設定 NFSv4.1 通訊協定

Google Cloud 控制台

設定執行個體參數

1. 在 Google Cloud 控制台中，前往 Filestore 執行個體頁面。

   前往 Filestore 執行個體頁面

2. 點選「建立執行個體」。

3. 指定執行個體的基本參數：

   1. 在「Instance ID」欄位中，輸入要用於 Filestore 執行個體的名稱。

   2. 在「執行個體類型」中，選取「Regional」或「Zonal」。

      如要建立企業執行個體，您必須直接透過 Filestore API 執行作業。

   3. 在「已分配容量」中，輸入要使用的容量。您必須輸入介於 1 TB 和 10 TB 之間的值，以 256 GiB (0.25 TiB) 為單位調整。

   4. 在「Region」(區域) 中，選取要使用的區域。

   5. 在「VPC Network」(虛擬私有雲網路) 中，選取要用於 Filestore 執行個體和 NFS 用戶端的網路。

      • 如果 Managed Microsoft AD 與 Filestore 執行個體位於同一個專案中，則需要在 Managed Microsoft AD 網域中授權虛擬私有雲網路。
      • 如果 Managed Microsoft AD 位於個別專案中，則應在 Managed Microsoft AD 設定中，使用 Active Directory 網路對等互連來設定 VPC 網路。

   6. 在「已分配的 IP 範圍」中，選取「使用系統自動分配的 IP 範圍 (建議)」。

   7. 在「Protocol」中，選取「NFSv4.1」。

設定執行個體的驗證設定

1. 設定執行個體的驗證設定。
   1. 按一下「驗證」。
   2. 選取代管受管理 Microsoft AD 的專案。為了方便本指南說明，我們假設目前的專案就是我們要使用的專案。在「加入 Active Directory 網域」清單中，選取要使用的受管理 Microsoft AD 網域。
   3. 在「Computer account name」欄位中，輸入要用於在受管理的 Microsoft AD 網域中識別 Filestore 執行個體的電腦帳戶名稱。名稱長度不得超過 15 個半形英數字元。
   4. 在「檔案共用區名稱」欄位中輸入共用區名稱，因為 NFSv4.1 用戶端會使用這個名稱。

2. 在「存取權控制」窗格中，完成下列任一步驟：

   • 如果使用受管理的 Microsoft AD，請選取「依據 IP 位址或範圍限制存取權」。

     1. 根據您要定義的 IP 或子網路設定存取規則。為了方便本指南說明，請使用下列設定：
     2. 在「IP 位址或範圍 1」欄位中，輸入要使用的 IP 位址或範圍。
     3. 按一下「Access 1」下拉式清單，然後選取「Admin」。按一下「Mount」sec= 1 下拉式清單，然後選取「sys」核取方塊。

     Filestore 的預設 / 擁有者為 root。如要讓其他使用者和群組能夠存取執行個體，您必須建立存取規則，讓管理 VM 存取權使用 Admin 角色和 sec=sys 安全性設定。

   • 如果您未使用 Managed Microsoft AD，請選取「為虛擬私有雲網路中的所有用戶端授予存取權限」。

     如果未使用受管理的 Microsoft AD，唯一支援的安全性設定為 sec=sys。

3. 按一下「建立」，建立執行個體。

gcloud

1. 安裝並初始化 gcloud CLI。

   如果您已安裝 gcloud CLI，請執行下列指令來更新：

   gcloud components update
   

2. 執行 gcloud beta filestore instances create 指令，建立 Filestore 區域、地區或企業執行個體：

      gcloud beta filestore instances create INSTANCE-ID \
      --description="DESCRIPTION" \
      --region=LOCATION \
      --tier=TIER \
      --protocol=PROTOCOL \
      --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
      --network=name="VPC_NETWORK",connect-mode=CONNECT_MODE,reserved-ip-range="RESERVED_IP_RANGE" \
      --managed-ad=domain=projects/MANAGED_AD_PROJECT_ID/locations/global/domains/MANAGED_AD_DOMAIN_NAME,computer=DOMAIN_COMPUTER_ACCOUNT \
      --project=CONSUMER_PROJECT_ID
   
   

   其中：

   • INSTANCE_ID 是您要建立的 Filestore 執行個體 ID。請參閱「為執行個體命名」。
   • DESCRIPTION 是您要使用的執行個體說明。
   • LOCATION 是 Filestore 執行個體所在的位置。
   • TIER 是您要使用的服務級別。
   • PROTOCOL 為 NFS_v4_1。
   • FILE_SHARE_NAME 是您指定給從執行個體提供的 NFS 檔案共用區的名稱。
   • CAPACITY 是檔案共用空間的大小，介於 1 TiB 到 10 TiB 之間。

   • VPC_NETWORK 是您要讓執行個體使用的 VPC 網路名稱。請參閱「選取虛擬私有雲網路」一節。

     • 如果您要從服務專案指定共用虛擬私有雲，則必須指定完整的網路名稱，格式如下：

     projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME
     

     指定 connect-mode=PRIVATE_SERVICE_ACCESS，類似於以下內容：

     --network=name=projects/host/global/networks/shared-vpc-1,connect-mode=PRIVATE_SERVICE_ACCESS
     

     • 您無法針對 vpc_network 值指定傳統網路。如有需要，請按照「建立自動模式虛擬私有雲網路」一文的操作說明，建立要使用的新虛擬私有雲網路。

   • MANAGED_AD_PROJECT_ID 是 Managed Microsoft AD 服務所在的專案 ID。

   • MANAGED_AD_DOMAIN_NAME 是您要使用的 Managed Microsoft AD 服務網域名稱。您在建立 Managed Microsoft AD 網域時選擇這個網域名稱。

   • DOMAIN_COMPUTER_ACCOUNT 是您希望叢集在網域中使用的任何名稱。

   • CONSUMER_PROJECT_ID 是包含 Filestore 執行個體的專案 ID。

   • CONNECT_MODE 為 DIRECT_PEERING 或 PRIVATE_SERVICE_ACCESS。如果您將共用虛擬私有雲指定為網路，則必須將 PRIVATE_SERVICE_ACCESS 指定為連線模式。這個標記是 VPC 網路對等互連的必要條件，也是使用 Managed Microsoft AD 時的必要條件。

   • RESERVED_IP_RANGE 是 Filestore 執行個體的 IP 位址範圍。如果您要指定 connect-mode=PRIVATE_SERVICE_ACCESS，並想使用已保留的 IP 位址範圍，則必須指定已分配的位址範圍名稱，而非 CIDR 範圍。請參閱「設定保留的 IP 位址」。建議您略過這個標記，讓 Filestore 自動尋找可用的 IP 位址範圍，並指派給執行個體。

gcloud

如果您不想使用 Managed Microsoft AD，請執行與「使用 Managed Microsoft AD 建立 Filestore 執行個體」指南相同的 gcloud beta filestore instances create 指令，建立 Filestore 執行個體。

    gcloud beta filestore instances create INSTANCE_ID \
    --description="DESCRIPTION" \
    --region=LOCATION \
    --tier=TIER \
    --protocol=PROTOCOL \
    --file-share=name="FILE_SHARE_NAME",capacity=CAPACITYTB \
    --network=name="VPC_NETWORK" \
    --project=CONSUMER_PROJECT_ID

在設定中省略 --managed-ad 標記，以及 VPC 網路對等互連的標記，也就是 connect-mode 和 reserved-ip-range。

Ubuntu 映像檔

1. 透過 SSH 連線至 Compute Engine 執行個體。

2. 執行下列指令，加入 Managed Microsoft AD 網域。

   1. 執行下列設定指令：

      sudo apt-get update \
      sudo apt-get -y -qq install adcli realmd sssd sssd-tools packagekit krb5-user \ nfs-common expect retry
      

   2. 系統提示您輸入領域時，請將現有項目替換為 Filestore 例項使用的受管理 Microsoft AD 網域。輸入大寫值，然後按下箭頭鍵選取「OK」，再按下 Enter 鍵。

   3. 系統提示輸入主機時，請將該欄位留空並繼續操作。

   4. 請完成下列任一步驟：

      • 如果 VM 的主機名稱長度小於或等於 15 個字元，請執行下列指令：

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
        

        更改下列內容：

        • JOIN_DOMAIN_USER 是用來加入網域的使用者帳戶名稱。
        • MANAGED_AD_DOMAIN_NAME 是您要使用的 Managed Microsoft AD 服務網域名稱。

      • 如果 VM 的主機名稱長度超過 15 個字元，請執行下列指令：

        sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
        

        更改下列內容：

        • JOIN_DOMAIN_USER 是用來加入網域的使用者帳戶名稱。
        • MANAGED_AD_REALM_NAME 是您要使用的 Managed Microsoft AD 服務的領域名稱。
        • MANAGED_AD_DOMAIN_NAME 是您要使用的 Managed Microsoft AD 服務網域名稱。

3. 更新 Kerberos 設定。使用必要的命名空間定義和命名空間-網域對應項目更新 /etc/krb5.conf：

    [realms]
             DOMAIN_NAME = {
                      kdc = DOMAIN_NAME
                      default_domain = DOMAIN_NAME
             }
    [domain_realm]
             .domain_name_lowercase = DOMAIN_NAME
             domain_name_lowercase = DOMAIN_NAME
   

   更改下列內容：

   • DOMAIN_NAME 是您要使用的網域名稱，請輸入大寫字母。
   • domain_name_lowercase 是您要使用的網域名稱，請輸入小寫字母。

   請參考以下範例：

   [realms]
          FILE.DEMO.LOCAL = {
                   kdc = FILE.DEMO.LOCAL
                   default_domain = FILE.DEMO.LOCAL
          }
   
   [domain_realm]
          .file.demo.local = FILE.DEMO.LOCAL
          file.demo.local = FILE.DEMO.LOCAL
   

4. 執行 rpc-gssd 服務。將下列 No-Strip 屬性值新增至 /etc/idmapd.conf 內的 [General] 區段：

    [General]
    No-Strip = both
   

5. 執行下列指令：

   sudo systemctl restart rpc-gssd
   

CentOS 映像檔

1. 透過 SSH 連線至 Compute Engine 執行個體。

2. 加入 Managed Microsoft AD 網域：

   sudo yum update \
   sudo yum install -y adcli realmd sssd samba-common-tools krb5-workstation nfs-utils \ bind-utils openldap-clients
   

3. 請完成下列任一步驟：

   • 如果 VM 的主機名稱長度小於或等於 15 個半形字元，請執行下列指令：

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no MANAGED_AD_DOMAIN_NAME
     

     更改下列內容：

     • JOIN_DOMAIN_USER 是用來加入網域的使用者帳戶名稱。
     • MANAGED_AD_DOMAIN_NAME 是您要使用的 Managed Microsoft AD 服務網域名稱。

   • 如果 VM 的主機名稱長度超過 15 個字元，請執行下列指令：

     sudo realm join -vU JOIN_DOMAIN_USER --automatic-id-mapping=no \ --user-principal=host/`hostname -f`@MANAGED_AD_REALM_NAME MANAGED_AD_DOMAIN_NAME
     

     更改下列內容：

     • JOIN_DOMAIN_USER 是用來加入網域的使用者帳戶名稱。
     • MANAGED_AD_REALM_NAME 是您要使用的 Managed Microsoft AD 服務的領域名稱。
     • MANAGED_AD_DOMAIN_NAME 是您要使用的 Managed Microsoft AD 服務網域名稱。

4. 確認 sssd 服務是否正在執行：

   sudo systemctl status sssd
   

5. 執行 rpc-gssd 服務。在 /etc/idmapd.conf 內的 [General] 部分，將 No-Strip 屬性值下方的以下內容新增至 [General] 部分：

   [General]
   No-Strip = both
   

6. 執行下列指令。這個指令可確保 NFS 用戶端不會從 NFS 伺服器主機名稱中移除網域名稱。詳情請參閱 NFS Ganesha 清單檔案和 Arch Linux 檔案：

   sudo systemctl start rpc-gssd
   

Google Cloud 控制台

將代管的 Microsoft AD 與 Filestore 執行個體中斷連線

1. 中斷連線至 Managed Microsoft AD 的 Filestore 執行個體。

   前往 Google Cloud 控制台的「Filestore Instances」(Filestore 執行個體) 頁面。

   前往 Filestore 執行個體頁面

2. 按一下您要編輯之執行個體的執行個體 ID。

3. 在「NFS 掛接點」窗格中，點選「Protocol」下方「Directory service name」旁的 delete 「Disconnect AD domain」。

4. 在「無法中斷網域連線」視窗中，閱讀警示訊息，然後按一下「編輯執行個體」。

   存取權控管中至少有一項規則必須對應至具有 sys 掛載安全性設定的管理員角色，例如 Access=Admin Mount 和 sec=sys。

5. 在「編輯共享」窗格中，找出「存取」設為「管理員」的規則。按一下「Mount sec= ...」，然後選取 sys，即可將該選項新增至現有設定。

6. 按一下 [確定]。

7. 按一下 [儲存]。

8. 按一下「目錄服務名稱」旁的 delete 「取消 AD 網域連結」。

9. 在「Disconnect from domain?」視窗的欄位中，輸入要取消連結的網域名稱。

10. 按一下「中斷連結」。

編輯存取規則

1. 重新整理頁面。請注意，「Directory service name」現在已設為「None」。

2. 按一下 [編輯]。

3. 在「編輯共用」窗格中，找出任何設定管理員以外角色存取權的規則，例如編輯者。在規則中，按一下「掛載 sec= ...」，然後選取 sys 並將其新增至現有設定。按一下「確定」。

4. 按一下 [儲存]。

5. 請重新整理頁面。

   規則設定已更新。

將受管理的 Microsoft AD 重新連結至 Filestore 執行個體

1. 將 Filestore 執行個體重新連結至 Managed Microsoft AD。

   在「NFS 掛接點」窗格中的「通訊協定」下方，點選「目錄服務名稱」旁的 edit 「加入 AD 網域」。

2. 在「將這個執行個體加入 Active Directory 網域」視窗中，選取「使用目前專案中的網域」，然後在「加入 Active Directory 網域」選單中，選取要使用的網域。

3. 在「電腦帳戶名稱」選單中輸入名稱。

4. 按一下「加入網域」。

5. 重新整理頁面。請注意，系統已根據您的選取項目更新目錄服務名稱。

6. 按一下 [編輯]。

7. 在「編輯共用」窗格中，按一下所有適用規則中的「掛載 sec= ...」，然後移除 sys 選項。按一下「確定」。

8. 按一下 [儲存]。

9. 請重新整理頁面。

   規則設定已更新。-