NFS 版本

File Storage for VPC 需要 NFS 版本 v4.1 或更高版本。 當多位使用者合作並對檔案共用執行一系列讀取及寫入作業時，會透過鎖定 NFS 通訊協定原生的鎖定機制來達到資料一致性。 NFS 4.1 版支援諮詢位元組範圍檔案鎖定。 位元組範圍鎖定是用來將活動序列化至檔案內的位元組範圍。 作為建議的鎖定機制，它不會阻止存取任何應用程式，但會提供一種機制，讓應用程式透過取得鎖定及查詢是否保留鎖定來協同通訊。 如需相關資訊，請參閱 RFC8881。

裝載目標存取模式

當您建立或更新裝載目標時，可以指定在檔案共用上存取裝載目標的方式。 截至 2026 年 6 月 6 日，存取控制模式的唯一選項是安全群組存取模式。 透過使用安全群組，您可以授權特定伺服器實例或子網路內的多個實例存取檔案共用。 授權虛擬伺服器實例與檔案共用之間的通訊也可以加密。 如需詳細資訊，請參閱 傳輸中加密。

vpc 存取模式於 2027 年 5 月 6 日達到支援終止。 請遵循 遷移指南，將共用的存取控制模式更新為 security-group，以避免服務中斷和資料遺失。

跨區域裝載目標

當您以安全存取群組模式為區域共用建立掛載目標時，您可以在檔案共用的區域中附加具有特定保留 IP 的 VNI。 透過使用保留 IP 的掛載目標，您可以將區域 1 的檔案共用掛載到區域 2 的運算主機。 當伺服器和檔案共用位於不同的區域時，流量在區域之間穿過時會影響效能。

對於具有已廢棄 VPC-wide 存取模式的檔案共用，不支援跨區掛載。

跨區掛載不適用於區域檔案共用。 如需更多資訊，請參閱以下章節。

區域騎乘目標

為區域檔案共用建立掛載目標時，必須附加 VNI。 儘管每個 VNI 都與特定區域相關聯，但並不局限於該區域。 子網路和 VNI 在其雲端資源名稱 (CRN) 中包含區域位置代碼，但它們的設計目的是在區域內運作。 它們可以從區域內的任何可用性區域存取，即使擁有的區域暫時不可用。

儲存平台在多個區域中使用共用 IP 範圍，讓您的用戶端無論位於哪個區域，都能存取相同的邏輯儲存服務。 路由會動態地轉移到離您最近或表現最佳的區域共用實例。

用於管理各項檔案儲存相關活動的 IAM 角色

File Storage for VPC 需要 IAM 權限以進行基於角色的存取控制。 根據您被指派的角色，您可以建立和管理檔案共用、快照、加密，並檢視服務設定。

• 「金鑰管理員」角色可讓服務建立、更新、擷取及刪除資源金鑰，以管理對資源實例的存取權限。
• 「服務配置讀取者」角色授予對跨資源的服務配置及相關治理元資料的唯讀存取權限。
• 「共享經紀人」角色可建立及刪除真實共享與影子共享之間的綁定關係，藉此管理共享之間的關聯。
• 「共用遠端帳戶存取者」角色允許針對由其他帳戶擁有的共用資源，建立跨帳戶存取綁定。
• 「共用快照管理員」角色允許對共用快照進行完整管理（建立、讀取、列出、更新、刪除）

如需更多資訊，請參閱 《 File Storage for VPC 的 IAM 角色與動作 》。

如需相關資訊，請參閱指派存取權的最佳作法。 如需完整的 IAM 處理程序（包括邀請使用者加入您的帳戶，及指派 Cloud IAM 存取權），請參閱 IAM 入門指導教學。

IAM 服務對服務授權

您可以使用「Cloud Identity and Access Management」（IAM）來建立或移除授權，藉此允許某項服務存取另一項服務。 對於 File Storage for VPC，您需要建立服務對服務的授權，以設定客戶管理的加密、跨區域複製、跨帳戶存取和備份。 如需詳細資訊，請參閱 建立服務對服務授權。

環境定義型限制

您可以對所有檔案共用作業啟用環境定義型限制 (CBR)。 這些限制與基於身分的傳統 IAM 原則搭配使用，以提供額外的保護層。 與 IAM 原則不同，環境定義型限制不會指派存取權。 環境定義型限制會檢查存取要求是否來自您配置的容許環境定義，例如建立檔案共用。 如需相關資訊，請參閱 使用環境定義型限制來保護 Virtual Private Cloud(VPC)基礎架構服務。

靜態加密

依預設，檔案共用會使用 IBM管理的加密進行靜態加密。

您可以將自己的客戶根金鑰 (CRK) 帶至雲端以進行客戶管理的加密，也可以讓金鑰管理服務 (KMS) 為您產生金鑰。 當您 建立加密檔案共用 時，可以選取根金鑰。 如需相關資訊，請參閱 客戶管理的加密。

指定檔案共用的加密類型之後，您無法變更它。

已廢棄 Hyper Protect Crypto Services 已廢棄。 客戶可在 2027 年 3 月 20 日前使用現有的實體。 為了持續提供保護，請考慮將現有的加密金鑰遷移到專用 Key Protect 實例。 如需詳細資訊，請參閱 遷移指南。

傳輸中加密

您可以在授權的虛擬伺服器實例和儲存系統之間 建立加密的掛載連線。 對於基於 dp2 或 rfs 設定檔的檔案共用，使用虛擬網路介面建立的掛載目標可支援傳輸中加密。

如果您想要將檔案共用連接至在區域中不同 VPC 中執行的實例，則可以建立多個裝載目標。 您可以為每個 VPC 建立一個掛載目標。

若您選擇使用傳輸中加密（EIT），則需在效能與強化安全性之間取得平衡。 加密傳輸中的資料可能會對效能造成一些影響，因為在端點進行加密及解密資料所需的處理。 影響取決於工作量性質。 啟用 EIT 時，執行同步寫入或略過 VSI 快取的工作量 (例如資料庫) 可能會對效能產生重大影響。 要評估 EIT 對效能的影響，請分別在啟用與停用 EIT 的情況下，對您的工作負載進行效能測試。

即使沒有 EIT，資料也會透過安全的資料中心網路移動。 如需網路安全的相關資訊，請參閱 VPC 中的安全 及 使用環境定義型限制保護虛擬私有雲(VPC)基礎架構服務。

File Storage for VPC 僅當啟用傳輸中加密功能時，方被視為金融服務驗證服務。 有關更多信息，請參閱 什麼是金融服務驗證服務。

IBM Cloud® 為檔案共用提供下列傳輸加密類型。

• IPsec - 您可以使用網際網路安全通訊協定 (IPsec) 安全設定檔和實例身分證書，在運算主機和區域檔案共用之間建立加密的掛載連線。 如需詳細資訊，請參閱 傳輸中加密 - IPsec 加密。
• Stunnel —— 您可透過 stunnel，在客戶端虛擬伺服器執行個體與 NFS 伺服器之間建立 TLS 1.2 + 連線，藉此在運算主機與區域性檔案共享之間建立加密的掛載連線。 如需詳細資訊，請參閱 傳輸中加密 - TLS 加密。

有關已知與 IPsec 配置掛載相關的問題，請參閱 《維護期間 IPsec 配置區域檔案共用可能出現的掛載中斷》。

精細授權

您的檔案共用是以使用 安全群組的 存取控制模式建立的。 若要掛載此共用，您必須先建立具有 虛擬網路介面的 掛載目標。 當您使用此掛載目標掛載檔案共用時，所建立的檔案共用閘道會提供 1:1:1 的粒度授權。

與裝載目標相關聯的安全群組充當虛擬防火牆，可控制裝載目標與計算主機之間的資料流量。

您可以選取特定的安全群組，或使用 VPC 的預設安全群組。 透過修改 VPC 中安全群組的規則，您可以限制一個或多個特定虛擬伺服器執行個體或裸機伺服器對檔案共用資料夾的存取權限。

若要啟用虛擬伺服器實例與裝載目標之間的資料流量，您必須在安全群組中配置下列規則:

• 對於掛載目標：安全群組必須允許從要掛載檔案共用的所有伺服器 NFS 連接埠上 TCP 通訊協定的入站存取。
• 對於虛擬伺服器：安全群組必須允許對 NFS 連接埠上的掛載目標進行向外存取。

您可以透過容許安全群組成員之間的所有資料流量，以更動態的方式配置安全群組。 然後，將此安全群組連接至虛擬伺服器實例的網路介面及裝載目標的虛擬網路介面。 如需相關資訊，請參閱 容許安全群組成員之間的資料流量。

此外，建議允許 UDP 連接埠 500 和 4500。 UDP 連接埠 500 用於網際網路金鑰交換 (IKE) 以管理加密金鑰，而 UDP 連接埠 4500 用於 IPsec NAT-Traversal (NAT-T)。 VPC 的 VPN 閘道只接受 UDP IPsec ESP 封包的封裝 的 VPN 封包。 當您選擇使用 stunnel 加密傳輸中的資料時，請確定埠 20049 是允許的。

建立掛載目標時，您可以指定虛擬網路介面的子網路和保留 IP 位址。 您也可以讓服務為您在指定的子網路中挑選 IP 位址。 裝載目標必須具有 VPC 專用 IP 位址，且 IP 位址必須位於與共用相同的區域中。 稍後無法變更指派給裝載目標的 IP 位址。

當您使用虛擬網路介面來建立裝載目標時，會以下列其中一種方式來決定其 IP 位址:

• 依子網路-您指定子網路，並容許系統從該子網路內保留的 IP 位址中選擇 IP 位址。 會以選取的 IP 位址建立網路介面，然後將該網路介面連接至檔案共用裝載目標。

• 依子網路及 IP 位址-您在子網路中指定 IP 位址。 然後，會建立網路介面並將其連接至裝載目標。

附加掛載目標並掛載共用時，VNI 會執行安全群組原則檢查，以確保只有授權的虛擬伺服器實體才能與共用通訊。

補充 ID 和群組

當一個進程在 Unix 和 Linux 上執行時，作業系統會以使用者 ID (UID) 識別一個使用者，並以群組 ID (GID) 識別一個群組。 這些 ID 決定使用者或群組可以存取哪些系統資源。 例如，如果檔案儲存體使用者 ID 是 12345，且其群組 ID 是 6789，則主機節點及儲存器中的裝載必須具有這些相同的 ID。 儲存器的主要處理程序必須符合其中一個或兩個 ID，才能存取檔案共用。

使用 API 和 CLI，您可以設定這些屬性，以在建立檔案共用時控制對檔案共用的存取。 API 和 CLI 提供了 initial owner 屬性，您可以在其中設置 UID 和 GID 價值觀。 無論您裝載檔案共用的位置，裝載所在的根資料夾都會使用該 UID 或 GID 擁有者。 如需相關資訊，請參閱 建立檔案共用時新增補充 ID。

在帳戶與服務之間共用檔案共用資料

管理多個帳戶的客戶有時會發現其部分帳戶需要存取及使用相同的資料。 具有正確授權的管理者可以在帳戶之間共用 NFS 檔案系統，因此其應用程式所依賴的資料可在公司內的不同系統之間使用。 客戶也可以與 IBM watsonx 服務共享其 File Storage for VPC 共用。

跨帳戶 服務對服務授權 是用來建立共用擁有者與存取器帳戶之間的信任。 授權設定就位後，共用擁有者帳戶就可以看到可以掛載共用檔案共用的帳戶 ID。 存取者帳戶可以在其資源清單中看到共用的 NFS 共用，以及共用的擁有者資訊。 存取元帳戶無法編輯原始共用的內容。 他們也無法刪除原始共用，但可以將它們裝載在自己的 VPC 中。 存取者帳戶可以使用共用的所有資料，包括可能存在的快照。

如需詳細資訊，請參閱 從其他帳戶共用和掛載檔案共用。

活動追蹤事件

您可以使用IBM Cloud® Activity Tracker Event Routing配置如何路由審核事件。 稽核事件是資安運作的關鍵資料，也是符合合規要求的重要要素。 當您建立、修改或刪除檔案共用時，會觸發此類事件。 建立和使用檔案共用複製時，也會觸發活動追蹤事件。 有關更多信息，請參閱 活動追蹤事件IBM Cloud VPC。

檔案共用服務的記錄

在您提供 IBM Cloud Logs 以將日誌管理功能新增至 IBM Cloud® 架構後，您可以啟用平台日誌以檢視和分析 File Storage for VPC 服務的日誌。 有關更多信息，請參閱 VPC 日誌記錄。

使用者標籤

您可以在佈建新檔案共用或更新現有檔案共用時，建立新的使用者標籤或新增現有標籤。 您可以從使用者介面、CLI 或 API 建立、檢視及管理標籤，然後隨時移除。

使用者標籤透過「雲端資源名稱」（CRN）識別碼進行唯一識別。 當您建立使用者標籤時，您可以在計費帳戶內提供唯一名稱。 您可以用標籤或鍵值格式來定義使用者標籤。 在幕後，檔案服務會將標籤直接傳送及接收至 GhoST 服務。 GhoST 會儲存其索引鍵屬性及標籤陣列。 GhoST 也會儲存使用者資源資訊，因此您可以檢視、標記及搜尋您擁有的資源。

備份原則 也可以使用使用者標籤來自動建立共用的快照。

如需相關資訊，請參閱 將使用者標籤新增至檔案共用 及 使用標籤。

存取管理標籤

存取管理標籤可協助組織存取控制，方法是建立彈性資源分組，讓您的檔案儲存空間資源可以成長，而不需要更新 IAM 原則。

您可以建立存取管理標籤，然後將它們套用至新的或現有的檔案共用及抄本檔案共用。 使用 IAM 使用者介面或廣域搜尋及標記 API 來建立存取管理標籤。 然後，從 VPC 使用者介面或 API，將標籤新增至檔案共用。 新增標籤之後，您可以使用 IAM 原則來管理對它們的存取權。 如需相關資訊，請參閱 將存取管理標籤新增至檔案共用。