NFS 版本

File Storage for VPC 需要 NFS V v4.1 或更高版本。 当多个用户合作并在文件共享上运行一系列读和写操作时，将通过本机 NFS 协议的锁定机制来实现数据一致性。 NFS version 4.1 包含对咨询字节范围文件锁定的支持。 字节范围锁定用于将活动序列化为文件中的某个字节范围。 作为一种咨询锁定机制，它不阻止访问任何应用程序，但为应用程序提供了一种通过获取锁定和查询是否持有锁定进行合作通信的机制。 有关更多信息，请参阅 RFC8881。

安装目标访问方式

创建或更新安装目标时，可以指定希望在文件共享上访问安装目标的方式。 截至 2026 年 6 月 6 日，访问控制模式的唯一选项是安全组访问模式。 通过使用安全组，可以授权特定服务器实例或子网内的多个实例访问文件共享。 授权虚拟服务器实例与文件共享之间的通信也可以加密。 更多信息，请参阅“传输中加密”。

vpc 访问模式将于 2027 年 5 月 6 日结束支持。 请按照 迁移指南 将共享的访问控制模式更新为 security-group，以避免服务中断和数据丢失。

跨区域安装目标

为具有安全访问组模式的区域共享创建挂载目标时，可以在文件共享的区域中附加具有特定保留 IP 的 VNI。 通过使用带有保留 IP 的挂载目标，可以将 1 区的文件共享挂载到 2 区的计算主机上。 当服务器和文件共享位于不同区域时，由于流量在区域间传递，性能可能会受到影响。

已废弃 全 VPC 访问模式的文件共享不支持跨区挂载。

跨区挂载不适用于区域文件共享。 如需了解更多信息，请参阅下一节。

区域装载目标

为区域文件共享创建挂载目标时，必须附加 VNI。 虽然每个 VNI 都与特定区域相关联，但并不局限于该区域。 子网和 VNI 在其云资源名称 (CRN) 中包含区域位置代码，但它们的设计目的是在区域内运行。 即使拥有区域暂时不可用，也可以从区域内的任何可用区访问它们。

存储平台使用跨多个区域的共享 IP 范围，无论客户端位于哪个区域，都能访问相同的逻辑存储服务。 路由会动态转移到离您最近或性能最好的区域共享实例。

用于管理各种文件存储相关活动的 IAM 角色

File Storage for VPC 需要 IAM 权限以实现基于角色的访问控制。 根据您被分配的角色，您可以创建和管理文件共享、快照、加密，并查看服务配置。

• “密钥管理器”角色允许服务创建、更新、检索和删除资源密钥，以管理对资源实例的访问权限。
• “服务配置读取者”角色授予对跨资源的服务配置及相关治理元数据的只读访问权限。
• “共享经纪人”角色允许创建和删除真实共享与影子共享之间的绑定，从而管理共享关系。
• “共享远程账户访问者”角色允许为由其他账户拥有的共享资源创建跨账户访问绑定。
• “共享快照操作员”角色允许对共享快照进行全面管理（创建、读取、列出、更新、删除）

如需了解更多信息，请参阅 《 File Storage for VPC 的 IAM 角色和操作 》。

有关更多信息，请参阅分配访问权的最佳实践。 有关完整的 IAM 过程（包括邀请用户加入帐户和分配 Cloud IAM 访问权），请参阅 IAM 入门教程。

IAM 服务对服务授权

您可以使用 Cloud Identity and Access Management （IAM）来创建或删除授权，从而允许某项服务访问另一项服务。 对于 File Storage for VPC，您需要创建服务对服务授权，以配置客户管理加密、跨区域复制、跨账户访问和备份。 更多信息，请参阅 建立服务对服务授权。

基于上下文的限制

您可以对所有文件共享操作启用基于上下文的限制 (CBR)。 这些限制适用于基于身份的传统 IAM 策略，以提供额外的保护层。 与 IAM 策略不同，基于上下文的限制不会分配访问权。 基于上下文的限制检查访问请求是否来自您配置的允许上下文，例如创建文件共享。 有关更多信息，请参阅 使用基于上下文的限制保护虚拟私有云(VPC)基础架构服务。

静态加密

缺省情况下，使用 IBM管理的加密对文件共享进行静态加密。

您可以将自己的客户根密钥 (CRK) 引入云以进行客户管理的加密，也可以让密钥管理服务 (KMS) 为您生成密钥。 您可以在 创建加密文件共享 时选择根密钥。 有关更多信息，请参阅 客户管理的加密。

为文件共享指定加密类型后，无法对其进行更改。

已废弃的 Hyper Protect Crypto Services 已废弃。 客户可以在 2027 年 3 月 20 日之前使用现有实例。 为持续提供保护，请考虑将现有加密密钥迁移到专用 Key Protect 实例。 更多信息，请参阅 迁移指南。

传输中加密

您可以在授权虚拟服务器实例和存储系统之间 建立加密挂载连接。 对于基于 dp2 或 rfs 配置文件的文件共享，使用虚拟网络接口创建的挂载目标可支持传输中加密。

如果要将文件共享连接到区域中不同 VPC 中运行的实例，那么可以创建多个安装目标。 您可以为每个 VPC 创建一个挂载目标。

如果您选择使用传输中加密（EIT），则需要在性能与增强的安全性之间权衡您的需求。 由于需要对端点上的数据进行加密和解密，因此对传输中的数据进行加密可能会对性能产生一些影响。 影响取决于工作负载特征。 在启用 EIT 时，执行同步写入或绕过 VSI 高速缓存 (例如数据库) 的工作负载可能会对性能产生重大影响。 要确定 EIT 对性能的影响，请分别在启用和禁用 EIT 的情况下对您的工作负载进行基准测试。

即使没有 EIT，数据也会通过安全的数据中心网络进行传输。 有关网络安全性的更多信息，请参阅 VPC 中的安全性 和 使用基于上下文的限制保护虚拟私有云(VPC)基础架构服务。

File Storage for VPC 仅当启用传输中加密时，才被视为金融服务验证服务。 如需了解更多信息，请参阅 什么是金融服务验证服务。

IBM Cloud® 为文件共享提供以下传输加密类型。

• IPsec - 使用 Internet 安全协议 (IPsec) 安全配置文件和实例身份证书，可在计算主机和区域文件共享之间建立加密挂载连接。 更多信息，请参阅 传输中加密 - IPsec 加密。
• Stunnel——您可以通过使用 stunnel 在客户端虚拟服务器实例与 NFS 服务器之间建立 TLS 1.2 + 连接，从而在计算主机与区域文件共享之间建立加密挂载连接。 更多信息，请参阅 传输中加密 - TLS 加密。

有关已知与配置了 IPsec 的挂载相关的问题的信息，请参阅 《维护期间配置了 IPsec 的区域文件共享可能出现的挂载中断》。

精细授权

创建文件共享时的访问控制模式为使用 安全组。 要挂载此共享，必须先创建一个带有 虚拟网络接口 的挂载目标。 使用此挂载目标挂载文件共享时，创建的文件共享网关会提供 1:1:1 的细粒度授权。

与安装目标关联的安全组充当虚拟防火墙，用于控制安装目标与计算主机之间的流量。

您可以选择特定安全组或使用 VPC 的缺省安全组。 通过修改 VPC 中安全组的规则，您可以限制一个或多个特定虚拟服务器实例或裸机服务器对文件共享的访问权限。

要在虚拟服务器实例与安装目标之间启用流量，必须在安全组中配置以下规则:

• 对于挂载目标：安全组必须允许从要挂载文件共享的所有服务器 NFS 端口对 TCP 协议的入站访问。
• 对于虚拟服务器：安全组必须允许对 NFS 端口上的挂载目标进行出站访问。

您可以通过允许安全组成员之间的所有流量，以更动态的方式配置安全组。 然后，将此安全组连接到虚拟服务器实例的网络接口和安装目标的虚拟网络接口。 有关更多信息，请参阅 允许安全组成员之间的流量。

还建议允许 UDP 端口 500 和 4500。 UDP 500 端口用于管理加密密钥的互联网密钥交换（IKE），UDP 4500 端口用于 IPsec NAT-Traversal（NAT-T）。 VPC 的 VPN 网关只接受 UDP IPsec ESP 数据包的封装 的 VPN 数据包。 如果选择使用 stunnel 对传输中的数据进行加密，请确保允许使用 20049 端口。

创建挂载目标时，可以为虚拟网络接口指定子网和保留 IP 地址。 您还可以让服务在指定子网中为您选择一个 IP 地址。 安装目标必须具有 VPC 专用 IP 地址，并且该 IP 地址必须位于与共享位于同一专区中的子网中。 以后无法更改分配给安装目标的 IP 地址。

使用虚拟网络接口创建安装目标时，将通过以下任一方式确定其 IP 地址:

• 按子网-指定子网并允许系统从该子网中的保留 IP 地址选择 IP 地址。 使用所选 IP 地址创建网络接口，然后将该网络接口连接到文件共享安装目标。

• 按子网和 IP 地址-指定子网中的 IP 地址。 然后，将创建网络接口并将其连接到安装目标。

附加挂载目标并挂载共享后，VNI 会执行安全组策略检查，以确保只有授权的虚拟服务器实例才能与共享通信。

![文件共享挂载目标](images/vni-fs-arch.svg "带有挂载目标的文件共享连接到虚拟" caption-side="bottom"}的文件共享挂载目标"){: caption="

补充 ID 和组

当一个进程在 Unix 和 Linux 上运行时，操作系统会用用户 ID（UID）识别一个用户，用组 ID（GID）识别一个组。 这些标识确定用户或组可访问的系统资源。 例如，如果文件存储器用户标识为 12345，其组标识为 6789，那么主机节点和容器中的安装必须具有相同的标识。 容器的主进程必须与其中一个或两个标识匹配才能访问文件共享。

在创建文件共享时，可以使用 API 和 CLI 设置这些属性，以控制对文件共享的访问。 API 和 CLI 提供了 initial owner 属性，您可以在此设置 UID 和 GID 值。 无论您在何处安装文件共享，安装该文件共享的根文件夹都将使用该 UID 或 GID 所有者。 有关更多信息，请参阅 创建文件共享时添加补充标识。

在帐户和服务之间共享文件共享数据

管理多个帐户的客户有时会发现他们的一些帐户需要访问和使用相同的数据。 具有正确权限的管理员可以跨帐户共享 NFS 文件系统，因此其应用程序所依赖的数据在公司内的不同系统中可用。 客户还可以与 IBM watsonx 服务共享其 File Storage for VPC 共享。

跨帐户 服务到服务授权 用于在共享所有者和存取器帐户之间建立信任。 授权设置到位后，共享所有者账户就可以看到可以挂载共享文件共享的账户 ID。 访问者账户可以在其资源列表中看到共享的 NFS 共享以及共享所有者信息。 存取器帐户无法编辑源共享的属性。 他们也无法删除源共享，但可以将其安装在自己的 VPC 中。 访问者账户可以使用共享的所有数据，包括可能存在的快照。

有关更多信息，请参阅 从另一个帐户共享和加载文件共享。

活动跟踪事件

您可以使用 IBM Cloud® Activity Tracker Event Routing 配置如何路由审计事件。 审计事件是安全运营的关键数据，也是满足合规要求的关键要素。 创建、修改或删除文件共享时会触发此类事件。 建立和使用文件共享复制时，也会触发活动跟踪事件。 有关详细信息，请参阅 IBM Cloud VPC。

文件共享服务的日志记录

在配置 IBM Cloud Logs 以在 IBM Cloud® 架构中添加日志管理功能后，您就可以启用平台日志来查看和分析 File Storage for VPC 服务的日志。 有关详细信息，请参阅 VPC 的日志。

用户标记

您可以在供应新的文件共享或更新现有文件共享时创建新的用户标记或添加现有标记。 您可以从 UI，CLI 或 API 创建，查看和管理标记，然后随时将其除去。

用户标签通过云资源名称（CRN）标识符进行唯一标识。 创建用户标记时，将在计费帐户中提供唯一名称。 您可以使用标签或键值格式定义用户标记。 在后台，文件服务直接向 GhoST 服务发送和接收标记。 GhoST 存储其键属性和标记数组。 GhoST 还存储用户资源信息，因此您可以查看，标记和搜索您拥有的资源。

备份策略 也可以使用用户标签来自动创建共享的快照。

有关更多信息，请参阅 将用户标记添加到文件共享 和 使用标记。

访问权管理标记

访问管理标记通过创建灵活的资源分组来帮助组织访问控制，使文件存储资源无需更新 IAM 策略即可增长。

您可以创建访问管理标记，然后将其应用于新的或现有的文件共享和副本文件共享。 使用 IAM UI 或全局搜索和标记 API 来创建访问权管理标记。 然后，从 VPC UI 或 API 将标记添加到文件共享。 添加标记后，您可以使用 IAM 策略来管理对这些标记的访问权。 有关更多信息，请参阅 将访问管理标记添加到文件共享。