER_PROJECT_ID
      

      Remplacez les éléments suivants :

      • INSTANCE_ID est l'ID de l'instance Filestore que vous souhaitez créer. Consultez la section Nommer votre instance.
      • DESCRIPTION est une description de l'instance que vous souhaitez utiliser.
      • LOCATION est l'emplacement où vous souhaitez que l'instance Filestore réside.
      • TIER correspond au niveau de service que vous souhaitez utiliser.
      • PROTOCOL est NFS_v4_1.
      • FILE_SHARE_NAME est le nom que vous spécifiez pour le partage de fichiers NFS qui est diffusé à partir de l'instance.
      • CAPACITY correspond à la taille souhaitée pour le partage de fichiers, comprise entre 1 Tio et 10 Tio.

      • VPC_NETWORK est le nom du réseau VPC que l'instance devra utiliser. Consultez la section Sélectionner le réseau VPC. Si vous souhaitez spécifier un VPC partagé à partir d'un projet de service, vous devez spécifier le nom de réseau complet, au format projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME, et spécifier connect-mode=PRIVATE_SERVICE_ACCESS, comme suit:

        --network=name=projects/host/global/networks/shared-vpc-1,connect-mode=PRIVATE_SERVICE_ACCESS

        Il est impossible de spécifier un ancien réseau pour la valeur vpc_network. Si nécessaire, créez un réseau VPC à utiliser en suivant les instructions de la section Créer un réseau VPC en mode automatique.

      • MANAGED_AD_PROJECT_ID correspond à l'ID du projet dans lequel se trouve le service Microsoft AD géré.

      • MANAGED_AD_DOMAIN_NAME correspond au nom de domaine du service Microsoft AD géré que vous souhaitez utiliser. Il s'agit du nom de domaine que vous choisissez lorsque vous créez un domaine Microsoft AD géré.

      • DOMAIN_COMPUTER_ACCOUNT correspond à tout nom que vous souhaitez donner au cluster dans le domaine.

      • CONSUMER_PROJECT_ID est l'ID du projet contenant l'instance Filestore.

      • CONNECT_MODE est DIRECT_PEERING ou PRIVATE_SERVICE_ACCESS. Si vous spécifiez un VPC partagé comme réseau, vous devez également spécifier PRIVATE_SERVICE_ACCESS comme mode de connexion. Cet indicateur est requis pour l'appairage de réseaux VPC, qui est obligatoire lorsque vous utilisez Microsoft AD géré.

      • RESERVED_IP_RANGE est la plage d'adresses IP de l'instance Cloud Filestore. Si vous spécifiez connect-mode=PRIVATE_SERVICE_ACCESS et que vous souhaitez utiliser une plage d'adresses IP réservée, vous devez spécifier le nom d'une plage d'adresses allouée au lieu d'une plage CIDR. Consultez la section Configurer une adresse IP réservée. Nous vous recommandons d'ignorer cette option pour permettre à Filestore d'identifier automatiquement une plage d'adresses IP libre et de l'attribuer à l'instance.

   2. Si vous n'utilisez pas Microsoft AD géré, exécutez la même commande que l'étape précédente pour créer une instance Filestore, en omettant l'option --managed-ad et les options de mise en pairage de réseau VPC, à savoir connect-mode et reserved-ip-range. Utilisez la commande suivante comme exemple:

      gcloud beta filestore instances create INSTANCE-ID \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --tier=TIER \
      --protocol=PROTOCOL \
      --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
      --network=name="VPC_NETWORK" \
      --project=CONSUMER_PROJECT_ID
      

Image Ubuntu

1. Connectez-vous en SSH à l'instance Compute Engine.

2. Exécutez les commandes suivantes pour rejoindre le domaine Microsoft AD géré.

   1. Exécutez la commande de configuration suivante:

      sudo apt-get update \
      sudo apt-get -y -qq install adcli realmd sssd sssd-tools packagekit krb5-user \ nfs-common expect retry
      

   2. Lorsque vous êtes invité à indiquer un domaine, remplacez l'entrée existante par le domaine Microsoft AD géré utilisé sur l'instance Filestore. Saisissez la valeur en majuscules, puis appuyez sur la touche de flèche pour sélectionner OK, puis sur Entrée.

   3. Lorsque vous êtes invité à saisir des hôtes, laissez ce champ vide et continuez.

   4. Effectuez l'une des opérations suivantes:

      • Pour les VM dont le nom d'hôte est inférieur ou égal à 15 caractères, exécutez la commande suivante:

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
        

        Remplacez les éléments suivants :

        • JOIN_DOMAIN_USER correspond au nom du compte utilisateur utilisé pour rejoindre le domaine.
        • MANAGED_AD_DOMAIN_NAME correspond au nom de domaine du service Microsoft AD géré que vous souhaitez utiliser.

      • Pour les VM dont le nom d'hôte est supérieur à 15 caractères, exécutez la commande suivante:

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
        

        Remplacez les éléments suivants :

        • JOIN_DOMAIN_USER correspond au nom du compte utilisateur utilisé pour rejoindre le domaine.
        • MANAGED_AD_REALM_NAME correspond au nom de domaine du service Microsoft AD géré que vous souhaitez utiliser.
        • MANAGED_AD_DOMAIN_NAME correspond au nom de domaine du service Microsoft AD géré que vous souhaitez utiliser.

3. Mettez à jour la configuration Kerberos. Mettez à jour /etc/krb5.conf avec la définition de domaine et le mappage de domaine requis:

    [realms]
             DOMAIN_NAME = {
                      kdc = DOMAIN_NAME
                      default_domain = DOMAIN_NAME
             }
    [domain_realm]
             .domain_name_lowercase = DOMAIN_NAME
             domain_name_lowercase = DOMAIN_NAME
   

   Remplacez les éléments suivants :

   • DOMAIN_NAME correspond au nom de domaine que vous souhaitez utiliser, saisi en majuscules.
   • domain_name_lowercase correspond au nom de domaine que vous souhaitez utiliser, saisi en minuscules.

   Reportez-vous à l'exemple suivant:

   [realms]
          FILE.DEMO.LOCAL = {
                   kdc = FILE.DEMO.LOCAL
                   default_domain = FILE.DEMO.LOCAL
          }
   
   [domain_realm]
          .file.demo.local = FILE.DEMO.LOCAL
          file.demo.local = FILE.DEMO.LOCAL
   

4. Exécutez le service rpc-gssd. Ajoutez la valeur d'attribut No-Strip suivante à la section [General] dans /etc/idmapd.conf:

    [General]
    No-Strip = both
   

5. Exécutez la commande suivante :

   sudo systemctl restart rpc-gssd
   

Image CentOS

1. Connectez-vous en SSH à l'instance Compute Engine.

2. Associez la VM au domaine Microsoft AD géré:

   sudo yum update \
   sudo yum install -y adcli realmd sssd samba-common-tools krb5-workstation nfs-utils \ bind-utils openldap-clients
   

3. Effectuez l'une des opérations suivantes:

   • Pour les VM dont le nom d'hôte est inférieur ou égal à 15 caractères, exécutez la commande suivante:

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
     

     Remplacez les éléments suivants :

     • JOIN_DOMAIN_USER correspond au nom du compte utilisateur utilisé pour rejoindre le domaine.
     • MANAGED_AD_DOMAIN_NAME correspond au nom de domaine du service Microsoft AD géré que vous souhaitez utiliser.

   • Pour les VM dont le nom d'hôte est supérieur à 15 caractères, exécutez la commande suivante:

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
     

     Remplacez les éléments suivants :

     • JOIN_DOMAIN_USER correspond au nom du compte utilisateur utilisé pour rejoindre le domaine.
     • MANAGED_AD_REALM_NAME correspond au nom de domaine du service Microsoft AD géré que vous souhaitez utiliser.
     • MANAGED_AD_DOMAIN_NAME correspond au nom de domaine du service Microsoft AD géré que vous souhaitez utiliser.

4. Assurez-vous que le service sssd est en cours d'exécution:

   sudo systemctl status sssd
   

5. Exécutez le service rpc-gssd. Ajoutez le code suivant sous la valeur de l'attribut No-Strip à la section [General] dans /etc/idmapd.conf:

   [General]
   No-Strip = both
   

6. Exécutez la commande suivante : Cette commande permet de s'assurer que le client NFS ne supprime pas le nom de domaine du nom d'hôte du serveur NFS. Pour en savoir plus, consultez les archives de la liste NFS Ganesha et l'archive Arch Linux :

   sudo systemctl start rpc-gssd
   

Console Google Cloud

Déconnecter un domaine Microsoft AD géré d'une instance Filestore

1. Déconnecter une instance Filestore connectée à Microsoft AD géré

   Dans la console Google Cloud, accédez à la page "Instances Filestore".

   Accéder à la page des instances Filestore

2. Cliquez sur l'ID de l'instance à modifier.

3. Dans le volet Point d'installation NFS, sous Protocole, à côté de Nom du service d'annuaire, cliquez sur delete Dissocier le domaine AD.

4. Dans la fenêtre Déconnexion du domaine échouée, lisez l'alerte, puis cliquez sur Modifier l'instance.

   Au moins une règle dans Contrôle des accès doit être mappée au rôle Administrateur avec le paramètre de sécurité de montage sys, par exemple Access=Admin Mount (Accès = Montage administrateur) et sec=sys.

5. Dans le volet Modifier le partage, recherchez la règle pour laquelle Accès est défini sur Administrateur. Cliquez sur Monter sec=, puis sélectionnez sys pour ajouter cette option au paramètre existant.

6. Cliquez sur OK.

7. Cliquez sur Enregistrer.

8. À côté de Nom du service d'annuaire, cliquez sur delete Déconnecter le domaine AD.

9. Dans le champ de la fenêtre Déconnecter du domaine ?, saisissez le nom du domaine dont vous souhaitez vous déconnecter.

10. Cliquez sur Déconnecter.

Modifier les règles d'accès

1. Actualisez la page. Notez que Nom du service d'annuaire est désormais défini sur Aucun.

2. Cliquez sur Modifier.

3. Dans le volet Modifier le partage, recherchez toute règle qui définit l'accès pour un rôle autre que Admin, comme Éditeur. Dans la règle, cliquez sur Monter sec=, puis sélectionnez sys pour l'ajouter au paramètre existant. Cliquez sur OK.

4. Cliquez sur Enregistrer.

5. Actualisez la page.

   Les paramètres de la règle sont mis à jour.

Reconnecter un domaine Microsoft AD géré à une instance Filestore

1. Reconnecter une instance Filestore à Microsoft AD géré

   Dans le volet Point de montage NFS, sous Protocole, à côté de Nom du service d'annuaire, cliquez sur edit Joindre le domaine AD.

2. Dans la fenêtre Joindre cette instance à un domaine Active Directory, sélectionnez Utiliser les domaines du projet en cours. Dans le menu Joindre un domaine Active Directory, sélectionnez le domaine que vous souhaitez utiliser.

3. Dans le menu Nom du compte de l'ordinateur, saisissez un nom.

4. Cliquez sur Rejoindre le domaine.

5. Actualisez la page. Notez que Directory service name (Nom du service d'annuaire) a été mis à jour avec votre sélection.

6. Cliquez sur Modifier.

7. Dans le volet Modifier le partage, cliquez sur Mount sec= ... (Monter sec=…) dans toutes les règles applicables, puis supprimez la sélection sys. Cliquez sur OK.

8. Cliquez sur Enregistrer.

9. Actualisez la page.

   Les paramètres de la règle sont mis à jour.