Monte compartilhamentos de arquivos SMB Azure em clientes Linux

Aplica-se a: ✔️ partilhas de ficheiros SMB

Pode montar partilhas de ficheiros Azure em distribuições Linux usando o cliente do kernel SMB.

Este artigo mostra como montar uma partilha de ficheiros SMB Azure usando autenticação NTLMv2 (chave de conta de armazenamento). Por razões de segurança, a Microsoft recomenda a autenticação baseada em identidade. Para configurar autenticação baseada em identidade, consulte Configurar clientes Linux para Ficheiros do Azure com AD DS local ou Configurar clientes Linux para Ficheiros do Azure com Microsoft Entra Domain Services.

Protocolos

Por predefinição, o Ficheiros do Azure aplica a encriptação em trânsito. A cifração SMB está disponível a partir do SMB 3.0. O Ficheiros do Azure também suporta SMB 2.1, que não oferece suporte à criptografia SMB. Como resultado, o Ficheiros do Azure não permite montar partilhas de ficheiros usando SMB 2.1 de outra região do Azure ou on-premises, sem configuração adicional de rede, por razões de segurança. Deverá utilizar SMB 3.1.1, a menos que a sua aplicação exija especificamente uma versão mais antiga.

Se a sua distribuição Linux não estiver listada na tabela anterior, verifique a versão do kernel Linux usando o uname comando:

uname -r

Pré-requisitos

Instalar cifs-utils

• Certifique-se de que o pacote cifs-utils está instalado. Instale a versão mais recente do pacote cifs-utils usando o gestor de pacotes na distribuição Linux da sua escolha.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

Em outras distribuições, use o gerenciador de pacotes apropriado ou compile a partir do código-fonte.

Verificar a conectividade da porta 445

• A versão mais recente da CLI (Interface de Linha de Comando) do Azure. Para obter mais informações sobre como instalar a CLI do Azure, consulte Instalar a CLI do Azure e selecione seu sistema operacional. Se preferires usar o módulo Azure PowerShell no PowerShell 6+, podes. No entanto, as instruções deste artigo são para a CLI do Azure.

• Certifique-se de que a porta 445 está aberta: o SMB comunica através da porta TCP 445. Certifique-se de que o firewall ou ISP não está bloqueando a porta TCP 445 da máquina cliente. Substitua <your-resource-group> e <your-storage-account> execute o seguinte script:

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Se a ligação for bem-sucedida, verá uma saída semelhante à seguinte:

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  Pode usar uma ligação VPN ou Azure ExpressRoute se a porta 445 estiver bloqueada na sua rede. Para obter mais informações, consulte Considerações sobre a rede para acesso direto à partilha de ficheiros do Azure.

Permissões

Todos os scripts de montagem neste artigo montam as partilhas de ficheiros utilizando as permissões predefinidas do Linux 0755 para ficheiros e pastas. Esta definição de permissões concede direitos de leitura, escrita e execução ao proprietário do ficheiro ou diretório, bem como direitos de leitura e execução para utilizadores do grupo proprietário e outros utilizadores. Dependendo das políticas de segurança da sua organização, convém definir permissões alternativas uid/gid ou dir_mode e file_mode nas opções de montagem. Para obter mais informações sobre como definir permissões, consulte Notação simbólica Unix. Consulte as opções de montagem para obter uma lista de opções de montagem.

Suporte a permissões no estilo Unix

Você também pode obter suporte a permissões no estilo Unix para compartilhamentos de arquivos SMB Azure usando o controle de acesso imposto pelo cliente e adicionando modefromsid,idsfromsid opções de montagem ao seu comando mount. Para que este apoio funcione:

• Todos os clientes que acedem à partilha precisam de montar usando modefromsid,idsfromsid.
• Os UIDs e GIDs devem ser uniformes em todos os clientes.
• Os clientes devem estar a executar uma das seguintes distribuições Linux suportadas: Ubuntu 20.04+, SLES 15 SP3+.

Fecho diferido e acesso por protocolo duplo

O cliente SMB do Linux utiliza uma otimização de desempenho denominada encerramento diferido (armazenamento em cache de identificadores). Quando uma aplicação fecha um ficheiro, o cliente pode atrasar o envio do pedido SMB CLOSE para o servidor, por defeito, durante até um segundo, caso o ficheiro seja reaberto rapidamente. Quando o Ficheiros do Azure recebe o pedido CLOSE que segue uma escrita, atualiza o tempo de última modificação (LMT) do ficheiro e, consequentemente, o seu ETag.

Se aceder à mesma partilha de ficheiros tanto através de SMB como da API FileREST (acesso por protocolo duplo), este atraso pode causar uma condição de corrida. Depois de um cliente SMB terminar de escrever e fechar um ficheiro, um cliente REST que lê o ETag do ficheiro e inicia uma operação condicional pode falhar com um erro "O ficheiro foi modificado simultaneamente" (HTTP 412 Precondition Failed) quando o pedido CLOSE diferido chega e atualiza o LMT e o ETag.

Para cargas de trabalho que passam ficheiros entre um escritor SMB e um leitor com base em REST, desative o fecho diferido adicionando a opção de montagem closetimeo=0. Esta opção obriga o cliente a enviar o pedido SMB CLOSE imediatamente (e a finalizar o LMT e o ETag), o que elimina a condição de corrida, com um pequeno impacto no desempenho das operações de abertura e fecho.

Monte a partilha de ficheiros do Azure a pedido com o comando mount.

Quando montas uma partilha de ficheiros num sistema operativo Linux, a tua partilha remota aparece como uma pasta no sistema de ficheiros local. Pode montar partilhas de ficheiros em qualquer lugar do seu sistema. O exemplo a seguir é montado no caminho /media. Pode alterar este caminho modificando a $MNT_ROOT variável.

Substitua <resource-group-name>, <storage-account-name>e <file-share-name> com as informações apropriadas para o seu ambiente:

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Em seguida, inicialize o arquivo de credenciais executando o script a seguir.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Agora você pode montar o compartilhamento de arquivos com o mount comando usando o arquivo de credenciais. No exemplo seguinte, o comando $SMB_PATH é preenchido usando o nome de domínio totalmente qualificado para o ponto final de ficheiro da conta de armazenamento. Veja opções de montagem para uma lista de opções de montagem SMB.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

Você também pode montar o mesmo compartilhamento de arquivos do Azure em vários pontos de montagem, se desejar.

Quando terminar de usar o compartilhamento de arquivos do Azure, use sudo umount $mntPath para desmontar o compartilhamento.

Montar automaticamente partilhas de ficheiros

Quando montas uma partilha de ficheiros num sistema operativo Linux, a tua partilha remota aparece como uma pasta no sistema de ficheiros local. Pode montar partilhas de ficheiros em qualquer lugar do seu sistema. O exemplo a seguir é montado no caminho /media. Pode alterar este caminho modificando a $MNT_ROOT variável.

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Use o nome da conta de armazenamento como o nome de usuário do compartilhamento de arquivos e a chave da conta de armazenamento como a senha. Como as credenciais da conta de armazenamento podem mudar com o tempo, você deve armazenar as credenciais da conta de armazenamento separadamente da configuração de montagem.

Se já criaste o ficheiro de credenciais na secção anterior, salta para montagem estática ou montagem dinâmica com autofs. Caso contrário, siga estes passos para o criar. Lembre-se de substituir <resource-group-name> e <storage-account-name> com as informações apropriadas para o seu ambiente.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Para montar automaticamente um compartilhamento de arquivos, você pode escolher entre usar uma montagem estática através do /etc/fstab utilitário ou usar uma montagem dinâmica através do autofs utilitário.

Montagem estática com /etc/fstab

Usando o ambiente anterior, cria uma pasta para a tua conta de armazenamento e partilha ficheiros na tua pasta mount. Substitua <file-share-name> pelo nome apropriado do seu compartilhamento de arquivos do Azure.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Por fim, crie um registro no /etc/fstab arquivo para seu compartilhamento de arquivos do Azure. No comando seguinte, são usadas as permissões padrão 0755 para ficheiros e pastas do Linux. Estas permissões significam ler, escrever e executar para o proprietário (com base no proprietário do ficheiro ou diretório do Linux), ler e executar para utilizadores do grupo de proprietários, e ler e executar para outros no sistema. Poderá querer definir permissões alternativas uid e gid ou dir_mode e file_mode aquando da montagem, consoante pretendido. Para obter mais informações sobre como definir permissões, consulte Notação numérica UNIX. Veja opções de montagem para uma lista de opções de montagem SMB.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Montagem dinâmica com autofs

Para montar dinamicamente uma partilha de ficheiros com a autofs utilidade, instale-a usando o gestor de pacotes na distribuição Linux que preferir.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Em seguida, atualize os arquivos de autofs configuração. Para uma lista de opções de montagem SMB, veja opções de montagem.

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

A etapa final é reiniciar o autofs serviço.

sudo systemctl restart autofs

Montagem com rotação de senha

A rotação periódica de senhas (chaves de conta de armazenamento) é uma prática recomendada de segurança. No entanto, no passado, esta prática exigia algum tempo de inatividade planeado. Agora, pode especificar a opção de montagem password2= para que, se a palavra-passe principal expirar ou for alterada, a montagem da partilha de ficheiros continue a funcionar sem qualquer tempo de inatividade para os utilizadores. Este segundo segredo opcional que fornece ao cliente SMB do Linux permite a rotação das credenciais de forma transparente, sem desmontar a partilha nem interromper a E/S.

Quando esta opção de montagem está presente, o cliente aceita ambas password e password2 durante a configuração da sessão e reconecta, para que possa introduzir uma nova chave enquanto a chave antiga ainda está em uso.

Pode fornecer password2 de duas formas:

• No arquivo de credenciais SMB ao lado do nome de usuário e senha
• Na linha de comandos para atualizar uma montagem de volume existente: -o password2=new-secret, incluindo via -o remount durante a rotação

Pré-requisitos

Você precisa da versão 7.4 ou superior do cifs-utils para usar a opção de montagem password2. Além do pacote cifs-utils correto, sua distribuição Linux deve suportar as versões mínimas necessárias do kernel, conforme destacado na tabela a seguir:

Via arquivo de credenciais

Coloque ambos os segredos no seu ficheiro de credenciais e, em seguida, efetue a montagem com credenciais. Ao girar, atualize password2 para a nova chave primeiro, remonte ou aguarde reconexões e, em seguida, troque os valores na próxima janela de manutenção para que a nova chave se torne password.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Atualizar montagem de volume existente

Se já tiver um volume montado numa distribuição suportada com uma versão apropriada do cifs-utils, pode usar o seguinte comando para modificar a opção de montagem adicionando essa password2= opção.

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Opções de montagem

Use as seguintes opções de montagem ao montar partilhas de ficheiros SMB Azure no Linux.

Próximo passo

Para obter mais informações sobre como usar compartilhamentos de arquivos do SMB Azure com Linux, consulte:

• Solucionar problemas gerais de SMB no Linux