Acerca de File Storage for VPC

IBM Cloud® File Storage for VPC Ofrece almacenamiento de archivos basado en « NFS » con disponibilidad zonal y regional, cifrado, replicación entre regiones y uso compartido entre varias VPC para cargas de trabajo de « IBM Cloud VPC ».

IBM Cloud® File Storage for VPC ofrece servicios de almacenamiento de archivos basados en el Sistema de Archivos de Red ( NFS ) dentro de la infraestructura de la VPC. Un archivo compartido es un tipo de almacenamiento de archivos que se hace accesible a través de la red para permitir que varios clientes accedan simultáneamente a las mismas carpetas y archivos.

La creación de archivos compartidos con disponibilidad regional requiere un acceso especial. Si está interesado en una vista previa de la nueva oferta, póngase en contacto con el representante de su equipo de cuentas o con el Director de Éxito del Cliente que le hayan asignado.

Perfiles de almacenamiento de archivos

Los perfiles de recursos compartidos definen las características de capacidad, rendimiento y disponibilidad de datos de los recursos compartidos de archivos. Puede elegir la mejor opción para sus necesidades específicas, tanto si la acción está pensada para uso general como para cargas de trabajo de alto rendimiento.

Cuando crea una compartición de archivos en la zona de disponibilidad, utiliza el perfil dp2 para especificar el IOPS total para la compartición de archivos en función del tamaño de la compartición.

Los perfiles de recursos compartidos de archivos (de uso general, 5-iops, 10-iops o personalizados) que se utilizaron en la versión beta de los recursos compartidos de archivos zonales tienen previsto alcanzar el Fin de soporte el 06 de mayo de 2027. Si tiene recursos compartidos de archivos basados en estos perfiles de recursos compartidos, cámbielos al perfil dp2 para evitar la pérdida de datos y la interrupción del servicio.

Los clientes con acceso especial para previsualizar la nueva oferta de recursos compartidos de archivos regionales pueden utilizar el perfil rfs para crear recursos compartidos de archivos con disponibilidad regional y valores de ancho de banda ajustables.

Los perfiles de primera y segunda generación de la familia de perfiles de rendimiento definidos no son intercambiables. No se puede cambiar el perfil de compartición de archivos después de crear la compartición de archivos. No se puede convertir un recurso compartido zonal en un recurso compartido regional, ni un recurso compartido regional en un recurso compartido zonal.

Todos los perfiles están respaldados por unidades de estado sólido (SSD). Para obtener más información, consulte Perfiles deFile Storage for VPC.

Visión general de los archivos compartidos por zonas

Puede crear archivos compartidos con el perfil dp2 a nivel zonal, por ejemplo en us-south-1. Las comparticiones de archivos se identifican por nombre y se asocian a un grupo de recursos en la cuenta de cliente de IBM Cloud.

Se crea un recurso compartido de archivos en una zona. Puedes controlar cómo se accede al archivo compartido especificando el modo de acceso del grupo de seguridad. A continuación, se crea un punto final de red, lo que se conoce como destino de montaje para el recurso compartido en la VPC.

Puede configurar la replicación entre el recurso compartido de archivos de origen y un recurso compartido de archivos de réplica en zonas diferentes. De este modo, si se produjera una interrupción en el sitio primario, puede conmutar por error al recurso compartido de archivos de réplica y continuar con las operaciones.

Los datos de un archivo compartido zonal se cifran en reposo con el cifrado gestionado IBM por defecto. Para mayor seguridad, puede utilizar sus propias claves raíz para proteger sus recursos compartidos de archivos con claves gestionadas por el cliente. Cuando especifica la modalidad de acceso de grupo de seguridad y conecta una interfaz de red virtual al destino de montaje de compartición de archivos, puede habilitar el cifrado de datos en tránsito. Para obtener más información, consulta Cifrado de recursos compartidos.

Puedes ver y gestionar tus archivos compartidos zonales en la consola, desde la CLI, con la API y Terraform. Puedes aumentar el tamaño del archivo compartido desde su capacidad original en incrementos de GB hasta 32.000 GB de capacidad. También puede aumentar o disminuir el valor de IOPS de la compartición de archivos según sus necesidades de rendimiento. Las operaciones para aumentar la capacidad o ajustar el IOPS no provocan ninguna interrupción o falta de acceso al almacenamiento. La facturación se ajusta automáticamente. Solo paga por la capacidad y el rendimiento que necesita.

Archivos compartidos regionales

Como cliente con acceso especial para previsualizar el perfil regional de recursos compartidos de archivos, puede crear recursos compartidos de archivos con el perfil « rfs » con disponibilidad regional en Dallas, Chennai (Airtel), Fráncfort, Londres, Madrid, Mumbai - Airtel, Osaka, São Paulo, Sídney, Toronto, Tokio y Washington, D. C.

Se crea un archivo compartido dentro de una región. Las comparticiones de archivos se identifican por nombre y se asocian a un grupo de recursos en la cuenta de cliente de IBM Cloud. Puedes controlar cómo se accede a los archivos compartidos utilizando grupos de seguridad. Se puede acceder al archivo regional desde las tres zonas de la región cuando los clientes de computación están en el grupo de seguridad correcto. Puedes montar el recurso compartido de archivos en tu host de cálculo utilizando un punto de conexión de red regional, lo que se conoce como «destino de montaje» para el recurso compartido. Para más información, consulte los objetivos de montaje regionales.

Los datos están disponibles a nivel regional, por lo que no es necesario configurar la replicación entre distintas zonas.

Los datos de un archivo compartido regional se cifran en reposo con el cifrado gestionado IBM por defecto. Para mayor seguridad, puede utilizar sus propias claves raíz para proteger sus recursos compartidos de archivos con claves gestionadas por el cliente. Cuando especifica la modalidad de acceso de grupo de seguridad y conecta una interfaz de red virtual al destino de montaje de compartición de archivos, puede habilitar el cifrado de datos en tránsito. Para obtener más información, consulta Cifrado de recursos compartidos.

Puede ver y gestionar sus archivos compartidos regionales en la consola, desde la CLI y con la API. Puedes aumentar el tamaño del archivo compartido desde su capacidad original en incrementos de GB hasta 32.000 GB de capacidad. También puedes ajustar el ancho de banda de los archivos compartidos a tus necesidades de rendimiento. Las operaciones para aumentar la capacidad o ajustar el ancho de banda no provocan interrupciones ni falta de acceso al almacenamiento. La facturación se ajusta automáticamente. Solo paga por la capacidad y el rendimiento que necesita.

Protocolos de acceso

Los protocolos de acceso a archivos proporcionan una forma estandarizada para que los clientes (instancias de servidores virtuales o aplicaciones) interactúen con el servidor de archivos, lo que permite compartir archivos y colaborar a través de la red.

Versión de NFS

File Storage for VPC requiere NFS versiones v4.1 o superior. Cuando varios usuarios cooperan y ejecutan una serie de operaciones de lectura y escritura en la compartición de archivos, la coherencia de datos se consigue bloqueando mecanismos que son nativos del protocolo NFS. NFS versión 4.1 incluye soporte para el bloqueo de archivos de rango de bytes de advertencia. El bloqueo de rango de bytes se utiliza para serializar la actividad en un rango de bytes dentro de un archivo. Como mecanismo de bloqueo de advertencia, no impide el acceso a ninguna aplicación, pero proporciona un mecanismo para que las aplicaciones se comuniquen de forma cooperativa a través de la obtención de bloqueos y la consulta de si se mantiene un bloqueo. Para obtener más información, consulte RFC8881.

Objetivos de montaje para comparticiones de archivos

El montaje es la forma en que el sistema operativo de un servidor hace que los archivos y directorios de un dispositivo de almacenamiento estén disponibles para que los usuarios accedan a ellos a través del sistema de archivos del servidor. Para montar un archivo compartido en una instancia de servidor virtual, una instancia de servidor de metal desnudo, o para utilizarlo en un clúster Kubernetes, necesita la ruta de montaje NFS. Para crear una ruta de montaje de NFS, es necesario crear un destino de montaje.

Un destino de montaje para un recurso compartido de archivos es un punto final de red. Cuando se crea un destino de montaje, se crea una vía de acceso de montaje NFS para la compartición de archivos. La ruta de montaje se utiliza para vincular el recurso compartido de archivos a instancias de servidor o clústeres de Kubernetes en la misma región. En función del grupo de seguridad que elijas, puedes restringir el acceso a un recurso compartido a una instancia concreta o permitir que varias instancias de servidores virtuales o servidores físicos monten dicho recurso compartido.

Si desea conectar una compartición de archivos a instancias que se ejecutan en distintas VPC en una zona, puede crear varios destinos de montaje, un destino de montaje para cada VPC.

Una vez creado el destino de montaje, puede acceder remotamente a su servidor virtual o instancia de servidor bare metal y adjuntar el archivo compartido.

Modalidad de acceso a destino de montaje

Al crear o actualizar un destino de montaje, puede especificar la forma en la que desea que se acceda al destino de montaje en la compartición de archivos. A partir del 06 de junio de 2026, la única opción para el modo de control de acceso es el modo de acceso de grupos de seguridad. Utilizando el grupo de seguridad, puede autorizar el acceso al recurso compartido de archivos para una instancia de servidor específica o para un número de instancias dentro de una subred. La comunicación entre una instancia de servidor virtual autorizada y el archivo compartido también puede cifrarse. Para más información, consulte Cifrado en tránsito.

El modo de acceso vpc alcanza el Fin de Soporte el 06 de mayo de 2027. Siga la guía de migración para actualizar el modo de control de acceso de su recurso compartido a security-group para evitar la interrupción del servicio y la pérdida de datos.

Destinos de montaje entre zonas

Al crear un destino de montaje para un recurso compartido zonal con el modo de grupo de acceso de seguridad, puede adjuntar una VNI con una IP reservada específica en la zona de su recurso compartido de archivos. Mediante el uso de un destino de montaje con una IP reservada, puede montar un recurso compartido de archivos de la zona 1 en un host de computación de la zona 2. Cuando el servidor y el archivo compartido se encuentran en zonas diferentes, el rendimiento puede verse afectado al pasar el tráfico de una zona a otra.

Varios hosts de cálculo de la región pueden acceder a los recursos compartidos de archivos zonales.
Recursos compartidos de archivos zonales

El montaje entre zonas no es compatible con los recursos compartidos de archivos con el modo de acceso Deprecated VPC-wide.

El montaje entre zonas no es aplicable a los archivos compartidos regionales. Para obtener más información, consulta la siguiente sección.

Objetivos regionales de montaje

Al crear un destino de montaje para un recurso compartido de archivos regional, debe adjuntar una VNI. Aunque cada VNI está asociada a una zona específica, no está restringida a esa zona. Las subredes y las VNI incluyen códigos de ubicación zonal en sus Nombres de Recursos en la Nube (CRN), pero están diseñadas para operar a nivel regional. Son accesibles desde cualquier zona de disponibilidad dentro de la región, incluso si la región propietaria no está disponible temporalmente.

La plataforma de almacenamiento utiliza un rango IP compartido entre varias zonas que permite a su cliente acceder al mismo servicio de almacenamiento lógico independientemente de la zona en la que se encuentre. El enrutamiento se desplaza dinámicamente a la instancia más cercana o de mejor rendimiento de su cuota regional.

Varios hosts de cálculo de la misma región pueden acceder a los recursos compartidos de archivos regionales.
Recursos compartidos de archivos regionales

Protección de los datos

Hay disponibles herramientas y funciones específicas de seguridad que le ayudarán a gestionar sus datos de forma segura cuando utilice IBM Cloud® Virtual Private Cloud. Los siguientes temas tratan sobre el control de acceso, el cifrado de datos, la gestión de la configuración y las opciones de auditoría y registro disponibles para sus recursos compartidos de archivos.

Roles de IAM para gestionar diversas actividades relacionadas con el almacenamiento de archivos

File Storage for VPC Requiere permisos de IAM para el control de acceso basado en roles. En función del rol que se te haya asignado, podrás crear y gestionar recursos compartidos de archivos, instantáneas y cifrado, así como consultar la configuración del servicio.

  • La función de gestor de claves permite a un servicio crear, actualizar, recuperar y eliminar claves de recursos para gestionar el acceso a las instancias de recursos.
  • El rol «Lector de configuración de servicios» concede acceso de solo lectura a la configuración de los servicios y a los metadatos de gobernanza relacionados en todos los recursos.
  • La función « Share Broker » permite crear y eliminar vínculos entre recursos compartidos reales y ficticios para gestionar las relaciones entre recursos compartidos.
  • El rol « Share Remote Account Accessor » permite crear enlaces de acceso entre cuentas para recursos compartidos que pertenecen a otra cuenta.
  • El rol de operador de instantáneas compartidas permite la gestión completa (crear, leer, listar, actualizar, eliminar) de las instantáneas compartidas

Para obtener más información, consulta los roles y acciones de IAM para File Storage for VPC.

Para obtener más información, consulte las prácticas recomendadas para asignar acceso. Para ver el proceso completo de IAM, que incluye la invitación de usuarios a su cuenta y la asignación de acceso de IAM de Cloud, consulte la guía de aprendizaje de iniciación de IAM.

Autorizaciones IAM de servicio a servicio

Puede utilizar el servicio Cloud Identity and Access Management (IAM) para crear o eliminar una autorización que permita a un servicio acceder a otro. Para File Storage for VPC, es necesario crear una autorización de servicio a servicio para configurar el cifrado gestionado por el cliente, la replicación entre regiones, el acceso entre cuentas y las copias de seguridad. Para obtener más información, consulte Establecimiento de autorizaciones de servicio a servicio.

Restricciones basadas en contexto

Puede habilitar las restricciones basadas en contexto (CBR) para todas las operaciones de compartición de archivos. Estas restricciones trabajan con políticas de IAM tradicionales, que se basan en la identidad, para proporcionar una capa de protección adicional. A diferencia de las políticas de IAM, las restricciones basadas en contexto no asignan el acceso. Las restricciones basadas en contexto comprueban que una solicitud de acceso provenga de un contexto permitido que configure, como la creación de una compartición de archivos. Para obtener más información, consulte Protección de Virtual Private Cloud(VPC)Infrastructure Services con restricciones basadas en contexto.

Cifrado en reposo

De forma predeterminada, los recursos compartidos de archivos se cifran en reposo mediante el cifrado gestionado por IBM.

Puede aportar su propia clave de raíz de cliente (CRK) a la nube para el cifrado gestionado por el cliente o puede tener un servicio de gestión de claves (KMS) que le genere una clave. Puede seleccionar la clave raíz cuando cree una compartición de archivos cifrada. Para obtener más información, consulte Cifrado gestionado por el cliente.

Una vez especificado el tipo de cifrado de una compartición de archivos, no se podrá cambiar.

Deprecated Los Hyper Protect Crypto Services son deprecated. Los clientes pueden utilizar las instancias existentes hasta el 20 de marzo de 2027. Para una protección continua, considere la posibilidad de migrar sus claves de cifrado existentes a una instancia dedicada de Key Protect. Para más información, consulte la Guía de migración.

Cifrado en tránsito

Puede establecer una conexión de montaje cifrada entre la instancia de servidor virtual autorizada y el sistema de almacenamiento. Para los recursos compartidos de archivos basados en el perfil dp2 o rfs, los destinos de montaje que se crean con una interfaz de red virtual pueden admitir el cifrado en tránsito.

Si desea conectar un recurso compartido de archivos a instancias que se ejecutan en diferentes VPC de una zona, puede crear varios destinos de montaje. Se puede crear un destino de montaje por cada VPC.

Si decides utilizar el cifrado en tránsito (EIT), deberás encontrar un equilibrio entre tus necesidades de rendimiento y una mayor seguridad. El cifrado de datos en tránsito puede tener cierto impacto en el rendimiento debido al proceso necesario para cifrar y descifrar los datos en los puntos finales. El impacto depende de las características de la carga de trabajo. Las cargas de trabajo que realizan grabaciones síncronas o que omiten el almacenamiento en memoria caché de VSI, como las bases de datos, pueden tener un impacto sustancial en el rendimiento cuando el EIT está habilitado. Para determinar el impacto de EIT en el rendimiento, compara el rendimiento de tu carga de trabajo con y sin EIT.

Incluso sin IET, los datos se mueven a través de una red segura de centros de datos. Para obtener más información sobre la seguridad de red, consulte Seguridad en la VPC y Protección de los servicios de infraestructura de Virtual Private Cloud(VPC)con restricciones basadas en contexto.

File Storage for VPC Se considera un servicio validado para servicios financieros solo cuando está habilitado el cifrado en tránsito. Para más información, consulte qué es un servicio validado por Servicios Financieros.

IBM Cloud® proporciona los siguientes tipos de cifrado de tránsito para archivos compartidos.

  • IPsec - Puede establecer una conexión de montaje encriptada entre el host de computación y un archivo compartido zonal utilizando el perfil de seguridad del Protocolo de Seguridad de Internet (IPsec), y un certificado de identidad de instancia. Para más información, consulte Cifrado en tránsito - Cifrado IPsec.
  • Stunnel - Puede establecer una conexión de montaje cifrado entre el host de computación y un recurso compartido de archivos regional mediante la creación de una TLS 1.2 + conexión entre el cliente VSI y NFS servidor con stunnel. Para más información, consulte Cifrado en tránsito - TLS encryption.

Para obtener información sobre un problema conocido relacionado con los montajes configurados con IPsec, consulta « Posible interrupción del montaje de recursos compartidos de archivos zonales configurados con IPsec durante el mantenimiento ».

Autorización granular

Su recurso compartido de archivos se crea con el modo de control de acceso para utilizar grupos de seguridad. Para montar este recurso compartido, primero debe crear un destino de montaje con una interfaz de red virtual. Al montar el recurso compartido de archivos con este destino de montaje, la puerta de enlace del recurso compartido de archivos creada proporciona una autorización granular 1:1:1.

Los grupos de seguridad que están asociados con el destino de montaje actúan como un cortafuegos virtual que controla el tráfico entre el destino de montaje y el host de cálculo.

Puede seleccionar un grupo de seguridad específico o utilizar el grupo de seguridad predeterminado de la VPC. Al modificar las reglas de los grupos de seguridad de su VPC, puede restringir el acceso al recurso compartido de archivos desde una o varias instancias de servidor virtual específicas o desde un servidor físico.

Para habilitar el tráfico entre una instancia de servidor virtual y un destino de montaje, debe configurar las reglas siguientes en los grupos de seguridad:

  • Para el destino de montaje: el grupo de seguridad debe permitir el acceso entrante para el protocolo TCP en el puerto NFS desde todos los servidores en los que desee montar el archivo compartido.
  • Para los servidores virtuales: el grupo de seguridad debe permitir el acceso saliente al objetivo de montaje en el puerto NFS.

Puede configurar el grupo de seguridad de una forma más dinámica permitiendo todo el tráfico entre los miembros del grupo de seguridad. A continuación, conecte este grupo de seguridad a la interfaz de red de la instancia de servidor virtual y a la interfaz de red virtual del destino de montaje. Para obtener más información, consulte Permitir tráfico entre miembros de un grupo de seguridad.

También se recomienda permitir los puertos 500 y 4500 de UDP. UDP el puerto 500 está destinado a Internet Key Exchange (IKE) para gestionar claves de cifrado, y UDP el puerto 4500 es para IPsec NAT-Traversal (NAT-T). Una pasarela VPN para VPC sólo acepta paquetes VPN con UDP Encapsulación de paquetes IPsec ESP. Cuando opte por utilizar stunnel para cifrar los datos en tránsito, asegúrese de que el puerto 20049 está permitido.

Al crear el destino de montaje, puede especificar una subred y una dirección IP reservada para la interfaz de red virtual. También puede hacer que el servicio elija por usted una dirección IP en la subred especificada. El destino de montaje debe tener una dirección IP privada de VPC y la dirección IP debe estar en una subred que esté en la misma zona que la compartición. La dirección IP asignada al destino de montaje no se puede cambiar más adelante.

Cuando crea el destino de montaje con una interfaz de red virtual, su dirección IP se determina de una de las formas siguientes:

  • Por subred-Especifique la subred y permita que el sistema elija una dirección IP de las direcciones IP reservadas dentro de esa subred. Se crea una interfaz de red con la dirección IP seleccionada y, a continuación, dicha interfaz de red se conecta al destino de montaje de compartición de archivos.

  • Por subred y dirección IP-Especifique la dirección IP en la subred. A continuación, se crea la interfaz de red y se conecta al destino de montaje.

Cuando se adjunta el destino de montaje y se monta el recurso compartido, la VNI realiza una comprobación de la política de grupo de seguridad para asegurarse de que sólo las instancias de servidor virtual autorizadas pueden comunicarse con el recurso compartido.

Objetivo de montaje de recurso compartido de
de un objetivo de montaje de recurso compartido de archivos conectado a una
de red virtual*

Identificaciones suplementarias y grupos

Cuando un proceso se ejecuta en Unix y Linux, el sistema operativo identifica a un usuario mediante un identificador de usuario (UID) y a un grupo mediante un identificador de grupo (GID). Estos ID determinan a qué recursos del sistema puede acceder un usuario o grupo. Por ejemplo, si el ID de usuario del almacenamiento de archivos es 12345 y su ID de grupo es 6789, entonces el montaje en el nodo anfitrión y en el contenedor debe tener esos mismos ID. El proceso principal del contenedor tendrá que coincidir con uno o ambos ID para poder acceder a la compartición de archivos.

Con la API y la CLI, puede configurar estos atributos para controlar el acceso a sus recursos compartidos de archivos al crearlos. La API y la CLI proporcionan una propiedad initial owner en la que puede establecer los valores UID y GID. Dondequiera que monte la compartición compartida, la carpeta raíz donde se monte usará el propietario del GID o UID. Puede obtener información adicional consultando Añadir ID suplementarios al crear una compartición de archivos.

Compartición de datos de compartición de archivos entre cuentas y servicios

Los clientes que gestionan varias cuentas a veces encuentran que algunas de sus cuentas necesitan acceder y trabajar con los mismos datos. Los administradores con las autorizaciones correctas pueden compartir un sistema de archivos NFS entre cuentas, por lo que los datos de los que dependen sus aplicaciones están disponibles en los distintos sistemas de la empresa. El cliente también puede compartir sus recursos compartidos File Storage for VPC con el servicio IBM watsonx.

La autorización de servicio a servicio entre cuentas se utiliza para establecer la confianza entre el propietario de la compartición y las cuentas del descriptor de acceso. Una vez establecida la autorización, la cuenta propietaria del recurso compartido puede ver los ID de las cuentas que pueden montar el recurso compartido. La cuenta de acceso puede ver los recursos compartidos de NFS en su lista de recursos junto con la información del propietario del recurso. La cuenta de descriptor de acceso no puede editar las propiedades de la compartición de origen. Tampoco pueden suprimir la compartición de origen, pero pueden montarlos en sus propias VPC. Las cuentas accesorias pueden utilizar todos los datos del recurso compartido, lo que incluye las instantáneas que puedan estar presentes.

Para obtener más información, consulte Compartir y montar un recurso compartido de archivos desde otra cuenta.

Modalidades de cifrado de tránsito permitidas

El propietario del recurso compartido puede imponer la configuración de cifrado de tránsito para los datos de un recurso compartido. Pueden optar por permitir el cifrado, no permitirlo o dejar que sea la cuenta de acceso la que elija el modo de cifrado en tránsito. Todos los destinos de montaje creados para un único recurso compartido de archivos deben utilizar el mismo modo de cifrado de tránsito para mantener la coherencia.

Para los archivos compartidos zonales, el propietario del recurso compartido puede elegir entre los siguientes modos de cifrado de tránsito: ipsec none o ambos.

  • Si se impone ipsec, todos los objetivos de montaje accessor deben utilizar IPsec.
  • Si se aplica none, no se permite el cifrado en tránsito.
  • Si se permiten ambas, las cuentas accesorias pueden elegir cuál utilizar.

Seleccione la disponibilidad Para los recursos compartidos de archivos regionales, el propietario del recurso compartido puede elegir entre los siguientes modos de cifrado de tránsito: stunnel, none, o ambos.

  • Si se impone stunnel, todos los objetivos de montaje accessor deben utilizar stunnel.
  • Si se aplica none, no se permite el cifrado en tránsito.
  • Si se permiten ambas, las cuentas accesorias pueden elegir cuál utilizar.

Todos los destinos de montaje creados para un único recurso compartido de archivos deben utilizar el mismo modo de cifrado de tránsito para mantener la coherencia.

Para obtener más información sobre cómo compartir y montar una compartición de archivos desde otra cuenta de IBM Cloud® o VPC, consulte Compartir y montar una compartición de archivos desde otra cuenta.

Compartir un recurso compartido de archivos con otras cuentas o servicios no es compatible con los recursos compartidos de archivos zonales con el modo de acceso Deprecated VPC-wide.

sucesos de seguimiento de actividad

Puedes usarIBM Cloud® Activity Tracker Event Routing para configurar cómo enrutar eventos de auditoría. Los eventos de auditoría son datos fundamentales para las operaciones de seguridad y un elemento clave para cumplir los requisitos de cumplimiento normativo. Estos eventos se activan cuando crea, modifica o elimina un recurso compartido de archivos. Los eventos de seguimiento de actividades también se activan al configurar y utilizar la replicación de recursos compartidos de archivos. Para obtener más información, consulte Eventos de seguimiento de actividad para IBM Cloud VPC.

Registro del servicio de compartición de archivos

Después de aprovisionar IBM Cloud Logs para añadir capacidades de gestión de registros a su arquitectura IBM Cloud®, puede activar los registros de la plataforma para ver y analizar los registros del servicio File Storage for VPC. Para más información, ver Registro para VPC.

Etiquetas para comparticiones de archivos

File Storage for VPC está habilitado para la búsqueda y el etiquetado globales (GhoST). Puede crear y aplicar etiquetas de usuario y etiquetas de gestión de acceso a las comparticiones de archivos para controlar y organizar mejor los recursos de almacenamiento de archivos en la VPC. Las etiquetas de usuario pueden añadirse en la consola, desde la CLI o con la API. Para aplicar etiquetas de gestión de acceso a comparticiones de archivos, debe utilizar la API GhoST.

Etiquetas de usuario

Puede crear nuevas etiquetas de usuario o añadir etiquetas existentes al aprovisionar un nuevo recurso compartido de archivos o al actualizar uno ya existente. Puedes crear, ver y gestionar etiquetas desde la interfaz de usuario, la CLI o la API, y eliminarlas en cualquier momento.

Las etiquetas de usuario se identifican de forma única mediante un identificador de nombre de recurso en la nube (CRN). Al crear una etiqueta de usuario, se le asigna un nombre único dentro de su cuenta de facturación. Puedes definir etiquetas de usuario en formato de etiqueta o de clave-valor. De manera subyacente, el servicio de archivos envía y recibe etiquetas directamente en el servicio GhoST. GhostT almacena sus atributos clave y la matriz de etiquetas. GhoST También almacena información sobre los recursos de los usuarios, por lo que puedes ver, etiquetar y buscar los recursos de los que eres propietario.

Las etiquetas de usuario también pueden ser utilizadas por las políticas de copia de seguridad para crear instantáneas del recurso compartido automáticamente.

Para obtener más información, consulte Añadir etiquetas de usuario a comparticiones de archivos y Trabajar con etiquetas.

Etiquetas de gestión de acceso

Las etiquetas de gestión de accesos ayudan a organizar el control de accesos creando agrupaciones de recursos flexibles, permitiendo que los recursos de almacenamiento de archivos crezcan sin necesidad de actualizaciones en las políticas de IAM.

Puede crear etiquetas de gestión de acceso y, a continuación, aplicarlas a comparticiones de archivos nuevas o existentes y comparticiones de archivos de réplica. Utilice la interfaz de usuario de IAM o la API de búsqueda y etiquetado global para crear la etiqueta de gestión de acceso. A continuación, desde la interfaz de usuario o la API de VPC, añada las etiquetas a una compartición de archivos. Una vez añadidas las etiquetas, puede gestionar el acceso a ellas utilizando las políticas de IAM. Para obtener más información, consulte Añadir etiquetas de gestión de acceso a una compartición de archivos.

Replicación y conmutación por error

En el caso de tus recursos compartidos de archivos por zona, puedes crear réplicas de solo lectura en otra zona dentro de tu VPC, o en una región diferente si tu cuenta cuenta con varias VPC en la misma zona geográfica. La réplica se actualiza regularmente en función de la planificación de réplica que especifique. Puede programar la replicación de sus datos con una frecuencia de hasta 15 minutos.

En esta versión, la replicación entre regiones aún no es compatible con los recursos compartidos de archivos regionales con el perfil rfs.

Para la replicación entre regiones, es necesario configurar las autorizaciones de servicio a servicio antes de poder crear el recurso compartido de archivos de réplica.

El uso de la réplica es una buena manera de recuperarse de incidentes en el sitio primario, cuando los datos dejan de estar accesibles o las aplicaciones fallan. La conmutación por error al recurso compartido de réplica lo convierte en el nuevo recurso compartido primario con capacidad de escritura. Para obtener más información, consulte Acerca de la réplica de comparticiones de archivos.

La replicación de archivos compartidos puede ofrecer importantes ventajas operativas y de rendimiento, más allá de la recuperación ante desastres. Un caso de uso importante es el acceso de baja latencia para equipos y aplicaciones distribuidos. Al colocar réplicas de solo lectura más cerca de los usuarios en una región diferente, puede reducir los tiempos de acceso a los archivos y mejorar la productividad para cargas de trabajo como archivos de diseño, activos multimedia o repositorios de código. Del mismo modo, la distribución de contenido se vuelve más fácil cuando se crean réplicas en centros regionales, ya que esto garantiza descargas más rápidas para instaladores, documentación o materiales de formación sin sobrecargar una única fuente.

Las réplicas permiten el cumplimiento normativo y los flujos de trabajo legales, las migraciones por etapas y el aislamiento operativo para el mantenimiento, de modo que se puedan probar los cambios o realizar auditorías sin afectar a la producción. Las réplicas pueden ayudar a aumentar la capacidad durante los picos de actividad, optimizar la experiencia de los desarrolladores e incluso enrutar la residencia de datos para cumplir con los requisitos normativos.

Instantáneas de compartición de archivos

Las instantáneas son copias puntuales de tus archivos compartidos. Las instantáneas pueden utilizarse para restaurar archivos individuales o crear otros archivos compartidos en la misma zona con los datos capturados en la instantánea. Puede crear instantáneas manualmente en la consola o desde la CLI, y programáticamente con la API. También puedes programar las instantáneas para que se creen automáticamente a intervalos regulares utilizando el servicio Backup for VPC. Para obtener más información, consulte Acerca de las instantáneas File Storage for VPC y Planificación de instantáneas.

Las instantáneas sólo son compatibles con los recursos compartidos que tienen "grupo de seguridad" como modo de control de acceso.

No se pueden crear instantáneas de recursos compartidos de réplica o de acceso. No obstante, las instantáneas de la cuenta de origen también están disponibles para las cuentas de acceso. Las instantáneas de un recurso compartido de origen zonal se replican en el recurso compartido de réplica de solo lectura en la siguiente sincronización programada.

Erradicación de datos de archivos compartidos

Cuando se suprime una compartición de archivo, los datos pasan a estar inaccesibles inmediatamente. Se eliminan todos los punteros a los datos del disco físico. Si más adelante creas un recurso compartido de archivos en la misma cuenta o en otra, se asignará un nuevo conjunto de punteros. La cuenta no puede acceder a los datos que estaban en el almacenamiento físico porque se suprimen estos punteros. Cuando se graban nuevos datos en el disco, se sobrescriben los datos inaccesibles del almacenamiento de archivos suprimido.

IBM garantiza que no se puede acceder a los datos suprimidos y que los datos suprimidos se sobrescriben y se erradican. Cuando se suprime una compartición de archivos, estos bloques deben sobrescribirse antes de que el almacenamiento de archivos vuelva a estar disponible, ya sea para usted o para otro cliente.

Además, cuando IBM retira de servicio una unidad física, esta se destruye antes de su eliminación. Las unidades físicas retiradas del servicio son inservibles y no se puede acceder a los datos que contienen.

Supervisión de las métricas relacionadas con las acciones en la consola

IBM Cloud® Monitoring es un sistema de gestión nativo de la nube y de inteligencia de contenedores de terceros que puede incluir como parte de su arquitectura IBM Cloud. IBM Cloud Monitoring está gestionado por Sysdig en colaboración con IBM. Puedes acceder a los paneles de control de File share en la consola IBM Cloud y ver métricas como el ancho de banda actual de lectura y escritura, y el ancho de banda máximo. Para obtener más información, consulte Monitorización de métricas para File Storage for VPC.

Limitaciones en este release

Las siguientes limitaciones se aplican a esta versión de File Storage for VPC.

  • Los perfiles anteriores no son compatibles cuando se aprovisiona un archivo compartido. Los nuevos archivos compartidos deben utilizar el perfil dp2 o rfs. Sin embargo, los archivos compartidos de versiones anteriores pueden seguir utilizando sus perfiles hasta el 06 de mayo de 2027. Actualice el perfil de uso compartido de archivos a dp2 antes de esa fecha para evitar la interrupción del servicio y la pérdida de datos.
  • La restricción del acceso a recursos compartidos de archivos a instancias de servidor virtual específicas y el cifrado de datos en tránsito sólo están disponibles para recursos compartidos basados en el perfil dp2 o rfs.
  • Los sistemas operativos Windows no están soportados.
  • La capacidad mínima de un archivo compartido zonal es de 10 GB. La capacidad mínima de un archivo compartido regional es de 1 GB.
  • La capacidad máxima es de 32 000 GB por recurso compartido de archivos.
  • Para los archivos compartidos regionales (perfil rfs ), el tamaño máximo de archivo es de 1 TB. Los archivos compartidos por zonas (perfil dp2 ) no tienen límite de tamaño.
  • No existe ninguna política de retención de datos para las comparticiones de archivos suprimidas. No puede deshacer la supresión de una compartición de archivo después de suprimirla.
  • Se pueden conectar simultáneamente hasta 256 hosts por zona y por VPC a una sola compartición de archivos.
  • Puede crear hasta 300 comparticiones de archivos en la VPC.
  • Se pueden crear hasta 100 enlaces de recursos compartidos de acceso cuando compartes tu recurso compartido de archivos zonal con otra cuenta o servicio externo.
  • Una compartición de archivos no se puede suprimir utilizando una solicitud de API de DELETE /shares/<id>, si un destino de montaje existente está asociado con dicha compartición de archivos o si las operaciones de réplica están en curso.
  • Solo Bare Metal Servers for VPC que se suministran después del 31 de agosto de 2023 dan soporte a File Storage for VPC.
  • Una compartición de archivos no se puede dividir de su réplica utilizando una solicitud de API de DELETE /shares/<id>/source, si el lifecycle_state de la compartición de archivos es updating o si las operaciones de réplica están en curso.
  • En el caso de los recursos compartidos de archivos por zona, la replicación entre regiones solo es compatible cuando tanto el recurso compartido de origen como el de réplica pertenecen a la misma cuenta. La réplica entre geografías no está soportada.
  • La replicación interregional no es compatible con los archivos compartidos regionales en la fase Seleccionar disponibilidad.
  • Actualmente, los recursos compartidos regionales no están disponibles en Montreal.

Próximos pasos