Einbinden von Azure-SMB-Dateifreigaben auf Linux-Clients

Gilt für: ✔️ SMB Dateifreigaben

Sie können Azure-Dateifreigaben in Linux-Distributionen mit dem SMB kernel client einbinden.

In diesem Artikel wird gezeigt, wie Sie eine Azure-Dateifreigabe über SMB mithilfe der NTLMv2-Authentifizierung (Speicherkontoschlüssel) einbinden. Aus Sicherheitsgründen empfiehlt Microsoft identitätsbasierte Authentifizierung. Siehe Aktivieren der Active Directory-Authentifizierung über SMB für Linux-Clients, die auf Azure Files zugreifen.

Protokolle

Standardmäßig erzwingt Azure Files die Verschlüsselung während der Übertragung. Die SMB-Verschlüsselung ist ab SMB 3.0 verfügbar. Azure Files unterstützt auch SMB 2.1, was die SMB-Verschlüsselung nicht unterstützt. Aus Sicherheitsgründen erlaubt Azure Files daher nicht das Einbinden von Dateifreigaben über SMB 2.1 aus einer anderen Azure-Region oder von einem lokalen Netzwerk ohne zusätzliche Netzwerkkonfiguration. Sie sollten SMB 3.1.1 verwenden, es sei denn, Ihre Anwendung erfordert eine ältere Version.

Wenn Ihre Linux-Verteilung nicht in der vorherigen Tabelle aufgeführt ist, überprüfen Sie die Linux-Kernelversion mithilfe des uname Befehls:

uname -r

Voraussetzungen

Installieren Sie cifs-utils

• Stellen Sie sicher, dass das cifs-utils-Paket installiert ist. Installieren Sie die neueste Version des cifs-utils-Pakets mithilfe des Paket-Managers auf der Linux-Verteilung Ihrer Wahl.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

Verwenden Sie bei anderen Distributionen den entsprechenden Paket-Manager, oder kompilieren Sie den Quellcode.

Überprüfen Sie die Verbindung von Port 445

• Die neueste Version der Azure-Befehlszeilenschnittstelle (CLI). Informationen zum Installieren der Azure CLI finden Sie unter Installieren der Azure CLI und wählen Sie Ihr Betriebssystem aus. Wenn Sie lieber das Azure PowerShell Modul in PowerShell 6+ verwenden möchten, können Sie dies erreichen. Die Anweisungen in diesem Artikel gelten jedoch für die Azure CLI.

• Stellen Sie sicher, dass Port 445 geöffnet ist: SMB kommuniziert über TCP-Port 445. Stellen Sie sicher, dass Ihre Firewall oder Ihr ISP den TCP-Port 445 nicht vom Clientcomputer blockiert. Ersetzen Sie <your-resource-group> und <your-storage-account>, und führen Sie dann das folgende Skript aus:

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Wenn die Verbindung erfolgreich ist, wird die Ausgabe ähnlich wie folgt angezeigt:

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  Sie können eine VPN-Verbindung oder Azure ExpressRoute verwenden, wenn Port 445 in Ihrem Netzwerk blockiert ist. Weitere Informationen finden Sie unter Überlegungen zum Netzwerk für den direkten Zugriff auf Azure-Dateifreigaben.

Berechtigungen

Alle Montageskripts in diesem Artikel stellen die Dateifreigaben mithilfe der Standardberechtigungen für 0755 Linux-Dateien und -Ordner fest. Diese Berechtigungseinstellung gewährt Lese-, Schreib- und Ausführungsrechte für den Datei- oder Verzeichnisbesitzer sowie Lese- und Ausführungsrechte für Benutzer in der Besitzergruppe und anderen Benutzern. Je nach den Sicherheitsrichtlinien Ihrer Organisation sollten Sie möglicherweise alternative Berechtigungen uid/gid oder dir_mode und file_mode in den Bereitstellungsoptionen festlegen. Weitere Informationen zum Festlegen von Berechtigungen finden Sie unter UNIX-Symbolnotation. Eine Liste der Einbindungsoptionen finden Sie unter Einbindungsoptionen.

Unterstützung von Berechtigungen im Unix-Stil

Sie können auch Unterstützung für Berechtigungen im UNIX-Format für Azure-SMB-Dateifreigaben erhalten, indem Sie die durch den Client erzwungene Zugriffssteuerung verwenden und modefromsid,idsfromsid-Einbindungsoptionen zu Ihrem Einbindungsbefehl hinzufügen. Damit diese Unterstützung funktioniert:

• Alle Clients, die auf die Freigabe zugreifen, müssen diese unter Verwendung von modefromsid,idsfromsid einbinden.
• Die UIDs und GIDs müssen für alle Clients einheitlich sein.
• Clients müssen eine der folgenden unterstützten Linux-Distros ausführen: Ubuntu 20.04+, SLES 15 SP3+.

Verzögertes Schließen und Dual-Protokoll-Zugriff

Der Linux-SMB-Client verwendet eine Leistungsoptimierung namens verzögertes Schließen (Handle Caching). Wenn eine Anwendung eine Datei schließt, kann der Client das Senden der SMB CLOSE-Anforderung an den Server verzögern, standardmäßig für bis zu eine Sekunde, falls die Datei schnell erneut geöffnet wird. Wenn Azure Files die CLOSE-Anforderung empfängt, die einem Schreibvorgang folgt, aktualisiert sie die Zeit der letzten Änderung (LMT) der Datei und daher das ETag.

Wenn Sie über SMB und die FileREST-API auf dieselbe Dateifreigabe zugreifen (Zugriff über zwei Protokolle), kann diese Verzögerung zu einer Racebedingung führen. Nachdem ein SMB-Client das Schreiben und Schließen einer Datei abgeschlossen hat, kann ein REST-Client, der das ETag der Datei liest und einen bedingten Vorgang startet, mit einem Fehler "Datei wurde gleichzeitig geändert" (HTTP 412-Vorbedingungsfehler) fehlschlagen, wenn die verzögerte CLOSE-Anforderung eingeht und die LMT und ETag aktualisiert.

Bei Workloads, die Dateien von einem SMB-Writer an einen REST-basierten Reader übergeben, deaktivieren Sie das verzögerte Schließen, indem Sie die Mount-Option closetimeo=0 hinzufügen. Diese Option zwingt den Client, die SMB-CLOSE-Anforderung sofort zu senden (und damit LMT und ETag abzuschließen), wodurch die Racebedingung bei geringfügigen Einbußen bei der Öffnungs- und Schließleistung beseitigt wird.

Bedarfsgesteuertes Einbinden der Azure-Dateifreigabe mit „Einbinden“

Wenn Sie eine Dateifreigabe unter einem Linux-Betriebssystem einbinden, wird Ihre Remotedateifreigabe als Ordner in Ihrem lokalen Dateisystem angezeigt. Du kannst Dateifreigaben überall auf deinem System einbinden. Im folgenden Beispiel wird die Dateifreigabe unter dem Pfad /media eingebunden. Du kannst diesen Pfad ändern, indem du die Variable $MNT_ROOT änderst.

Ersetzen Sie <resource-group-name>, <storage-account-name> und <file-share-name> durch die entsprechenden Informationen für Ihre Umgebung:

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Initialisieren Sie als Nächstes die Anmeldeinformationsdatei, indem Sie das folgende Skript ausführen.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Nun können Sie die Dateifreigabe mithilfe des Befehls mount unter Verwendung der Anmeldeinformationsdatei einbinden. Im folgenden Beispiel wird der Befehl $SMB_PATH mit dem vollqualifizierten Domänennamen für den Dateiendpunkt des Speicherkontos ausgefüllt. Siehe Mount-Optionen für eine Liste der SMB-Mount-Optionen.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

Falls gewünscht, können Sie dieselbe Azure-Dateifreigabe auch in mehrere Bereitstellungspunkte einbinden.

Wenn Sie die Azure-Dateifreigabe nicht mehr benötigen, heben Sie deren Einbindung mit sudo umount $mntPath auf.

Automatisches Einbinden von Dateifreigaben

Wenn Sie eine Dateifreigabe unter einem Linux-Betriebssystem einbinden, wird Ihre Remotedateifreigabe als Ordner in Ihrem lokalen Dateisystem angezeigt. Du kannst Dateifreigaben überall auf deinem System einbinden. Im folgenden Beispiel wird die Dateifreigabe unter dem Pfad /media eingebunden. Du kannst diesen Pfad ändern, indem du die Variable $MNT_ROOT änderst.

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Verwenden Sie den Namen des Speicherkontos als Benutzernamen der Dateifreigabe und den Speicherkontoschlüssel als Kennwort. Weil die Anmeldeinformationen für das Speicherkonto im Laufe der Zeit geändert werden können, sollten Sie diese getrennt von der Einbindungskonfiguration speichern.

Wenn du die Zugangsdatei im vorherigen Abschnitt bereits erstellt hast, überspringe zu statischem Mount oder dynamischem Mount mit Autofs. Ansonsten befolgen Sie diese Schritte, um es zu erstellen. Ersetzen Sie <resource-group-name> und <storage-account-name> durch die entsprechenden Angaben für Ihre Umgebung.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Zum automatischen Einbinden einer Dateifreigabe haben Sie die Wahl zwischen einem statischen Einbinden über das Hilfsprogramm /etc/fstab oder einem dynamischen Einbinden über das Hilfsprogramm autofs.

Statisches Einbinden mit „/etc/fstab“

Erstellen Sie mithilfe der zuvor beschriebenen Umgebung einen Ordner für Ihr Speicherkonto und Ihre Dateifreigabe unter Ihrem Einbindungsordner. Ersetzen Sie <file-share-name> durch den entsprechenden Namen Ihrer Azure-Dateifreigabe.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Erstellen Sie abschließend einen Datensatz in der Datei /etc/fstab für Ihre Azure-Dateifreigabe. Im folgenden Befehl werden die standardmäßigen Linux-Datei- und Ordnerberechtigungen von 0755 verwendet. Diese Berechtigungen bedeuten Lese-, Schreib- und Ausführungsvorgänge für den Besitzer (basierend auf der Datei oder des Verzeichnis-Linux-Besitzers), Lesen und Ausführen für Benutzer in der Besitzergruppe und Lesen und Ausführen für andere Im System. Möglicherweise möchten Sie beim Einhängen je nach Bedarf alternative Berechtigungen für uid und gid oder dir_mode und file_mode festlegen. Weitere Informationen zum Festlegen von Berechtigungen finden Sie unter UNIX numeric notation (Numerische UNIX-Notation). Siehe Mount-Optionen für eine Liste der SMB-Mount-Optionen.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Dynamisches Einbinden mit „autofs“

Um eine Dateifreigabe dynamisch mit dem autofs-Dienstprogramm einzubinden, installieren Sie es mit Hilfe des Paketmanagers auf der Linux-Distribution Ihrer Wahl.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Aktualisieren Sie als Nächstes die Konfigurationsdateien autofs. Eine Liste der SMB-Einhängeoptionen finden Sie unter Einhängeoptionen.

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

Der letzte Schritt ist ein Neustart des Diensts autofs.

sudo systemctl restart autofs

Einrichten mit Passwortrotation

Das regelmäßige Drehen von Kennwörtern (Speicherkontoschlüssel) ist eine bewährte Methode für die Sicherheit. In der Vergangenheit erforderte diese Praxis jedoch einige geplante Ausfallzeiten. Jetzt können Sie die Bereitstellungsoption password2= angeben, sodass die Dateifreigabebereitstellung auch dann ohne Ausfallzeiten für Benutzer verfügbar bleibt, wenn das primäre Kennwort abläuft oder geändert wird. Dieser optionale zweite geheime Wert, den Sie an den Linux-SMB-Client übergeben, ermöglicht eine nahtlose Rotation der Anmeldeinformationen, ohne die Freigabe auszuhängen oder E/A zu unterbrechen.

Wenn diese Mount-Option vorhanden ist, akzeptiert der Client sowohl password als auch password2 beim Sitzungsaufbau und bei erneuten Verbindungen, sodass Sie einen neuen Schlüssel einführen können, während der alte Schlüssel noch verwendet wird.

Sie können password2 auf eine von zwei Arten angeben:

• In der SMB-Anmeldeinformationsdatei, die den Benutzernamen und das Kennwort enthält
• Zum Aktualisieren einer vorhandenen Volume-Bereitstellung in der Befehlszeile: -o password2=new-secret, auch über -o remount während der Rotation

Voraussetzungen

Sie benötigen cifs-utils, Version 7.4 oder höher, um die password2 Mount-Option zu verwenden. Zusätzlich zum richtigen Cifs-utils-Paket muss Ihre Linux-Verteilung die mindestens erforderlichen Kernelversionen unterstützen, wie in der folgenden Tabelle hervorgehoben:

Per Anmeldeinformationsdatei

Platzieren Sie beide geheimen Schlüssel in Ihrer Anmeldeinformationsdatei, und binden Sie sie dann mit diesen Anmeldeinformationen ein. Aktualisieren Sie zunächst password2 auf den neuen Schlüssel, binden Sie neu ein, oder warten Sie auf die erneute Verbindung, und tauschen Sie dann die Werte im nächsten Wartungsfenster aus, damit der neue Schlüssel zu password wird.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Vorhandene Volume-Einbindung aktualisieren

Wenn Sie bereits ein Volume auf einer unterstützten Distribution mit einer geeigneten Version von cifs-utils eingebunden haben, können Sie den folgenden Befehl verwenden, um die Einhängeoption durch Hinzufügen der Option password2= zu ändern.

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Einbindungsoptionen

Verwenden Sie beim Einbinden von SMB-Azure-Dateifreigaben unter Linux die folgenden Einbindungsoptionen.

Nächster Schritt

Weitere Informationen zur Verwendung von Azure-SMB-Dateifreigaben mit Linux finden Sie unter:

• Behandeln allgemeiner SMB-Probleme unter Linux