Montare condivisioni file di Azure SMB nei client Linux

Si applica a: ✔️ condivisioni file SMB

È possibile montare le condivisioni file di Azure nelle distribuzioni Linux utilizzando il client SMB del kernel.

Questo articolo illustra come montare una condivisione file SMB Azure usando l'autenticazione NTLMv2 (chiave dell'account di archiviazione). Per motivi di sicurezza, Microsoft raccomanda l'autenticazione basata sull'identità. Vedere Abilitare l'autenticazione di Active Directory tramite SMB per i client Linux che accedono a File di Azure.

Protocolli

Per impostazione predefinita, File di Azure applica la crittografia in transito. La crittografia SMB è disponibile a partire da SMB 3.0. File di Azure supporta anche SMB 2.1, che non supporta la crittografia SMB. Di conseguenza, File di Azure non consente il montaggio di condivisioni file usando SMB 2.1 da un'altra area Azure o locale, senza configurazione di rete aggiuntiva, per motivi di sicurezza. È consigliabile usare SMB 3.1.1, a meno che l'applicazione non richieda in modo specifico una versione precedente.

Se la distribuzione di Linux non è elencata nella tabella precedente, controllare la versione del kernel Linux usando il uname comando :

uname -r

Prerequisiti

Installa cifs-utils

• Verificare che il pacchetto cifs-utils sia installato. Installare la versione più recente del pacchetto cifs-utils usando la gestione pacchetti nella distribuzione Linux di propria scelta.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

In altre distribuzioni usare l'utilità di gestione dei pacchetti appropriata o compilare il codice sorgente.

Verifica la connettività della porta 445

• La versione più recente dell'interfaccia della riga di comando di Azure. Per altre informazioni su come installare l'interfaccia della riga di comando di Azure, vedere Installare l'interfaccia della riga di comando di Azure e selezionare il sistema operativo in uso. Se si preferisce usare il modulo Azure PowerShell in PowerShell 6+, è possibile. Tuttavia, le istruzioni contenute in questo articolo sono relative alle interfaccia della riga di comando di Azure.

• Verificare che la porta 445 sia aperta: SMB comunica sulla porta TCP 445. Assicurarsi che il firewall o l'ISP non blocchi la porta TCP 445 dal computer client. Sostituire <your-resource-group> e <your-storage-account>, quindi eseguire lo script seguente:

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Se la connessione ha esito positivo, viene visualizzato un output simile al seguente:

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  È possibile usare una connessione VPN o Azure ExpressRoute se la porta 445 è bloccata nella rete. Per maggiori informazioni, consultare la sezione Considerazioni sulla rete per l'accesso diretto alla condivisione file di Azure.

Autorizzazioni

Tutti gli script di montaggio in questo articolo montano le condivisioni file usando le autorizzazioni predefinite per file e cartelle linux 0755. Questa impostazione di autorizzazione concede diritti di lettura, scrittura ed esecuzione per il proprietario del file o della directory e i diritti di lettura ed esecuzione per gli utenti nel gruppo proprietario e in altri utenti. In base ai criteri di sicurezza dell'organizzazione, è possibile impostare autorizzazioni uid/gid alternative o dir_mode e file_mode nelle opzioni di montaggio. Per altre informazioni su come impostare le autorizzazioni, vedere Notazione simbolica Unix. Per un elenco delle opzioni di montaggio, vedere Opzioni di montaggio.

Supporto delle autorizzazioni in stile Unix

È anche possibile ottenere il supporto delle autorizzazioni in stile Unix per le condivisioni dei file di Azure SMB usando il controllo di accesso forzato dal client e aggiungendo le opzioni di montaggio modefromsid,idsfromsid al comando di montaggio. Per il funzionamento di questo supporto:

• Tutti i client che accedono alla condivisione devono montarla utilizzando modefromsid,idsfromsid.
• Gli UID e i GID devono essere uniformi in tutti i client.
• I client devono eseguire una delle distribuzioni Linux supportate seguenti: Ubuntu 20.04+, SLES 15 SP3+.

Chiusura differita e accesso a doppio protocollo

Il client SMB Linux usa un'ottimizzazione delle prestazioni denominata chiusura posticipata (handle caching). Quando un'applicazione chiude un file, il client può ritardare l'invio della richiesta SMB CLOSE al server, per impostazione predefinita fino a un secondo, nel caso in cui il file venga riaperto rapidamente. Quando File di Azure riceve la richiesta CLOSE che segue una scrittura, aggiorna l'ora dell'ultima modifica del file (LMT) e quindi il relativo ETag.

Se si accede alla stessa condivisione di file sia tramite SMB sia tramite l'API FileREST (accesso a doppio protocollo), questo ritardo può causare una condizione di competizione. Al termine della scrittura e della chiusura di un file da parte di un client SMB, un client REST che legge l'ETag del file e avvia un'operazione condizionale può non riuscire con un errore "File modificato simultaneamente" (Precondizione HTTP 412 Non riuscita) quando arriva la richiesta CLOSE posticipata e aggiorna LMT e ETag.

Per i carichi di lavoro che passano file tra un writer SMB e un lettore basato su REST, disabilitare la chiusura differita aggiungendo l'opzione di mount closetimeo=0. Questa opzione forza il client a inviare immediatamente la richiesta SMB CLOSE (e a finalizzare LMT ed ETag), eliminando così la condizione di competizione, con un impatto minimo sulle prestazioni di apertura e chiusura.

Montare la condivisione file di Azure su richiesta con il comando mount

Quando monti una condivisione file su un sistema operativo Linux, la condivisione file remota appare come una cartella nel file system locale. Puoi montare condivisioni file ovunque nel tuo sistema. Nell'esempio seguente il montaggio avviene sotto il percorso /media. Puoi cambiare questo percorso modificando la $MNT_ROOT variabile.

Sostituire <resource-group-name>, <storage-account-name> e <file-share-name> con le informazioni appropriate per l'ambiente:

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Inizializzare quindi il file delle credenziali eseguendo lo script seguente.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

È ora possibile montare la condivisione file con il mount comando usando il file delle credenziali. Nell'esempio seguente il comando $SMB_PATH viene popolato usando il nome di dominio completo per l'endpoint file dell'account di archiviazione. Per un elenco delle opzioni di montaggio SMB, vedere Opzioni di montaggio.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

È anche possibile montare la stessa condivisione file di Azure in più punti di montaggio, se necessario.

Dopo aver usato la condivisione file di Azure, è possibile usare sudo umount $mntPath per smontarla.

Montare automaticamente le condivisioni di file

Quando monti una condivisione file su un sistema operativo Linux, la condivisione file remota appare come una cartella nel file system locale. Puoi montare condivisioni file ovunque nel tuo sistema. Nell'esempio seguente il montaggio avviene sotto il percorso /media. Puoi cambiare questo percorso modificando la $MNT_ROOT variabile.

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Usare il nome dell'account di archiviazione come nome utente della condivisione file e la chiave dell'account di archiviazione come password. Poiché le credenziali dell'account di archiviazione potrebbero cambiare nel tempo, è necessario archiviare le credenziali per l'account di archiviazione separatamente dalla configurazione di montaggio.

Se hai già creato il file di credenziali nella sezione precedente, salta su montatura statica o dinamica con autofs. Altrimenti, segui questi passaggi per crearlo. Ricordare di sostituire <resource-group-name> e <storage-account-name> con le informazioni appropriate per l'ambiente.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Per montare automaticamente una condivisione file, è possibile scegliere tra l'uso di un montaggio statico tramite l'utilità /etc/fstab o l'uso di un montaggio dinamico tramite l'utilità autofs.

Montaggio statico con /etc/fstab

Utilizzando l'ambiente precedente, crea una cartella per il tuo account di archiviazione e la tua condivisione di file all'interno della cartella di montaggio. Sostituire <file-share-name> con il nome appropriato della condivisione file di Azure.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Infine, creare un record nel file /etc/fstab per la condivisione file di Azure. Nel comando seguente vengono usate le autorizzazioni predefinite per file e cartelle linux 0755. Queste autorizzazioni indicano la lettura, la scrittura e l'esecuzione per il proprietario (in base al proprietario linux del file o della directory), leggere ed eseguire per gli utenti nel gruppo proprietario ed eseguire per altri utenti nel sistema. È anche possibile impostare permessi alternativi uid e gid oppure dir_mode e file_mode al montaggio. Per altre informazioni su come impostare le autorizzazioni, vedere Notazione numerica UNIX. Per un elenco delle opzioni di montaggio SMB, vedere Opzioni di montaggio.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Eseguire il montaggio dinamico con autofs

Per montare dinamicamente una condivisione file con l'utilità autofs , installarla usando la gestione pacchetti nella distribuzione Linux di propria scelta.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Aggiornare quindi i file di configurazione autofs. Per un elenco delle opzioni di montaggio SMB, vedere Opzioni di montaggio.

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

Il passaggio finale consiste nel riavvio del servizio autofs.

sudo systemctl restart autofs

Montare con rotazione delle password

La rotazione periodica delle password (chiavi dell'account di archiviazione) è una procedura consigliata per la sicurezza. Tuttavia, in passato, questa pratica richiedeva tempi di inattività pianificati. È ora possibile specificare l'opzione di mount password2= in modo che, se la password primaria scade o viene ruotata, il mount della condivisione file continua a operare senza tempi di inattività per gli utenti. Questo secondo segreto facoltativo passato al client SMB Linux consente la rotazione delle credenziali senza smontare la condivisione o interrompere l'I/O.

Quando questa opzione di montaggio è presente, il client accetta sia password che password2 durante l'installazione della sessione e si riconnette, in modo da poter introdurre una nuova chiave mentre la chiave precedente è ancora in uso.

È possibile fornire password2 in uno dei due modi seguenti:

• Nel file di credenziali SMB insieme a nome utente e password
• Nella riga di comando per aggiornare un mount del volume esistente: -o password2=new-secret, incluso tramite -o remount durante la rotazione

Prerequisiti

Per usare l'opzione password2 di montaggio è necessario cifs-utils versione 7.4 o successiva. Oltre al pacchetto cifs-utils corretto, la distribuzione linux deve supportare le versioni minime necessarie del kernel, come evidenziato nella tabella seguente:

Tramite il file di credenziali

Inserire entrambi i segreti nel file delle credenziali, quindi montare con le credenziali. Quando si ruota, eseguire prima l'aggiornamento password2 alla nuova chiave, rimontare o attendere la riconnessione, quindi scambiare i valori nella finestra di manutenzione successiva in modo che la nuova chiave diventi password.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Aggiornare il montaggio del volume esistente

Se si dispone già di un volume montato in una distribuzione supportata con una versione appropriata di cifs-utils, è possibile usare il comando seguente per modificare l'opzione di montaggio aggiungendo l'opzione password2= .

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Opzioni di montaggio

Usare le opzioni di montaggio seguenti per montare le condivisioni file SMB di Azure in Linux.

Passaggio successivo

Per altre informazioni sull'uso di condivisioni file di Azure SMB con Linux, vedere:

• Risolvere i problemi generali SMB in Linux