配置 NFSv4.1 协议

Google Cloud 控制台

设置实例参数

1. 在 Google Cloud 控制台中，前往“Filestore 实例”页面。

   转到“Filestore 实例”页面

2. 点击创建实例。

3. 指定实例的基本参数，包括名称、实例类型和容量：

   1. 在实例 ID 字段中，输入要用于 Filestore 实例的名称。

   2. 在实例类型中，选择区域级或可用区级。

      如需创建企业实例，您必须直接通过 Filestore API 运行操作。

   3. 在分配的容量中，输入要使用的容量。您必须输入一个介于 1 TB 到 10 TB 之间的值（以 256 GiB [0.25 TiB] 为增量）。

   4. 在区域中，选择您要使用的区域。

   5. 在 VPC 网络中，选择要为 Filestore 实例和 NFS 客户端使用的网络。

      • 如果托管式 Microsoft AD 与 Filestore 实例位于同一项目中，则需要在托管式 Microsoft AD 网域中授权 VPC 网络。
      • 如果托管式 Microsoft AD 位于单独的项目中，则应在托管式 Microsoft AD 配置中为 VPC 网络配置 Active Directory 网络对等互连。

   6. 在分配的 IP 范围中，选择使用自动分配的 IP 范围（推荐）。

   7. 在协议中，选择 NFSv4.1。

配置实例的身份验证设置

1. 配置实例的身份验证设置。
   1. 点击身份验证。
   2. 选择托管代管式 Microsoft AD 的项目。在本指南中，我们假设当前项目是我们要使用的项目。
   3. 在加入 Active Directory 网域列表中，选择要使用的 Managed Microsoft AD 网域。
   4. 在计算机账号名称字段中，输入您要用于在托管式 Microsoft AD 网域中标识 Filestore 实例的计算机账号名称。名称不得超过 15 个字母数字字符。
   5. 在 File share name 字段中，输入共享的名称，因为 NFSv4.1 客户端将使用该名称。

2. 在访问控制窗格中，完成以下任一步骤：

   • 如果使用的是受管理的 Microsoft AD，请选择按 IP 地址或范围限制访问权限。

     1. 根据您要定义的 IP 地址或子网设置访问规则。在本指南中，请使用以下设置：
     2. 在 IP 地址或范围 1 字段中，输入要使用的 IP 地址或范围。
     3. 点击 Access 1（访问权限 1）下拉列表，然后选择 Admin（管理员）。
     4. 点击 Mountsec= 1 下拉列表，然后选中 sys 复选框。

     Filestore 的默认 / 所有者为 root。如需为其他用户和群组启用对实例的访问权限，您必须创建一个访问规则，使用 Admin 角色和 sec=sys 安全设置启用对管理虚拟机的访问权限。

   • 如果您不使用托管式 Microsoft AD，请选择向 VPC 网络中的所有客户端授予访问权限。

     如果不使用托管式 Microsoft AD，则唯一受支持的安全设置是 sec=sys。

3. 点击创建以创建实例。

gcloud

1. 安装并初始化 gcloud CLI。

   如果您已安装 gcloud CLI，请运行以下命令进行更新：

   gcloud components update
   

2. 完成以下任一步骤：

   1. 如果使用的是受管理的 Microsoft AD，请运行以下 gcloud beta filestore instances create 命令以创建 Filestore 区域级、区域级或企业级实例：

      gcloud beta filestore instances create INSTANCE-ID \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --tier=TIER \
      --protocol=PROTOCOL \
      --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
      --network=name="VPC_NETWORK",connect-mode=CONNECT_MODE,reserved-ip-range="RESERVED_IP_RANGE" \
      --managed-ad=domain=projects/MANAGED_AD_PROJECT_ID/locations/global/domains/MANAGED_AD_DOMAIN_NAME,computer=DOMAIN_COMPUTER_ACCOUNT \
      --project=CONSUMER_PROJECT_ID
      

      替换以下内容：

      • INSTANCE_ID 是您要创建的 Filestore 实例的实例 ID。请参阅为实例命名。
      • DESCRIPTION 是您要使用的实例的说明。
      • LOCATION 是您希望 Filestore 实例所在的位置。
      • TIER 是您要使用的服务层级。
      • PROTOCOL 为 NFS_v4_1。
      • FILE_SHARE_NAME 是您为从实例提供的 NFS 文件共享所指定的名称。
      • CAPACITY 是文件共享所需的大小，介于 1 TiB 到 10 TiB 之间。

      • VPC_NETWORK 是您希望实例使用的 VPC 网络的名称。请参阅选择 VPC 网络。如果您要在服务项目中指定共享 VPC，则必须指定完全限定的网络名称（格式为 projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME），并且必须指定 connect-mode=PRIVATE_SERVICE_ACCESS，如以下示例所示：

        --network=name=projects/host/global/networks/shared-vpc-1,connect-mode=PRIVATE_SERVICE_ACCESS

        您不能为 vpc_network 值指定旧版网络。如有必要，请按照创建自动模式 VPC 网络中的说明创建要使用的新 VPC 网络。

      • MANAGED_AD_PROJECT_ID 是代管式 Microsoft AD 服务所在的项目 ID。

      • MANAGED_AD_DOMAIN_NAME 是您要使用的托管式 Microsoft AD 服务的域名。这是您在创建代管式 Microsoft AD 网域时选择的网域名称。

      • DOMAIN_COMPUTER_ACCOUNT 是您希望在网域中将集群称为的任何名称。

      • CONSUMER_PROJECT_ID 是包含 Filestore 实例的项目的项目 ID。

      • CONNECT_MODE 是 DIRECT_PEERING 或 PRIVATE_SERVICE_ACCESS。如果您指定共享 VPC 作为网络，则还必须指定 PRIVATE_SERVICE_ACCESS 作为连接模式。此标志是 VPC 网络对等互连的必需标志，使用托管式 Microsoft AD 时必须设置此标志。

      • RESERVED_IP_RANGE 是 Filestore 实例的 IP 地址范围。如果您指定 connect-mode=PRIVATE_SERVICE_ACCESS，并且您希望使用预留的 IP 地址范围，则必须指定已分配的地址范围（而不是 CIDR 范围）的名称。请参阅配置预留 IP 地址。我们建议您跳过此标志，以允许 Filestore 自动查找可用的 IP 地址范围并将其分配给实例。

   2. 如果不使用托管式 Microsoft AD，请运行与上一步相同的命令来创建 Filestore 实例，并省略 --managed-ad 标志以及 VPC 网络对等的标志，即 connect-mode 和 reserved-ip-range。以下命令为例：

      gcloud beta filestore instances create INSTANCE-ID \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --tier=TIER \
      --protocol=PROTOCOL \
      --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
      --network=name="VPC_NETWORK" \
      --project=CONSUMER_PROJECT_ID
      

Ubuntu 映像

1. 通过 SSH 连接到 Compute Engine 实例。

2. 运行以下命令以加入代管式 Microsoft AD 网域。

   1. 运行以下设置命令：

      sudo apt-get update \
      sudo apt-get -y -qq install adcli realmd sssd sssd-tools packagekit krb5-user \ nfs-common expect retry
      

   2. 当系统提示您输入 Realm 时，请将现有条目替换为 Filestore 实例上使用的托管式 Microsoft AD 网域。输入大写值，然后按箭头键选择确定，再按 Enter 键。

   3. 当系统提示输入主机时，请将其留空，然后继续操作。

   4. 完成以下任一步骤：

      • 对于主机名长度小于或等于 15 个字符的虚拟机，请运行以下命令：

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
        

        替换以下内容：

        • JOIN_DOMAIN_USER 是用于加入网域的用户账号的名称。
        • MANAGED_AD_DOMAIN_NAME 是您要使用的托管式 Microsoft AD 服务的域名。

      • 对于主机名长度超过 15 个字符的虚拟机，请运行以下命令：

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
        

        替换以下内容：

        • JOIN_DOMAIN_USER 是用于加入网域的用户账号的名称。
        • MANAGED_AD_REALM_NAME 是您要使用的托管式 Microsoft AD 服务的领域名称。
        • MANAGED_AD_DOMAIN_NAME 是您要使用的托管式 Microsoft AD 服务的域名。

3. 更新 Kerberos 配置。使用所需的领域定义和领域-网域映射更新 /etc/krb5.conf：

    [realms]
             DOMAIN_NAME = {
                      kdc = DOMAIN_NAME
                      default_domain = DOMAIN_NAME
             }
    [domain_realm]
             .domain_name_lowercase = DOMAIN_NAME
             domain_name_lowercase = DOMAIN_NAME
   

   替换以下内容：

   • DOMAIN_NAME 是您要使用的域名，应输入为大写形式。
   • domain_name_lowercase 是您要使用的域名，应输入小写形式。

   请参阅以下示例：

   [realms]
          FILE.DEMO.LOCAL = {
                   kdc = FILE.DEMO.LOCAL
                   default_domain = FILE.DEMO.LOCAL
          }
   
   [domain_realm]
          .file.demo.local = FILE.DEMO.LOCAL
          file.demo.local = FILE.DEMO.LOCAL
   

4. 运行 rpc-gssd 服务。将以下 No-Strip 属性值添加到 /etc/idmapd.conf 内的 [General] 部分：

    [General]
    No-Strip = both
   

5. 运行以下命令：

   sudo systemctl restart rpc-gssd
   

Centos 映像

1. 通过 SSH 连接到 Compute Engine 实例。

2. 加入托管式 Microsoft AD 网域：

   sudo yum update \
   sudo yum install -y adcli realmd sssd samba-common-tools krb5-workstation nfs-utils \ bind-utils openldap-clients
   

3. 完成以下任一步骤：

   • 对于主机名长度小于或等于 15 个字符的虚拟机，请运行以下命令：

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
     

     替换以下内容：

     • JOIN_DOMAIN_USER 是用于加入网域的用户账号的名称。
     • MANAGED_AD_DOMAIN_NAME 是您要使用的托管式 Microsoft AD 服务的域名。

   • 对于主机名长度超过 15 个字符的虚拟机，请运行以下命令：

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
     

     替换以下内容：

     • JOIN_DOMAIN_USER 是用于加入网域的用户账号的名称。
     • MANAGED_AD_REALM_NAME 是您要使用的托管式 Microsoft AD 服务的领域名称。
     • MANAGED_AD_DOMAIN_NAME 是您要使用的托管式 Microsoft AD 服务的域名。

4. 确保 sssd 服务正在运行：

   sudo systemctl status sssd
   

5. 运行 rpc-gssd 服务。将以下代码添加到 /etc/idmapd.conf 内的 [General] 部分的 No-Strip 属性值下方：

   [General]
   No-Strip = both
   

6. 运行以下命令。此命令有助于确保 NFS 客户端不会从 NFS 服务器主机名中剥离域名。如需了解详情，请参阅 NFS Ganesha 列表归档和 Arch Linux 归档：

   sudo systemctl start rpc-gssd
   

Google Cloud 控制台

将托管式 Microsoft AD 与 Filestore 实例断开连接

1. 断开与托管式 Microsoft AD 连接的 Filestore 实例。

   在 Google Cloud 控制台中，前往“Filestore 实例”页面。

   转到“Filestore 实例”页面

2. 点击要修改的实例的 ID。

3. 在 NFS 装载点窗格中，点击“协议”下 目录服务名称旁边的 delete 取消关联 AD 网域。

4. 在与网域断开连接失败窗口中，阅读提醒，然后点击修改实例。

   访问权限控制中的至少一条规则必须映射到具有 sys 挂载安全设置的“管理员”角色，例如 Access=Admin Mount 和 sec=sys。

5. 在修改共享设置窗格中，找到访问权限设置为管理员的规则。点击挂载 sec=...，然后选择 sys 将该选项添加到现有设置。

6. 点击确定。

7. 点击保存。

8. 在目录服务名称旁边，点击 delete 断开与 AD 域的连接。

9. 在要断开与网域的连接吗？窗口中的字段中，输入您要断开连接的网域的名称。

10. 点击解除关联。

修改访问规则

1. 刷新页面。请注意，目录服务名称现在已设为无。

2. 点击修改。

3. 在修改共享窗格中，找到为管理员以外的角色（例如编辑者）设置访问权限的任何规则。在规则中，点击挂载 sec=...，然后选择 sys 将其添加到现有设置。点击确定。

4. 点击保存。

5. 刷新页面。

   规则设置更新。

将托管式 Microsoft AD 重新连接到 Filestore 实例

1. 将 Filestore 实例重新连接到 Managed Microsoft AD。

   在 NFS 装载点窗格中，点击“协议”下 Directory service name（目录服务名称）旁边的 edit Join AD domain（加入 AD 网域）。

2. 在将此实例加入一个 Active Directory 网域窗口中，选择使用当前项目中的网域，然后在加入 Active Directory 网域菜单中，选择要使用的网域。

3. 在计算机账号名称菜单中，输入一个名称。

4. 点击加入网域。

5. 刷新页面。请注意，目录服务名称已更新为您选择的名称。

6. 点击修改。

7. 在修改共享窗格中，点击所有适用规则中的 Mount sec= ...，然后移除 sys 选择。点击确定。

8. 点击保存。

9. 刷新页面。

   规则设置更新。