NFSv4.1 プロトコルの構成

Google Cloud コンソール

インスタンス パラメータを設定する

1. Google Cloud コンソールで、Filestore インスタンス ページに移動します。

   Filestore インスタンス ページに移動

2. [インスタンスを作成] をクリックします。

3. インスタンスの基本パラメータ（名前、インスタンスタイプ、容量）を指定します。

   1. [インスタンス ID] フィールドに、Filestore インスタンスに使用する名前を入力します。

   2. [Instance Type] で、[リージョン] または [ゾーン] を選択します。

      エンタープライズ インスタンスを作成するには、Filestore API を使用してオペレーションを直接実行する必要があります。

   3. [割り当て容量] に、使用する容量を入力します。1 TB と 10 TB の間の値を 256 GiB（0.25 TiB）刻みで入力する必要があります。

   4. [リージョン] で、使用するリージョンを選択します。

   5. [VPC ネットワーク] で、Filestore インスタンスと NFS クライアントに使用するネットワークを選択します。

      • Managed Microsoft AD が Filestore インスタンスと同じプロジェクトにある場合は、VPC ネットワークを Managed Microsoft AD ドメインで承認する必要があります。
      • Managed Microsoft AD が別のプロジェクトにある場合、VPC ネットワークは、Managed Microsoft AD 構成で Active Directory ネットワーク ピアリングで構成する必要があります。

   6. [割り当てられた IP 範囲] で、[自動的に割り当てられた IP 範囲を使用する（推奨）] を選択します。

   7. [プロトコル] で [NFSv4.1] を選択します。

インスタンスの認証設定を構成する

1. インスタンスの認証設定を構成します。
   1. [認証] をクリックします。
   2. Managed Microsoft AD をホストするプロジェクトを選択します。このガイドでは、現在のプロジェクトを使用するプロジェクトであると仮定します。
   3. [Active Directory ドメインに参加] リストで、使用する Managed Microsoft AD ドメインを選択します。
   4. [コンピュータ アカウント名] フィールドに、Managed Microsoft AD ドメインで Filestore インスタンスを識別するために使用するコンピュータ アカウント名を入力します。名前は英数字 15 文字以内に制限されています。
   5. [ファイル共有名] フィールドに、NFSv4.1 クライアントで使用される共有名を入力します。

2. [アクセス制御] ペインで、次のいずれかの手順を完了します。

   • Managed Microsoft AD を使用する場合は、[IP アドレスまたは範囲でアクセスを制限する] を選択します。

     1. 定義する IP またはサブネットによってアクセスルールを設定します。このガイドでは、次の設定を使用します。
     2. [IP アドレスまたは範囲 1] フィールドに、使用する IP アドレスまたは範囲を入力します。
     3. [アクセス 1] プルダウン リストをクリックし、[管理者] を選択します。
     4. [マウントsec= 1] プルダウン リストをクリックし、[シス] チェックボックスをオンにします。

     Filestore のデフォルトの / のオーナーは root です。他のユーザーとグループのインスタンスへのアクセスを有効にするには、Admin ロールと sec=sys セキュリティ設定を使用して、管理 VM アクセスを有効にするアクセスルールを作成する必要があります。

   • Managed Microsoft AD を使用していない場合は、[VPC ネットワーク上のすべてのクライアントへのアクセス権を付与する] を選択します。

     Managed Microsoft AD を使用していない場合、サポートされるセキュリティ設定は sec=sys のみです。

3. [作成] をクリックしてインスタンスを作成します。

gcloud

1. gcloud CLI をインストールして初期化します。

   gcloud CLI がすでにインストールされている場合は、次のコマンドを実行して更新します。

   gcloud components update
   

2. 次のいずれかの手順を実行します。

   1. Managed Microsoft AD を使用している場合は、次の gcloud beta filestore instances create コマンドを実行して、Filestore ゾーン、リージョン、エンタープライズ インスタンスを作成します。

      gcloud beta filestore instances create INSTANCE-ID \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --tier=TIER \
      --protocol=PROTOCOL \
      --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
      --network=name="VPC_NETWORK",connect-mode=CONNECT_MODE,reserved-ip-range="RESERVED_IP_RANGE" \
      --managed-ad=domain=projects/MANAGED_AD_PROJECT_ID/locations/global/domains/MANAGED_AD_DOMAIN_NAME,computer=DOMAIN_COMPUTER_ACCOUNT \
      --project=CONSUMER_PROJECT_ID
      

      以下を置き換えます。

      • INSTANCE_ID は作成する Filestore インスタンスのインスタンス ID です。インスタンスに名前を付けるをご覧ください。
      • DESCRIPTION は、使用するインスタンスの説明です。
      • LOCATION は、Filestore インスタンスを配置する場所です。
      • TIER は、使用するサービス階層に置き換えます。
      • PROTOCOL は NFS_v4_1 に設定されています。
      • FILE_SHARE_NAME は、インスタンスから提供される NFS ファイル共有に指定する名前です。
      • CAPACITY は、ファイル共有に使用するサイズで、1 TiB と 10 TiB の間です。

      • VPC_NETWORK は、インスタンスで使用する VPC ネットワークの名前です。VPC ネットワークを選択するをご覧ください。サービス プロジェクトから共有 VPC を指定する場合は、完全修飾ネットワーク名を指定します。これは形式 projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME で、次のように connect-mode=PRIVATE_SERVICE_ACCESS を指定する必要があります。

        --network=name=projects/host/global/networks/shared-vpc-1,connect-mode=PRIVATE_SERVICE_ACCESS

        vpc_network 値に以前のネットワークを指定することはできません。必要に応じて、自動モードの VPC ネットワークを作成するの手順に沿って、使用する新しい VPC ネットワークを作成します。

      • MANAGED_AD_PROJECT_ID は、Managed Microsoft AD サービスが配置されているプロジェクト ID です。

      • MANAGED_AD_DOMAIN_NAME は、使用する Managed Microsoft AD サービスのドメイン名です。それは、Managed Microsoft AD ドメインを作成するときに選択するドメイン名です。

      • DOMAIN_COMPUTER_ACCOUNT は、ドメイン内で呼び出すクラスタの名前です。

      • CONSUMER_PROJECT_ID は、Filestore インスタンスを含むプロジェクトのプロジェクト ID です。

      • CONNECT_MODE は DIRECT_PEERING または PRIVATE_SERVICE_ACCESS です。 共有 VPC をネットワークとして指定する場合は、接続モードとして PRIVATE_SERVICE_ACCESS も指定する必要があります。このフラグは、VPC ネットワーク ピアリングに必要です。これは、Managed Microsoft AD を使用する場合の要件です。

      • RESERVED_IP_RANGE は、Filestore インスタンスの IP アドレス範囲です。connect-mode=PRIVATE_SERVICE_ACCESS が指定されていて、予約された IP アドレス範囲を使用する場合は、CIDR 範囲ではなく、割り当てられたアドレス範囲の名前を指定する必要があります。予約済み IP アドレスを構成するをご覧ください。このフラグを省略して、Filestore が空いている IP アドレス範囲を自動的に見つけてインスタンスに割り当てられるようにすることをおすすめします。

   2. Managed Microsoft AD を使用しない場合は、前の手順と同じコマンドを実行して Filestore インスタンスを作成します。--managed-ad フラグと、VPC ネットワーク ピアリングのフラグ、つまり connect-mode と reserved-ip-range は省略します。次のコマンドを使用します。

      gcloud beta filestore instances create INSTANCE-ID \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --tier=TIER \
      --protocol=PROTOCOL \
      --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
      --network=name="VPC_NETWORK" \
      --project=CONSUMER_PROJECT_ID
      

Ubuntu イメージ

1. Compute Engine インスタンスに SSH 接続します。

2. 次のコマンドを実行して、Managed Microsoft AD ドメインに参加します。

   1. 次のコマンドを実行します。

      sudo apt-get update \
      sudo apt-get -y -qq install adcli realmd sssd sssd-tools packagekit krb5-user \ nfs-common expect retry
      

   2. レルムの入力を求められたら、既存のエントリを Filestore インスタンスで使用されている Managed Microsoft AD ドメインに置き換えます。値を大文字で入力してから、矢印キーを押して [OK] を選択し、[Enter] キーを押します。

   3. ホストを求めるメッセージが表示されたら、空白のままにして続行します。

   4. 次のいずれかの手順を実行します。

      • ホスト名の長さが 15 文字以下の VM の場合は、次のコマンドを実行します。

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
        

        以下を置き換えます。

        • JOIN_DOMAIN_USER は、ドメインに参加するために使用されるユーザー アカウントの名前です。
        • MANAGED_AD_DOMAIN_NAME は、使用する Managed Microsoft AD サービスのドメイン名です。

      • ホスト名の長さが 15 文字を超える VM の場合は、次のコマンドを実行します。

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
        

        以下を置き換えます。

        • JOIN_DOMAIN_USER は、ドメインに参加するために使用されるユーザー アカウントの名前です。
        • MANAGED_AD_REALM_NAME は、使用する Managed Microsoft AD サービスのレルム名です。
        • MANAGED_AD_DOMAIN_NAME は、使用する Managed Microsoft AD サービスのドメイン名です。

3. Kerberos 構成を更新します。/etc/krb5.conf を、必要なレルムの定義とレルムドメイン マッピングで更新します。

    [realms]
             DOMAIN_NAME = {
                      kdc = DOMAIN_NAME
                      default_domain = DOMAIN_NAME
             }
    [domain_realm]
             .domain_name_lowercase = DOMAIN_NAME
             domain_name_lowercase = DOMAIN_NAME
   

   以下を置き換えます。

   • DOMAIN_NAME は、使用するドメイン名です。大文字で入力します。
   • domain_name_lowercase は、使用するドメイン名です。小文字で入力します。

   例については、以下を参照してください。

   [realms]
          FILE.DEMO.LOCAL = {
                   kdc = FILE.DEMO.LOCAL
                   default_domain = FILE.DEMO.LOCAL
          }
   
   [domain_realm]
          .file.demo.local = FILE.DEMO.LOCAL
          file.demo.local = FILE.DEMO.LOCAL
   

4. rpc-gssd サービスを実行します。次の No-Strip 属性値を /etc/idmapd.conf 内の [General] セクションに追加します。

    [General]
    No-Strip = both
   

5. 次のコマンドを実行します。

   sudo systemctl restart rpc-gssd
   

CentOS のイメージ

1. Compute Engine インスタンスに SSH 接続します。

2. Managed Microsoft AD ドメインに参加します。

   sudo yum update \
   sudo yum install -y adcli realmd sssd samba-common-tools krb5-workstation nfs-utils \ bind-utils openldap-clients
   

3. 次のいずれかの手順を実行します。

   • ホスト名の長さが 15 文字以下の VM の場合は、次のコマンドを実行します。

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
     

     以下を置き換えます。

     • JOIN_DOMAIN_USER は、ドメインへの参加に使用されるユーザー アカウントの名前です。
     • MANAGED_AD_DOMAIN_NAME は、使用する Managed Microsoft AD サービスのドメイン名です。

   • ホスト名の長さが 15 文字を超える VM の場合は、次のコマンドを実行します。

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
     

     以下を置き換えます。

     • JOIN_DOMAIN_USER は、ドメインへの参加に使用されるユーザー アカウントの名前です。
     • MANAGED_AD_REALM_NAME は、使用する Managed Microsoft AD サービスのレルム名です。
     • MANAGED_AD_DOMAIN_NAME は、使用する Managed Microsoft AD サービスのドメイン名です。

4. sssd サービスが実行されていることを確認します。

   sudo systemctl status sssd
   

5. rpc-gssd サービスを実行します。/etc/idmapd.conf 内の [General] セクションに、No-Strip 属性値の下に次の行を追加します。

   [General]
   No-Strip = both
   

6. 以下のコマンドを実行します。このコマンドは、NFS クライアントが NFS サーバー ホスト名からドメイン名を削除しないようにするのに役立ちます。詳細については、NFS Ganesha リスト アーカイブと Arch Linux アーカイブをご覧ください。

   sudo systemctl start rpc-gssd
   

Google Cloud コンソール

Filestore インスタンスから Managed Microsoft AD を接続解除する

1. Managed Microsoft AD に接続されている Filestore インスタンスを接続解除します。

   Google Cloud コンソールで、Filestore インスタンス ページに移動します。

   Filestore インスタンス ページに移動

2. 編集するインスタンスのインスタンス ID をクリックします。

3. [NFS マウント ポイント] ペインの [プロトコル] の下の [ディレクトリ サービス名] の隣の delete [AD ドメインを接続解除する] をクリックします。

4. [ドメインからの接続解除に失敗した] ウィンドウで、アラートを読んでから、[インスタンスを編集する] をクリックします。

   アクセス制御の少なくとも 1 つのルールは、Access=Admin Mountと sec= sys などの sys マウント セキュリティ設定で管理者ロールにマッピングされる必要があります。

5. [共有を編集する] ペインで、[アクセス] が [管理者] に設定されているルールを特定します。[Mount sec= ...] をクリックし、sys を選択して、そのオプションを既存の設定に追加します。

6. [OK] をクリックします。

7. [保存] をクリックします。

8. [ディレクトリ サービス名] の横で、 delete [AD ドメインを接続解除する] をクリックします。

9. [ドメインから接続解除しますか？] ウィンドウのフィールドに、接続解除するドメインの名前を入力します。

10. [接続を解除] をクリックします。

アクセスルールを編集する

1. ページを更新すると、[ディレクトリ サービス名] が [なし] に設定されていることに注意してください。

2. [編集] をクリックします。

3. [共有を編集する] ペインで、編集者などの管理者以外のロールへのアクセス権を設定するルールを特定します。ルールで [Mount sec= ...] をクリックし、sys を選択して既存の設定に追加します。[OK] をクリックします。

4. [保存] をクリックします。

5. ページを更新してください。

   ルールの設定が更新されます。

Managed Microsoft AD を Filestore インスタンスに再接続する

1. Filestore インスタンスを Managed Microsoft AD に再接続します。

   [NFS マウント ポイント] ペインの [プロトコル] の下の [ディレクトリ サービス名] の隣の edit [AD ドメインに参加する] をクリックします。

2. [このインスタンスを Active Directory ドメインに参加させる] ウィンドウで [現在のプロジェクトのドメインを使用する] を選択し、[Active Directory ドメインに参加する] メニューで使用するドメインを選択します。

3. [コンピュータ アカウント名] メニューで名前を入力します。

4. [ドメインに参加する] をクリックします。

5. ページを更新すると、[ディレクトリ サービス名] が選択によって更新されていることに注意してください。

6. [編集] をクリックします。

7. [共有を編集する] ペインで、該当するすべてのルールで [Mount sec= ...] をクリックし、sys の選択を解除します。[OK] をクリックします。

8. [保存] をクリックします。

9. ページを更新してください。

   ルールの設定が更新されます。