Versione NFS

File Storage for VPC richiede NFS versioni v4.1 o successive. Quando più utenti collaborano ed eseguono una serie di operazioni di lettura e scrittura sulla condivisione file, la congruenza dei dati viene raggiunta bloccando i meccanismi che sono nativi del protocollo NFS. NFS versione 4.1 include il supporto per il blocco dei file di intervallo di byte. Il blocco dell'intervallo di byte viene utilizzato per serializzare l'attività in un intervallo di byte all'interno di un file. Come meccanismo di blocco di avviso, non impedisce l'accesso a qualsiasi applicazione, ma fornisce un meccanismo per le applicazioni per comunicare in modo cooperativo attraverso l'ottenimento di blocchi e la query se un blocco è mantenuto. Per ulteriori informazioni, vedere RFC8881.

Modalità di accesso della destinazione di montaggio

Quando si crea o si aggiorna una destinazione di montaggio, è possibile specificare il modo in cui si desidera accedere alla destinazione di montaggio sulla condivisione file. A partire dal 06 giugno 2026, l'unica opzione per la modalità di controllo degli accessi è la modalità di accesso dei gruppi di sicurezza. Utilizzando il gruppo di sicurezza, è possibile autorizzare l'accesso alla condivisione di file per una specifica istanza del server o per un certo numero di istanze all'interno di una sottorete. Anche la comunicazione tra un'istanza di server virtuale autorizzata e la condivisione di file può essere crittografata. Per ulteriori informazioni, vedere Crittografia in transito.

La modalità di accesso vpc raggiunge la fine del supporto il 06 maggio 2027. Seguite il sito Guida alla migrazione per aggiornare la modalità di controllo degli accessi della vostra condivisione a security-group per evitare interruzioni del servizio e perdite di dati.

Destinazioni di montaggio tra zone

Quando si crea una destinazione di montaggio per una condivisione zonale con modalità gruppo di accesso di sicurezza, è possibile collegare un VNI con un IP riservato specifico nella zona della condivisione file. Utilizzando un target di montaggio con un IP riservato, è possibile montare una condivisione di file dalla zona 1 a un compute host nella zona 2. Quando il server e la condivisione di file si trovano in zone diverse, le prestazioni possono risentire del passaggio del traffico da una zona all'altra.

Il montaggio in più zone non è supportato per le condivisioni di file con la modalità di accesso Deprecated VPC-wide.

Il montaggio in più zone non è applicabile alle condivisioni di file regionali. Per ulteriori informazioni, consultare la sezione seguente.

Obiettivi di montaggio regionali

Quando si crea una destinazione di montaggio per una condivisione di file regionale, è necessario allegare un VNI. Sebbene ogni VNI sia associato a una zona specifica, non è limitato a tale zona. Le sottoreti e le VNI includono i codici di localizzazione zonale nei loro nomi di risorse cloud (CRN), ma sono progettate per operare a livello regionale. Sono accessibili da qualsiasi zona di disponibilità all'interno della regione, anche se la regione proprietaria è temporaneamente non disponibile.

La piattaforma di storage utilizza un intervallo IP condiviso tra più zone che consente al cliente di raggiungere lo stesso servizio di storage logico indipendentemente dalla zona in cui si trova. L'instradamento passa dinamicamente all'istanza più vicina o più performante della vostra quota regionale.

Ruoli IAM per la gestione di varie attività relative all'archiviazione dei file

File Storage for VPC richiede autorizzazioni IAM per il controllo degli accessi basato sui ruoli. A seconda del ruolo assegnato, è possibile creare e gestire condivisioni di file, snapshot e crittografia, nonché visualizzare la configurazione del servizio.

• Il ruolo Key Manager consente a un servizio di creare, aggiornare, recuperare ed eliminare le chiavi delle risorse per la gestione dell'accesso alle istanze delle risorse.
• Il ruolo " Service Configuration Reader " concede l'accesso in sola lettura alla configurazione dei servizi e ai relativi metadati di governance su tutte le risorse.
• Il ruolo " Share Broker " consente di creare ed eliminare collegamenti tra condivisioni reali e condivisioni ombra per gestire le relazioni tra le condivisioni.
• Il ruolo " Share Remote Account Accessor " consente di creare associazioni di accesso tra account per le condivisioni di proprietà di un altro account.
• Il ruolo "Operatore di snapshot delle condivisioni " consente la gestione completa (creazione, lettura, elenco, aggiornamento, eliminazione) degli snapshot delle condivisioni

Per ulteriori informazioni, consultare la sezione " Ruoli e azioni IAM" all'indirizzo File Storage for VPC.

Per ulteriori informazioni, vedi le procedure consigliate per l'assegnazione dell'accesso. Per il processo IAM completo, che include l'invito di utenti nel tuo account e l'assegnazione dell'acceso Cloud IAM, vedi l'esercitazione introduttiva IAM.

Autorizzazioni IAM da servizio a servizio

È possibile utilizzare il servizio " Cloud Identity and Access Management " (IAM) per creare o rimuovere un'autorizzazione che consente a un servizio di accedere a un altro servizio. Per File Storage for VPC è necessario creare un'autorizzazione da servizio a servizio per configurare la crittografia gestita dal cliente, la replica interregionale, l'accesso a più account e i backup. Per ulteriori informazioni, vedere Stabilire le autorizzazioni da servizio a servizio.

Limitazioni basate sul contesto

È possibile abilitare le limitazioni basate sul contesto (CBR) per tutte le operazioni di condivisione file. Queste restrizioni funzionano con le politiche IAM tradizionali, basate sull'identità, per fornire un ulteriore livello di protezione. A differenza delle politiche IAM, le restrizioni basate sul contesto non assegnano l'accesso. Le limitazioni basate sui contesti verificano che una richiesta di accesso provenga da un contesto consentito configurato dall'utente, ad esempio la creazione di una condivisione file. Per ulteriori informazioni, vedi Protezione dei servizi dell'infrastruttura VPC(Virtual Private Cloud)con restrizioni basate sul contesto.

Crittografia dati inattivi

Per impostazione predefinita, le condivisioni file sono crittografate con la crittografia gestita da IBM.

Puoi portare la tua chiave root del cliente (CRK) nel cloud per la crittografia gestita dal cliente oppure puoi avere un KMS (key management service) che genera una chiave per te. Puoi selezionare la chiave root quando crei una condivisione file crittografata. Per ulteriori informazioni, vedi Crittografia gestita dal cliente.

Dopo aver specificato un tipo di codifica per una condivisione file, non è possibile modificarlo.

Deprecato Il sito Hyper Protect Crypto Services è deprecato. I clienti possono utilizzare le istanze esistenti fino al 20 marzo 2027. Per una protezione continua, prendete in considerazione la possibilità di migrare le chiavi di crittografia esistenti su un'istanza Dedicated Key Protect. Per ulteriori informazioni, consultare la Guida alla migrazione.

Crittografia in transito

È possibile stabilire una connessione di montaggio crittografata tra l'istanza di server virtuale autorizzata e il sistema di archiviazione. Per le condivisioni di file basate sul profilo dp2 o rfs, le destinazioni di montaggio create con un'interfaccia di rete virtuale possono supportare la crittografia in transito.

Se si desidera connettere una condivisione file alle istanze in esecuzione in diversi VPC in una zona, è possibile creare più destinazioni di montaggio. È possibile creare una destinazione di montaggio per ogni VPC.

Se si sceglie di utilizzare la crittografia in transito (EIT), è necessario trovare un equilibrio tra le esigenze in termini di prestazioni e quelle relative a una maggiore sicurezza. La codifica dei dati in transito può avere un impatto sulle prestazioni a causa dell'elaborazione necessaria per codificare e decodificare i dati negli endpoint. L'impatto dipende dalle caratteristiche del workload. I carichi di lavoro che eseguono scritture sincrone o ignorano la memorizzazione nella cache VSI, come i database, potrebbero avere un notevole impatto sulle prestazioni quando l'EIT è abilitato. Per valutare l'impatto delle prestazioni dell'EIT, esegui un benchmark del tuo carico di lavoro con e senza l'EIT.

Anche senza EIT, i dati passano attraverso una rete di data center sicura. Per ulteriori informazioni sulla sicurezza della rete, consulta Sicurezza nel tuo VPC e Protezione dei servizi dell'infrastruttura VPC(Virtual Private Cloud)con restrizioni basate sul contesto.

File Storage for VPC è considerato un servizio Financial Services Validated solo quando è abilitata la crittografia durante il trasferimento. Per maggiori informazioni, vedere cos'è un servizio Financial Services Validated.

IBM Cloud® offre i seguenti tipi di crittografia di transito per le condivisioni di file.

• IPsec - È possibile stabilire una connessione di montaggio crittografata tra l'host di calcolo e una condivisione di file zonale utilizzando il profilo di sicurezza Internet Security Protocol (IPsec) e un certificato di identità dell'istanza. Per ulteriori informazioni, vedere Crittografia in transito - Crittografia IPsec.
• Stunnel - È possibile stabilire una connessione di montaggio crittografata tra l'host di elaborazione e una condivisione di file regionale creando una connessione TLS 1.2 + tra il VSI client e il server NFS con stunnel. Per ulteriori informazioni, vedere Crittografia in transito - Crittografia TLS.

Per informazioni su un problema noto relativo ai montaggi configurati con IPsec, consultare la sezione " Possibili interruzioni del montaggio delle condivisioni di file zonali configurate con IPsec durante la manutenzione ".

Autorizzazione granulare

La condivisione di file è stata creata con la modalità di controllo degli accessi per utilizzare i gruppi di sicurezza. Per montare questa condivisione, è necessario prima creare una destinazione di montaggio con un' interfaccia di rete virtuale. Quando si monta la condivisione di file con questo obiettivo di montaggio, il gateway di condivisione di file creato fornisce un'autorizzazione granulare 1:1:1.

I gruppi di sicurezza che sono associati alla destinazione di montaggio fungono da firewall virtuale che controlla il traffico tra la destinazione di montaggio e l'host di calcolo.

È possibile selezionare uno specifico gruppo di sicurezza o utilizzare il gruppo di sicurezza predefinito del VPC. Modificando le regole dei gruppi di sicurezza nella propria VPC, è possibile limitare l'accesso alla condivisione di file da una o più istanze specifiche di server virtuali o da un server bare metal.

Per attivare il traffico tra un'istanza del server virtuale e una destinazione di montaggio, devi configurare le seguenti regole nei gruppi di protezione:

• Per la destinazione di montaggio: il gruppo di sicurezza deve consentire l'accesso in entrata al protocollo TCP sulla porta NFS da tutti i server in cui si desidera montare la condivisione di file.
• Per i server virtuali: il gruppo di sicurezza deve consentire l'accesso in uscita al target di montaggio sulla porta NFS.

È possibile configurare il proprio gruppo di sicurezza in modo più dinamico consentendo tutto il traffico tra i membri del gruppo di sicurezza. Collega quindi questo gruppo di protezione all'interfaccia di rete dell'istanza del server virtuale e all'interfaccia di rete virtuale della destinazione di montaggio. Per ulteriori informazioni, vedi Consenti il traffico tra i membri di un gruppo di sicurezza.

Si raccomanda inoltre di consentire le porte 500 e 4500 di UDP. UDP la porta 500 è destinata a Internet Key Exchange (IKE) per gestire le chiavi di crittografia, mentre la porta 4500 di UDP è destinata a IPsec NAT-Traversal (NAT-T). Un gateway VPN per VPC accetta solo pacchetti VPN con incapsulamento UDP di pacchetti IPsec ESP. Quando si sceglie di utilizzare stunnel per la crittografia dei dati in transito, assicurarsi che la porta 20049 sia consentita.

Quando si crea la destinazione di montaggio, è possibile specificare una sottorete e un indirizzo IP riservato per l'interfaccia di rete virtuale. È anche possibile far scegliere al servizio un indirizzo IP nella sottorete specificata. La destinazione di montaggio deve avere un indirizzo IP privato VPC e l'indirizzo IP deve trovarsi in una sottorete che si trova nella stessa zona della condivisione. L'indirizzo IP assegnato alla destinazione di montaggio non può essere modificato successivamente.

Quando si crea la destinazione di montaggio con un'interfaccia di rete virtuale, il suo indirizzo IP viene determinato in una delle seguenti modalità:

• Per sottorete - Specificare la sottorete e consentire al sistema di selezionare un indirizzo IP dagli indirizzi IP riservati all'interno di tale sottorete. Viene creata un'interfaccia di rete con l'indirizzo IP selezionato e tale interfaccia di rete viene collegata alla destinazione di montaggio della condivisione file.

• Per sottorete e indirizzo IP - Si specifica l'indirizzo IP nella sottorete. Quindi, l'interfaccia di rete viene creata e collegata alla destinazione di montaggio.

Quando il target di montaggio è collegato e la condivisione è montata, il VNI esegue il controllo dei criteri del gruppo di sicurezza per assicurarsi che solo le istanze di server virtuale autorizzate possano comunicare con la condivisione.

ID e gruppi supplementari

Quando un processo viene eseguito su Unix e Linux, il sistema operativo identifica un utente con un ID utente (UID) e un gruppo con un ID gruppo (GID). Questi ID determinano a quali risorse di sistema un utente o un gruppo può accedere. Ad esempio, se l'ID utente dell'archiviazione file è 12345 e il relativo ID gruppo è 6789, il montaggio sul nodo host e nel contenitore deve avere gli stessi ID. Il processo principale del contenitore deve corrispondere a uno o a entrambi gli ID per accedere alla condivisione file.

Con l'API e la CLI, è possibile impostare questi attributi per controllare l'accesso alle condivisioni di file quando si crea una condivisione di file. L'API e la CLI forniscono una proprietà initial owner in cui è possibile impostare i valori UID e GID. Ovunque si monti la condivisione file, la cartella root in cui si monta utilizza tale UID o proprietario GID. Per ulteriori informazioni, consultare Aggiunta di ID supplementari quando si crea una condivisione file.

Condivisione di dati di condivisione file tra account e servizi

I clienti che gestiscono più account a volte trovano che alcuni dei loro account devono accedere e lavorare con gli stessi dati. Gli amministratori con le autorizzazioni corrette possono condividere un file di sistema NFS tra gli account, in modo che i dati da cui dipendono le applicazioni siano disponibili tra i diversi sistemi all'interno dell'azienda. Il cliente può anche condividere le proprie condivisioni File Storage for VPC con il servizio IBM watsonx.

L' autorizzazione service - to - service tra account viene utilizzata per stabilire l'attendibilità tra il proprietario della condivisione e gli account accessor. Una volta impostata l'autorizzazione, l'account proprietario della condivisione può vedere gli ID degli account che possono montare la condivisione di file condivisa. L'account accedente può vedere le condivisioni di NFS nel proprio elenco di risorse, insieme alle informazioni sul proprietario della condivisione. L'account del programma di accesso non può modificare le proprietà della condivisione di origine. Non possono nemmeno eliminare la condivisione di origine, ma possono montarla nei propri VPC. Gli account accessor possono utilizzare tutti i dati della condivisione, comprese le istantanee eventualmente presenti.

Per ulteriori informazioni, vedere Condivisione e montaggio di una condivisione di file da un altro account.

eventi di traccia dell'attività

Puoi usareIBM Cloud® Activity Tracker Event Routing per configurare come instradare gli eventi di controllo. Gli eventi di auditing costituiscono dati fondamentali per le operazioni di sicurezza e rappresentano un elemento chiave per soddisfare i requisiti di conformità. Tali eventi vengono attivati quando crei, modifichi o elimini una condivisione file. Gli eventi di monitoraggio delle attività vengono attivati anche quando si stabilisce e si utilizza la replica della condivisione dei file. Per ulteriori informazioni, vedere Eventi di tracciamento dell'attività per IBM Cloud VPC.

Registrazione per il servizio di condivisione file

Dopo aver eseguito il provisioning di IBM Cloud Logs per aggiungere le funzionalità di gestione dei registri all'architettura di IBM Cloud®, è possibile abilitare i registri della piattaforma per visualizzare e analizzare i registri del servizio File Storage for VPC. Per ulteriori informazioni, vedere Registrazione per VPC.

Tag utente

È possibile creare nuove tag utente o aggiungere tag esistenti quando si esegue il provisioning di una nuova condivisione file o si aggiorna una condivisione file esistente. Puoi creare, visualizzare e gestire le tag dall'interfaccia utente, dalla CLI o dall'API e rimuoverle in qualsiasi momento.

I tag utente sono identificati in modo univoco tramite un identificatore denominato Cloud Resource Name (CRN). Quando crei una tag utente, fornisci un nome univoco nel tuo conto di fatturazione. È possibile definire tag utente in formato etichetta o valore chiave. Dietro le quinte, il servizio file invia e riceve le tag direttamente al servizio GhoST. GhoST memorizza i suoi attributi chiave e l'array di tag. GhoST memorizza anche le informazioni sulle risorse utente, in modo che sia possibile visualizzare, contrassegnare e cercare le risorse di cui si è proprietari.

I tag utente possono anche essere utilizzati dai criteri di backup per creare automaticamente delle istantanee della condivisione.

Per ulteriori informazioni, consultare Aggiunta di tag utente alle condivisioni file e Gestione di tag.

Tag di gestione accesso

Le tag di gestione dell'accesso consentono di organizzare il controllo dell'accesso creando raggruppamenti di risorse flessibili, consentendo alle risorse di archiviazione file di crescere senza richiedere aggiornamenti alle politiche IAM.

È possibile creare tag di gestione accessi e quindi applicarli alle condivisioni file nuove o esistenti e alle condivisioni file di replica. Utilizza l'interfaccia utente IAM o l'API Global Search and Tagging per creare la tag di gestione dell'accesso. Quindi, dall'API o dall'IU VPC, aggiungi le tag a una condivisione file. Una volta aggiunti i tag, puoi gestirne l'accesso utilizzando le politiche IAM. Per ulteriori informazioni, consultare Aggiunta di tag di gestione dell'accesso a una condivisione file.