Montera SMB Azure-filresurser på Linux-klienter

Gäller för: ✔️ SMB-fildelningar

Du kan montera Azure-filresurser i Linux-distributioner med hjälp av SMB-kärnklienten.

Den här artikeln visar hur du kan montera en Azure-filresurs med SMB med hjälp av NTLMv2-autentisering (nyckel för lagringskontot). Av säkerhetsskäl rekommenderar Microsoft identitetsbaserad autentisering. För att konfigurera identitetsbaserad autentisering, se Konfigurera Linux-klienter för Azure Files med lokal AD DS eller Konfigurera Linux-klienter för Azure Files med Microsoft Entra Domain Services.

Protokoll

Som standard tillämpar Azure Files kryptering under överföring. SMB-kryptering är tillgängligt från och med SMB 3.0. Azure Files stöder även SMB 2.1, som inte stöder SMB-kryptering. Därför tillåter Azure Files av säkerhetsskäl inte att filresurser monteras med SMB 2.1 från en annan Azure-region eller från lokala miljöer utan ytterligare nätverkskonfiguration. Du bör använda SMB 3.1.1 om inte programmet specifikt kräver en äldre version.

Om linux-distributionen inte visas i föregående tabell kontrollerar du Linux-kernelversionen med hjälp uname av kommandot :

uname -r

Förutsättningar

Installera cifs-utils

• Kontrollera att cifs-utils-paketet är installerat. Installera den senaste versionen av cifs-utils-paketet med hjälp av pakethanteraren på valfri Linux-distribution.

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

På andra distributioner använder du lämplig pakethanterare eller kompilerar från källan.

Kontrollera anslutningen till port 445

• Den senaste versionen av Azures kommandoradsgränssnitt (CLI). Mer information om hur du installerar Azure CLI finns i Installera Azure CLI och välj ditt operativsystem. Om du föredrar att använda modulen Azure PowerShell i PowerShell 6+ kan du göra det. Instruktionerna i den här artikeln gäller dock för Azure CLI.

• Kontrollera att port 445 är öppen: SMB kommunicerar via TCP-port 445. Kontrollera att din brandvägg eller ISP inte blockerar TCP-port 445 från klientdatorn. Ersätt <your-resource-group> och <your-storage-account> kör sedan följande skript:

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  Om anslutningen lyckas ser du utdata som liknar följande:

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  Du kan använda en VPN-anslutning eller Azure ExpressRoute om port 445 blockeras i nätverket. Mer information finns i Nätverksöverväganden för direktåtkomst till Azure-filresurser.

Behörigheter

Alla monteringsskript i den här artikeln monterar fildelningarna med standardbehörigheterna 0755 för Linux-filer och -mappar. Den här behörighetsinställningen beviljar läs-, skriv- och körningsrättigheter för fil- eller katalogägaren samt läs- och körningsrättigheter för användare i ägargruppen och andra användare. Beroende på organisationens säkerhetsprinciper kanske du vill ange alternativa uid/gid eller dir_mode och file_mode behörigheter i monteringsalternativen. Mer information om hur du anger behörigheter finns i Unix symbolisk notation. Se monteringsalternativ för en lista över monteringsalternativ.

Stöd för Unix-liknande behörigheter

Du kan också få stöd för Unix-behörigheter för SMB Azure-fildelningar genom att använda klient-enforcerad åtkomstkontroll och lägga till modefromsid,idsfromsid monteringsalternativ till ditt monteringskommando. För att det här stödet ska fungera:

• Alla klienter som har åtkomst till resursen måste montera den med modefromsid,idsfromsid.
• Användargränssnitten och GID:erna måste vara enhetliga för alla klienter.
• Klienter måste köra någon av följande Linux-distributioner som stöds: Ubuntu 20.04+, SLES 15 SP3+.

Uppskjuten stängning och åtkomst med dubbla protokoll

Linux SMB-klienten använder en prestandaoptimering som kallas uppskjuten stängning (hantera cachelagring). När ett program stänger en fil kan klienten fördröja sändningen av SMB CLOSE-begäran till servern, som standard i upp till en sekund, om filen öppnas snabbt igen. När Azure Files tar emot CLOSE-begäran som följer på en skrivning uppdateras filens senaste ändringstid (LMT) och därmed dess ETag.

Om du kommer åt samma filresurs via både SMB och FileREST-API:t (åtkomst via dubbla protokoll) kan den här fördröjningen orsaka ett konkurrenstillstånd. När en SMB-klient har skrivit klart och stängt en fil kan en REST-klient som läser filens ETag och startar en villkorsstyrd åtgärd misslyckas med felet "Filen har ändrats samtidigt" (HTTP 412-förhandsvillkoret misslyckades) när den uppskjutna CLOSE-begäran anländer och uppdaterar LMT och ETag.

För arbetsbelastningar som lämnar över filer mellan en SMB-skrivare och en REST-baserad läsare inaktiverar du uppskjuten stängning genom att lägga till monteringsalternativet closetimeo=0 . Det här alternativet tvingar klienten att skicka SMB CLOSE-begärandet (och slutföra LMT och ETag) omedelbart, vilket eliminerar kapplöpningstillståndet till priset av en liten försämring av prestandan vid öppning och stängning.

Montera Azure-fildelningen på begäran

När du monterar en fildelning på ett Linux-operativsystem visas din fjärrfildelning som en mapp i ditt lokala filsystem. Du kan montera fildelningar var som helst på ditt system. Följande exempel monteras under /media sökvägen. Du kan ändra denna väg genom att ändra variabeln $MNT_ROOT .

Ersätt <resource-group-name>, <storage-account-name>och <file-share-name> med lämplig information för din miljö:

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

Initiera sedan autentiseringsfilen genom att köra följande skript.

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Nu kan du montera filresursen med kommandot mount med hjälp av autentiseringsfilen. I följande exempel $SMB_PATH fylls kommandot i med det fullständigt kvalificerade domännamnet för lagringskontots filslutpunkt. Se monteringsalternativ för en lista över SMB-monteringsalternativ.

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

Du kan också ansluta samma Azure fildelning till flera monteringspunkter om du vill.

När du är klar med att använda Azure-filresurs, använd sudo umount $mntPath för att demontera resursen.

Anslut fildelningar automatiskt

När du monterar en fildelning på ett Linux-operativsystem visas din fjärrfildelning som en mapp i ditt lokala filsystem. Du kan montera fildelningar var som helst på ditt system. Följande exempel monteras under /media sökvägen. Du kan ändra denna väg genom att ändra variabeln $MNT_ROOT .

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

Använd lagringskontonamnet som användarnamn för filresursen och lagringskontonyckeln som lösenord. Eftersom autentiseringsuppgifterna för lagringskontot kan ändras med tiden bör du lagra autentiseringsuppgifterna för lagringskontot separat från monteringskonfigurationen.

Om du redan skapade legitimationsfilen i föregående avsnitt, hoppa till statisk montering eller dynamisk montering med autofs. Annars, följ dessa steg för att skapa den. Kom ihåg att ersätta <resource-group-name> och <storage-account-name> med lämplig information för din miljö.

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

Om du vill montera en filresurs automatiskt kan du välja mellan att använda en statisk montering via verktyget /etc/fstab eller en dynamisk montering via verktyget autofs.

Statisk montering med /etc/fstab

Använd den tidigare miljön och skapa en mapp för ditt lagringskonto och din filresurs under monteringsmappen. Ersätt <file-share-name> med lämpligt namn på din Azure-filresurs.

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

Skapa slutligen en post i /etc/fstab filen för din Azure-fildelning. I följande kommando används standardbehörigheterna för 0755 Linux-filer och -mappar. Dessa behörigheter innebär att läsa, skriva och köra för ägaren (baserat på filen eller katalogens Linux-ägare), läsa och köra för användare i ägargruppen och läsa och köra för andra i systemet. Du kanske vill ange alternativa uid och gid eller dir_mode och file_mode behörigheter vid montering om så önskas. Mer information om hur du anger behörigheter finns i UNIX numerisk notation. Se monteringsalternativ för en lista över SMB-monteringsalternativ.

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

Montera dynamiskt med autofs

För att montera en fildelning dynamiskt med verktyget autofs, installerar du det med hjälp av pakethanteraren i valfri Linux-distribution.

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

Uppdatera sedan konfigurationsfilerna autofs . En lista över SMB-monteringsalternativ finns i monteringsalternativ.

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

Det sista steget är att starta om autofs tjänsten.

sudo systemctl restart autofs

Montera med lösenordsrotation

Regelbunden rotation av lösenord (lagringskontonycklar) är en metod för säkerhet. Tidigare krävde denna praxis dock viss planerad stilleståndstid. Nu kan du ange monteringsalternativet password2= så att om det primära lösenordet upphör att gälla eller roteras fortsätter filresursmonteringen att fungera utan avbrott för användarna. Den här valfria andra hemligheten som du skickar till Linux SMB-klienten möjliggör sömlös rotation av autentiseringsuppgifter utan att demontera resursen eller avbryta I/O.

När det här monteringsalternativet finns accepterar klienten både password och password2 under sessionskonfigurationen och återansluter, så du kan introducera en ny nyckel medan den gamla nyckeln fortfarande används.

Du kan ange password2 på något av två sätt:

• I filen med SMB-autentiseringsuppgifter tillsammans med användarnamn och lösenord
• På kommandoraden uppdaterar du en befintlig volymmontering: -o password2=new-secret, även via -o remount vid rotation

Förutsättningar

Du behöver cifs-utils version 7.4 eller senare för att kunna använda monteringsalternativet password2 . Förutom rätt cifs-utils-paket måste Linux-distributionen ha stöd för de lägsta nödvändiga kernelversionerna som markerats i följande tabell:

Via autentiseringsuppgiftsfil

Placera båda hemligheterna i filen med dina autentiseringsuppgifter och montera sedan med autentiseringsuppgifter. När du roterar uppdaterar password2 du till den nya nyckeln först, monterar om eller väntar på återanslutningar och byter sedan värdena vid nästa underhållsfönster så att den nya nyckeln blir password.

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

Uppdatera volymmonteringspunkt

Om du redan har en volym monterad på en distribution som stöds med en lämplig version av cifs-utils kan du använda följande kommando för att ändra monteringsalternativet genom att lägga till password2= alternativet.

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

Monteringsalternativ

Använd följande monteringsalternativ när du monterar SMB-Azure filresurser i Linux.

Nästa steg

Mer information om hur du använder SMB Azure-filresurser med Linux finns i:

• Felsöka allmänna SMB-problem i Linux