Mount SMB Azure-bestandsshares op Linux-clients

Van toepassing op: ✔️ SMB-bestandsshares

U kunt Azure-bestandsshares koppelen in Linux-distributies met behulp van de SMB-kernelclient.

In dit artikel wordt beschreven hoe u een SMB-Azure bestandsshare koppelt met behulp van NTLMv2-verificatie (opslagaccountsleutel). Om veiligheidsredenen raadt Microsoft identiteitsgebaseerde authenticatie aan. Om identiteitsgebaseerde verificatie te configureren, raadpleegt u Linux-clients voor Azure Files configureren met lokale AD DS of Linux-clients voor Azure Files configureren met Microsoft Entra Domeinservices.

Protocollen

Azure Files dwingt standaard versleuteling af tijdens overdracht. SMB-versleuteling is beschikbaar vanaf SMB 3.0. Azure Files biedt ook ondersteuning voor SMB 2.1, wat geen ondersteuning biedt voor SMB-versleuteling. Als gevolg hiervan staat Azure Files het koppelen van bestandsshares niet toe met behulp van SMB 2.1 vanuit een andere Azure regio of on-premises, zonder extra netwerkconfiguratie, om veiligheidsredenen. U moet SMB 3.1.1 gebruiken, tenzij uw toepassing specifiek een oudere versie vereist.

Als uw Linux-distributie niet wordt vermeld in de voorgaande tabel, controleert u de Linux-kernelversie met behulp van de uname opdracht:

uname -r

Vereiste voorwaarden

Installeer cifs-utils

• Zorg ervoor dat het cifs-utils-pakket is geïnstalleerd. Installeer de nieuwste versie van het cifs-utils-pakket met behulp van pakketbeheer in de Linux-distributie van uw keuze.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

Gebruik in andere distributies het juiste pakketbeheer of compileer vanuit de bron.

Controleer de connectiviteit van poort 445

• De meest recente versie van de Azure-opdrachtregelinterface (CLI). Zie De Azure CLI installeren en uw besturingssysteem selecteren voor meer informatie over het installeren van de Azure CLI. Als u liever de Azure PowerShell-module in PowerShell 6+ gebruikt, kunt u dat doen. De instructies in dit artikel zijn echter voor de Azure CLI.

• Zorg ervoor dat poort 445 open is: SMB communiceert via TCP-poort 445. Zorg ervoor dat uw firewall of internetprovider TCP-poort 445 niet blokkeert vanaf de clientcomputer. Vervang <your-resource-group> en <your-storage-account> voer het volgende script uit:

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Als de verbinding is geslaagd, ziet u uitvoer die er ongeveer als volgt uitziet:

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  U kunt een VPN-verbinding of Azure ExpressRoute gebruiken als poort 445 is geblokkeerd in uw netwerk. Zie Netwerkoverwegingen voor directe toegang tot Azure-bestandsshares voor meer informatie.

Machtigingen

Alle koppelingsscripts in dit artikel koppelen de bestandsshares met behulp van de standaardmachtigingen voor 0755 Linux-bestanden en -mappen. Deze machtigingsinstelling verleent lees-, schrijf- en uitvoerrechten voor de eigenaar van het bestand of de map, en lees- en uitvoerrechten voor gebruikers in de eigenaarsgroep en andere gebruikers. Afhankelijk van het beveiligingsbeleid van uw organisatie, kunt u alternatieve uid/gid of dir_mode machtigingen file_mode instellen in de koppelingsopties. Zie De symbolische notatie van Unix voor meer informatie over het instellen van machtigingen. Zie koppelingsopties voor een lijst met koppelopties.

Ondersteuning voor machtigingen in Unix-stijl

U kunt ook ondersteuning krijgen voor Unix-machtigingen voor SMB Azure-bestandsshares door toegangsbeheer dat door de client is afgedwongen te gebruiken en door koppelingsopties modefromsid,idsfromsid toe te voegen aan uw koppelingsopdracht. Deze ondersteuning werkt als volgt:

• Alle clients die toegang hebben tot de share, moeten worden gekoppeld met behulp van modefromsid,idsfromsid.
• De UID's en GID's moeten uniform zijn voor alle clients.
• Clients moeten een van de volgende ondersteunde Linux-distributies uitvoeren: Ubuntu 20.04+, SLES 15 SP3+.

Uitgesteld sluiten en toegang via twee protocollen

De Linux SMB-client maakt gebruik van een prestatieoptimalisatie genaamd uitgesteld sluiten (handlecaching). Wanneer een toepassing een bestand sluit, kan de client het verzenden van de SMB CLOSE-aanvraag naar de server vertragen, voor het geval het bestand snel opnieuw wordt geopend. Wanneer Azure Files de CLOSE-aanvraag ontvangt die volgt op een schrijfbewerking, wordt de laatst gewijzigde tijd (LMT) van het bestand bijgewerkt en daarom de ETag.

Als u dezelfde bestandsshare opent via zowel SMB als de FileREST-API (dual-protocol access), kan deze vertraging een racevoorwaarde veroorzaken. Nadat een SMB-client klaar is met het schrijven en sluiten van een bestand, kan een REST-client die de ETag van het bestand leest en een voorwaardelijke bewerking start mislukken met de fout 'Bestand is gelijktijdig gewijzigd' (HTTP 412-voorwaarde mislukt) wanneer de uitgestelde CLOSE-aanvraag binnenkomt en de LMT en ETag bijwerken.

Voor workloads die bestanden doorgeven tussen een SMB-schrijver en een op REST gebaseerde lezer, schakelt u uitgesteld sluiten uit door de mountoptie closetimeo=0 toe te voegen. Deze optie dwingt de client om het SMB CLOSE-verzoek onmiddellijk te verzenden (en de LMT en ETag definitief vast te leggen), waardoor de raceconditie wordt geëlimineerd ten koste van een kleine afname van de prestaties bij openen en sluiten.

De Azure-bestandsshare desgewenst koppelen met mount

Wanneer je een bestandsdeling op een Linux-besturingssysteem mount, verschijnt je externe bestandsdeling als een map in je lokale bestandssysteem. Je kunt overal op je systeem bestandsdelingen mounten. In het volgende voorbeeld wordt onder het /media pad gemonteerd. Je kunt dit pad veranderen door de variabele aan te $MNT_ROOT passen.

Vervang <resource-group-name>, <storage-account-name>en <file-share-name> door de juiste informatie voor uw omgeving:

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Initialiseer vervolgens het referentiebestand door het volgende script uit te voeren.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Nu kunt u het bestandsdeel koppelen met het mount-commando waarbij u het inloggegevensbestand gebruikt. In het volgende voorbeeld wordt de $SMB_PATH opdracht ingevuld met behulp van de volledig gekwalificeerde domeinnaam voor het bestandseindpunt van het opslagaccount. Zie koppelingsopties voor een lijst met SMB-koppelingsopties.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

U kunt desgewenst ook dezelfde Azure-bestandsshare koppelen aan meerdere koppelpunten.

Wanneer u klaar bent met het gebruik van de Azure-bestandsshare, gebruikt u sudo umount $mntPath om de share te ontkoppelen.

Bestandsshares automatisch koppelen

Wanneer je een bestandsdeling op een Linux-besturingssysteem mount, verschijnt je externe bestandsdeling als een map in je lokale bestandssysteem. Je kunt overal op je systeem bestandsdelingen mounten. In het volgende voorbeeld wordt onder het /media pad gemonteerd. Je kunt dit pad veranderen door de variabele aan te $MNT_ROOT passen.

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Gebruik de naam van het opslagaccount als de gebruikersnaam van de bestandsshare en de sleutel van het opslagaccount als het wachtwoord. Omdat de referenties van het opslagaccount na verloop van tijd kunnen worden gewijzigd, moet u de referenties voor het opslagaccount afzonderlijk van de koppelingsconfiguratie opslaan.

Als je het bestand met inloggegevens al in de vorige sectie hebt aangemaakt, ga dan verder naar statische koppeling of dynamische koppeling met autofs. Anders volg je deze stappen om het te maken. Vergeet niet om <resource-group-name> en <storage-account-name> te vervangen door de juiste informatie voor uw omgeving aan te geven.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Als u automatisch een bestandsshare wilt koppelen, kunt u kiezen tussen het gebruik van een statische koppeling via het /etc/fstab hulpprogramma of het gebruik van een dynamische koppeling via het autofs hulpprogramma.

Statische koppeling met /etc/fstab

Maak met behulp van de eerder gebruikte omgeving onder uw aankoppelmap een map voor uw opslagaccount en bestandsshare. Vervang door <file-share-name> de juiste naam van uw Azure-bestandsshare.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Maak ten slotte een record in het /etc/fstab bestand voor uw Azure-bestandsshare. In de volgende opdracht worden de standaardmachtigingen voor 0755 Linux-bestanden en -mappen gebruikt. Deze machtigingen betekenen lezen, schrijven en uitvoeren voor de eigenaar (op basis van de linux-eigenaar van het bestand of de map), lezen en uitvoeren voor gebruikers in de eigenaarsgroep en lezen en uitvoeren voor anderen op het systeem. Je kunt alternatieve uid en gid /of dir_mode en file_mode permissies op mount instellen zoals gewenst. Zie unix-numerieke notatie voor meer informatie over het instellen van machtigingen. Zie koppelingsopties voor een lijst met SMB-koppelingsopties.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Dynamisch koppelen met autofs

Als u een bestandsshare dynamisch wilt koppelen met het autofs hulpprogramma, installeert u deze met behulp van pakketbeheer in de Linux-distributie van uw keuze.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Werk vervolgens de autofs configuratiebestanden bij. Voor een lijst met SMB-koppelingsopties, zie koppelingsopties.

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

De laatste stap is het opnieuw starten van de autofs service.

sudo systemctl restart autofs

Koppelen met wachtwoordrotatie

Het periodiek roteren van wachtwoorden (opslagaccountsleutels) is een aanbevolen procedure voor beveiliging. In het verleden vereist deze praktijk echter enige geplande downtime. U kunt nu de koppelingsoptie password2= opgeven, zodat als het primaire wachtwoord verloopt of wordt geroteerd, de koppeling van de bestandsshare blijft werken zonder uitvaltijd voor gebruikers. Dit optionele tweede geheim dat u doorgeeft aan de Linux SMB-client, maakt naadloze referentierotatie mogelijk zonder de share te ontkoppelen of I/O te onderbreken.

Wanneer deze mountoptie is opgegeven, accepteert de client zowel password als password2 tijdens het opzetten van de sessie en bij het opnieuw verbinden, zodat u een nieuwe sleutel kunt invoeren terwijl de oude sleutel nog steeds in gebruik is.

U kunt op twee manieren leveren password2 :

• In het SMB-referentiebestand, naast de gebruikersnaam en het wachtwoord
• Op de opdrachtregel om een bestaand volumekoppelpunt bij te werken: -o password2=new-secret, ook via -o remount tijdens rotatie

Vereiste voorwaarden

U hebt cifs-utils versie 7.4 of hoger nodig om de password2 koppelingsoptie te gebruiken. Naast het juiste cifs-utils-pakket moet uw Linux-distributie de minimaal vereiste kernelversies ondersteunen, zoals gemarkeerd in de volgende tabel:

Via referentiegegevensbestand

Plaats beide geheimen in uw inloggegevensbestand en verbind vervolgens met de inloggegevens. Wanneer u roteren, werkt u eerst password2 bij naar de nieuwe sleutel, monteert u opnieuw of wacht u tot er opnieuw verbindingen zijn, en vervolgens wisselt u de waarden om in uw volgende onderhoudsvenster, zodat de nieuwe sleutel verandert in password.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Bewerk bestaande volumemontage

Als u al een volume hebt gekoppeld aan een ondersteunde distributie met een geschikte versie van cifs-utils, kunt u de volgende opdracht gebruiken om de koppelingsoptie te wijzigen door de password2= optie toe te voegen.

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Koppelingsopties

Gebruik de volgende koppelingsopties bij het koppelen van SMB Azure bestandsshares in Linux.

Volgende stap

Zie voor meer informatie over het gebruik van SMB Azure-bestandsshares met Linux:

• Algemene SMB-problemen in Linux oplossen