Monter des partages de fichiers SMB Azure sur des clients Linux

S’applique à : ✔️ partages de fichiers SMB

Vous pouvez monter Azure partages de fichiers dans des distributions Linux à l’aide du client noyau SMB.

Cet article explique comment monter un partage de fichiers SMB Azure à l’aide de l’authentification NTLMv2 (clé de compte de stockage). Pour des raisons de sécurité, Microsoft recommande l’authentification basée sur l’identité. Pour configurer l’authentification basée sur l’identité, voir Configurer les clients Linux pour Azure Files avec AD DS sur site ou Configurer les clients Linux pour Azure Files avec Microsoft Entra Domain Services.

Protocoles

Par défaut, Azure Files applique le chiffrement en transit. Le chiffrement SMB est disponible à partir de SMB 3.0. Azure Files prend également en charge SMB 2.1, qui ne prend pas en charge le chiffrement SMB. Par conséquent, Azure Files n'autorise pas le montage de partages de fichiers à l'aide de SMB 2.1 à partir d'une autre région Azure ou locale, sans configuration réseau supplémentaire, pour des raisons de sécurité. Vous devez utiliser SMB 3.1.1, sauf si votre application nécessite spécifiquement une version antérieure.

Si votre distribution Linux n’est pas répertoriée dans le tableau précédent, vérifiez la version du noyau Linux à l’aide de la uname commande :

uname -r

Prérequis

Installer cifs-utils

• Vérifiez que le package cifs-utils est installé. Installez la dernière version du package cifs-utils à l’aide du gestionnaire de package sur la distribution Linux de votre choix.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

Sur les autres distributions, utilisez le gestionnaire de packages approprié ou effectuez une compilation à partir de la source.

Vérifiez la connectivité du port 445

• La version la plus récente de l’interface de ligne de commande (CLI) Azure. Pour plus d'informations sur l'installation d’Azure CLI, consultez Installer l’interface de ligne de commande Microsoft Azure et sélectionnez votre système d’exploitation. Si vous préférez utiliser le module Azure PowerShell dans PowerShell 6+, vous pouvez. Toutefois, les instructions de cet article concernent la Azure CLI.

• Vérifiez que le port 445 est ouvert : SMB communique via le port TCP 445. Assurez-vous que votre pare-feu ou votre fournisseur de services Internet ne bloque pas le port TCP 445 de l’ordinateur client. Remplacez <your-resource-group> et <your-storage-account>, puis exécutez le script suivant :

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Si la connexion réussit, vous voyez une sortie similaire à ce qui suit :

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  Vous pouvez utiliser une connexion VPN ou Azure ExpressRoute si le port 445 est bloqué sur votre réseau. Pour plus d’informations, consultez Considérations relatives à la mise en réseau pour un accès direct à un partage de fichiers Azure.

Autorisations

Tous les scripts de montage de cet article montent les partages de fichiers à l’aide des autorisations de fichier et de dossier Linux par défaut 0755. Ce paramètre d’autorisation accorde des droits de lecture, d’écriture et d’exécution pour le propriétaire du fichier ou du répertoire, et lit et exécute des droits pour les utilisateurs du groupe propriétaire et d’autres utilisateurs. Selon les stratégies de sécurité de votre organisation, vous pouvez définir d’autres autorisations uid/gid ou dir_mode et file_mode dans les options de montage. Pour plus d’informations sur la façon de définir les autorisations, consultez la notation symbolique UNIX. Consultez Options de montage pour obtenir la liste des options de montage.

Prise en charge d'autorisations de style Unix

Vous pouvez également obtenir la prise en charge des autorisations de style Unix pour les partages de fichiers SMB Azure en utilisant le contrôle d'accès appliqué par le client et en ajoutant des options de montage modefromsid,idsfromsid à votre commande de montage. Pour que cette prise en charge fonctionne :

• Tous les clients qui accèdent au partage doivent le monter à l'aide de modefromsid,idsfromsid.
• Les UID et les GID doivent être uniformes sur tous les clients.
• Les clients doivent exécuter l’une des distributions Linux prises en charge suivantes : Ubuntu 20.04+, SLES 15 SP3+.

Fermeture différée et accès à double protocole

Le client SMB Linux utilise une optimisation des performances appelée fermeture différée (gestion de la mise en cache). Lorsqu’une application ferme un fichier, le client peut retarder l’envoi de la demande SMB CLOSE au serveur, par défaut jusqu’à une seconde, au cas où le fichier est rouvert rapidement. Lorsque Azure Files reçoit la requête CLOSE qui suit une écriture, elle met à jour l'heure de dernière modification du fichier (LMT), et par conséquent son ETag.

Si vous accédez au même partage de fichiers via SMB et l’API FileREST (accès double protocole), ce délai peut entraîner une condition de concurrence. Une fois qu’un client SMB a terminé l’écriture et ferme un fichier, un client REST qui lit l’ETag du fichier et démarre une opération conditionnelle peut échouer avec une erreur « Fichier a été modifié simultanément » (Échec de la condition préalable HTTP 412) lorsque la requête CLOSE différée arrive et met à jour l’outil LMT et ETag.

Pour les charges de travail qui transmettent des fichiers entre un processus d’écriture SMB et un lecteur basé sur REST, désactivez la fermeture différée en ajoutant l’option de montage closetimeo=0. Cette option force le client à envoyer immédiatement la requête SMB CLOSE (et à finaliser les valeurs LMT et ETag), ce qui élimine la situation de concurrence au prix d'une légère baisse des performances lors de l'ouverture et de la fermeture.

Montage du partage de fichiers Azure à la demande avec mount

Lorsque vous montez un partage de fichiers sur un système d’exploitation Linux, votre partage de fichiers distant apparaît comme un dossier dans votre système de fichiers local. Vous pouvez monter des partages de fichiers n’importe où sur votre système. L’exemple suivant monte sous le chemin d’accès /media. Vous pouvez modifier ce chemin en modifiant la $MNT_ROOT variable.

Remplacez <resource-group-name>, <storage-account-name> et <file-share-name> par les informations correspondant à votre environnement :

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Ensuite, initialisez le fichier d’informations d’identification en exécutant le script suivant.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Vous pouvez maintenant monter le partage de fichiers avec la commande mount en utilisant le fichier d’informations d’identification. Dans l’exemple suivant, la commande $SMB_PATH est remplie à l’aide du nom de domaine complet du point de terminaison de fichier du compte de stockage. Consultez Options de montage pour obtenir la liste des options de montage SMB.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

Vous pouvez également monter le même partage de fichiers Azure sur plusieurs points de montage, si vous le souhaitez.

Quand vous avez terminé d’utiliser le partage de fichiers Azure, utilisez sudo umount $mntPath pour démonter le partage.

Monter automatiquement les partages de fichiers

Lorsque vous montez un partage de fichiers sur un système d’exploitation Linux, votre partage de fichiers distant apparaît comme un dossier dans votre système de fichiers local. Vous pouvez monter des partages de fichiers n’importe où sur votre système. L’exemple suivant monte sous le chemin d’accès /media. Vous pouvez modifier ce chemin en modifiant la $MNT_ROOT variable.

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Utilisez le nom du compte de stockage comme nom d’utilisateur du partage de fichiers et la clé du compte de stockage comme mot de passe. Puisque les informations d’identification du compte de stockage peuvent changer au fil du temps, vous devez stocker les informations d’identification du compte de stockage séparément de la configuration de montage.

Si vous avez déjà créé le fichier d’identifiants dans la section précédente, passez au montage statique ou au montage dynamique avec autofs. Sinon, suivez ces étapes pour le créer. N’oubliez pas de remplacer <resource-group-name> et <storage-account-name> par les informations correspondant à votre environnement.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Pour monter automatiquement un partage de fichiers, vous avez le choix entre l’utilisation d’un montage statique via l’utilitaire /etc/fstab ou l’utilisation d’un montage dynamique via l’utilitaire autofs.

Montage statique avec /etc/fstab

À l’aide de l’environnement précédent, créez un dossier pour votre compte de stockage et partage de fichiers sous votre dossier de montage. Remplacez <file-share-name> par le nom approprié de votre partage de fichiers Azure.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Enfin, créez un enregistrement dans le fichier /etc/fstab de votre partage de fichiers Azure. Dans la commande suivante, les autorisations de fichier et de dossier Linux par défaut 0755 sont utilisées. Ces autorisations signifient lire, écrire et exécuter pour le propriétaire (en fonction du propriétaire Linux du fichier ou du répertoire), lire et exécuter pour les utilisateurs du groupe propriétaire, et lire et exécuter pour d’autres personnes sur le système. Vous pouvez définir, lors du montage, des permissions alternatives uid et gid ou dir_mode et file_mode, selon vos besoins. Pour plus d’informations sur la façon de définir les autorisations, consultez la notation numérique UNIX. Consultez Options de montage pour obtenir la liste des options de montage SMB.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Montage dynamique avec autofs

Pour monter dynamiquement un partage de fichiers avec l’utilitaire autofs , installez-le à l’aide du gestionnaire de package sur la distribution Linux de votre choix.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Ensuite, mettez à jour les fichiers de configuration autofs. Pour obtenir la liste des options de montage SMB, consultez les options de montage.

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

La dernière étape consiste à redémarrer le service autofs.

sudo systemctl restart autofs

Montage avec rotation du mot de passe

La rotation périodique des mots de passe (clés de compte de stockage) est une bonne pratique de sécurité. Toutefois, dans le passé, cette pratique nécessitait un temps d’arrêt planifié. À présent, vous pouvez spécifier l’option password2= de montage afin que si le mot de passe principal expire ou est pivoté, le montage du partage de fichiers continue de fonctionner sans temps d’arrêt pour les utilisateurs. Ce deuxième secret facultatif que vous transmettez au client SMB Linux permet une rotation transparente des informations d’identification sans démonter le partage ou interrompre les E/S.

Lorsque cette option de montage est présente, le client accepte à la fois password et password2 pendant la configuration de session et se reconnecte, afin de pouvoir introduire une nouvelle clé pendant que l’ancienne clé est toujours en cours d’utilisation.

Vous pouvez fournir password2 l’une des deux manières suivantes :

• Dans le fichier d’informations d’identification SMB en même temps que le nom d’utilisateur et le mot de passe
• Sur la ligne de commande, pour mettre à jour un montage de volume existant : -o password2=new-secret, y compris via -o remount pendant la rotation

Prérequis

Vous avez besoin de la version 7.4 ou ultérieure de cifs-utils pour utiliser l’option de montage password2. Outre le package cifs-utils correct, votre distribution Linux doit prendre en charge les versions minimales requises du noyau, comme indiqué dans le tableau suivant :

Via le fichier d’informations d’identification

Placez les deux secrets dans votre fichier d’informations d’identification, puis montez avec les informations d’identification. Lors de la rotation, mettez à jour password2 sur la nouvelle clé en premier, remontez ou attendez les reconnexions, puis échangez les valeurs à votre prochaine fenêtre de maintenance afin que la nouvelle clé devienne password.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Mettre à jour le montage de volume existant

Si vous disposez déjà d’un volume monté sur une distribution compatible avec une version adaptée de cifs-utils, vous pouvez utiliser la commande suivante pour modifier les options de montage en ajoutant l’option password2=.

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Options de montage

Utilisez les options de montage suivantes lors du montage de SMB Azure partages de fichiers sur Linux.

Étape suivante

Pour plus d’informations sur l’utilisation de partages de fichiers Azure SMB avec Linux, consultez :

• Résoudre les problèmes généraux liés à SMB sur Linux