NFS バージョン

File Storage for VPC には、 NFS バージョン v4.1 以上が必要です。 複数のユーザーが協力してファイル共有に対して一連の読み取り操作と書き込み操作を実行する場合、 NFS プロトコルに固有のロック・メカニズムによってデータの整合性が実現されます。 NFS バージョン 4.1 には、アドバイザリー・バイト範囲のファイル・ロックのサポートが含まれています。 バイト範囲ロックは、アクティビティーをファイル内の一定範囲のバイトにシリアライズするために使用されます。 アドバイザリー・ロック・メカニズムとして、どのアプリケーションへのアクセスも防止しませんが、ロックを取得してロックが保持されているかどうかを照会することにより、アプリケーションが協調して通信するためのメカニズムを提供します。 詳しくは、 RFC8881を参照してください。

マウント・ターゲット・アクセス・モード

マウント・ターゲットを作成または更新するときに、ファイル・シェア上でマウント・ターゲットにアクセスする方法を指定できます。 2026年6月6日現在、アクセス・コントロール・モードの唯一のオプションは、 セキュリティ・グループ・ アクセス・モードです。 セキュリティグループを使用すると、特定のサーバーインスタンスまたはサブネット内の複数のインスタンスのファイル共有へのアクセスを承認できます。 認証された仮想サーバーインスタンスとファイル共有間の通信も暗号化できる。 詳細については、「 トランジットにおける暗号化 」を参照。

vpc 、2027年5月6日にサポート終了となる。 移行ガイドに従って、共有のアクセス・コントロール・モードを security-group に更新し、サービスの中断とデータ損失を回避してください。

ゾーン共通マウント・ターゲット

セキュリティアクセスグループモードでゾーン共有のマウントターゲットを作成すると、ファイル共有のゾーンに特定の予約IPを持つVNIをアタッチできます。 予約IPを持つマウントターゲットを使用することで、ゾーン1のファイル共有を ゾーン2の計算ホストにマウントすることができる。 サーバーとファイル共有が異なるゾーンにある場合、トラフィックがゾーン間を通過するため、パフォーマンスに影響が出る可能性がある。

非推奨 VPC全体アクセスモードのファイル共有では、クロスゾーンマウントはサポートされません。

クロスゾーン・マウントは、地域ファイル共有には適用できません。 詳細については、次のセクションを参照してください。

地域マウント目標

地域ファイル共有のマウントターゲットを作成する場合、VNIをアタッチする必要があります。 各VNIは特定のゾーンに関連付けられているが、そのゾーンに限定される わけではない。 サブネットとVNIは、クラウド・リソース名（CRN）にゾーン・ロケーション・コードを含むが、リージョナルに動作するように設計されている。 リージョン内のどのアベイラビリティ・ゾーンからでもアクセスできる。

ストレージ・プラットフォームは複数のゾーンで共有IPレンジを使用するため、クライアントはどのゾーンにいても同じ論理ストレージサービスにアクセスできます。 ルーティングは、お客様の地域シェアに最も近い、または最もパフォーマンスの高いインスタンスに動的に移行します。

ファイルストレージに関連するさまざまな業務を管理するためのIAMロール

File Storage for VPC ロールベースのアクセス制御（RBAC）には、IAMの権限が必要です。 割り当てられた役割に応じて、ファイル共有、スナップショット、暗号化の作成および管理、ならびにサービス構成の確認を行うことができます。

• キーマネージャーの役割により、サービスはリソースインスタンスへのアクセスを管理するためのリソースキーを作成、更新、取得、および削除することができます。
• 「 サービス構成リーダー 」ロールには、リソース全体にわたるサービス構成および関連するガバナンスメタデータに対する読み取り専用アクセス権が付与されます。
• 「 シェアブローカー 」ロールを使用すると、実シェアとシャドウシェア間のバインディングを作成・削除し、シェア間の関係を管理することができます。
• 「 リモートアカウントアクセサを共有する 」ロールでは、別のアカウントが所有する共有リソースに対して、 アカウントアクセスバインディングを作成することができます。
• 「 Share Snapshot Operator 」ロールでは、共有スナップショットのすべての管理操作（作成、読み取り、一覧表示、更新、削除）を行うことができます

詳細については、「 File Storage for VPC の IAM ロールとアクション 」を参照してください。

詳しくは、アクセス権限を割り当てるためのベスト・プラクティスを参照してください。 アカウントへのユーザーの招待や Cloud IAM アクセス権限の割り当てを含め、IAM プロセス全体については、IAM 入門チュートリアルを参照してください。

IAMサービス間認証

Cloud Identity and Access Management （IAM）を使用すると、あるサービスが別のサービスにアクセスできるようにする承認を作成または削除することができます。 File Storage for VPC では、 お客様暗号化、地域間レプリケーション、 アカウント間アクセス、およびバックアップを構成するためのサービス間認証を作成する必要があります。 詳細については、 サービス間オーソライゼーションの確立を 参照のこと。

コンテキスト・ベースの制約事項

すべてのファイル共有操作に対して、コンテキスト・ベースの制限 (CBR) を有効にすることができます。 これらの制限は、ID に基づく従来の IAM ポリシーと連携して、追加の保護レイヤーを提供します。 IAM ポリシーとは異なり、コンテキスト・ベースの制限はアクセス権限を割り当てません。 コンテキスト・ベースの制限は、ファイル共有の作成など、構成した許可コンテキストからアクセス要求が出されることを検査します。 詳しくは、 コンテキスト・ベースの制限による仮想プライベート・クラウド(VPC)インフラストラクチャー・サービスの保護 を参照してください。

保存時の暗号化

デフォルトでは、ファイル共有は IBM による管理型暗号化により、保存時に暗号化されます。

お客様管理の暗号化のためにお客様所有のカスタマー・ルート鍵 (CRK) をクラウドに持ち込むことも、鍵管理サービス (KMS) を使用して鍵を生成することもできます。 ルート鍵は、 暗号化されたファイル共有を作成する ときに選択できます。 詳しくは、お客様管理の暗号化を参照してください。

ファイル共有の暗号化タイプを指定したら、後で変更することはできません。

非推奨 Hyper Protect Crypto Services は非推奨。 顧客は既存のインスタンスを2027年3月20日まで使用できる。 継続的な保護のために、既存の暗号化キーを Dedicated Key Protect インスタンスに移行することをご検討ください。 詳しくは マイグレーションガイドを ご覧ください。

転送中の暗号化

認証された仮想サーバーインスタンスとストレージシステムの間に 暗号化マウント接続を確立 することができます。 dp2 または rfs プロファイルに基づくファイル共有の場合、仮想ネットワーク・インターフェイスで作成されたマウント・ターゲットは、転送中の暗号化をサポートすることができます。

1つのゾーン内で異なるVPCで実行されているインスタンスにファイル共有を接続したい場合は、複数のマウントターゲットを作成することができます。 VPCごとに1つのマウントターゲットを作成できます。

転送中の暗号化（EIT）を使用する場合は、パフォーマンスとセキュリティ強化の要件のバランスを考慮する必要があります。 転送中のデータを暗号化すると、エンドポイントでデータを暗号化および暗号化解除するために必要な処理が原因で、パフォーマンスに何らかの影響を与える可能性があります。 影響は、ワークロードの特性によって異なります。 同期書き込みを実行するワークロードや、データベースなどの VSI キャッシングをバイパスするワークロードは、EIT が有効になっていると、パフォーマンスに大きな影響を与える可能性があります。 EITがパフォーマンスに与える影響を把握するには、EITを有効にした場合と無効にした場合で、ワークロードのベンチマークテストを実施してください。

EITがなくても、データは安全なデータセンター・ネットワークを通じて移動する。 ネットワーク・セキュリティーについて詳しくは、 VPC でのセキュリティー および コンテキスト・ベースの制限による仮想プライベート・クラウド(VPC)インフラストラクチャー・サービスの保護 を参照してください。

File Storage for VPC 転送中の暗号化が有効になっている場合にのみ、金融サービス検証済みサービスと見なされます。 詳細については、金融サービス検証済みサービスとはをご覧ください。

IBM Cloud® は、ファイル共有に対して以下のトランジット暗号化タイプを提供する。

• IPsec - インターネットセキュリティプロトコル(IPsec)セキュリティプロファイルとインスタンスID証明書を使用して、コンピュートホストとゾーンファイル共有の間に暗号化されたマウント接続を確立することができます。 詳細については、「 トランジットの暗号化 - IPsec暗号化 」を参照してください。
• Stunnel - クライアントのVSIと NFS サーバーの間に TLS 1.2 +接続を作成することにより、コンピュートホストと地域のファイル共有の間に暗号化されたマウント接続を確立することができます。 詳細については、 転送中の暗号化 - TLS 暗号 化を参照のこと。

IPsec で設定されたマウントに関する既知の問題については、「 メンテナンス中の IPsec で設定されたゾーンファイル共有におけるマウントの中断の可能性 」を参照してください。

細分化された許可

ファイル共有は、 セキュリティグループを 使用するアクセス制御モードで作成されます。 この共有をマウントするには、まず 仮想ネットワーク・インターフェイスで マウント・ターゲットを作成する必要があります。 このマウント・ターゲットでファイル共有をマウントすると、作成されたファイル共有ゲートウェイが1:1:1のきめ細かな認証を提供します。

マウント・ターゲットに関連付けられたセキュリティー・グループは、マウント・ターゲットと計算ホストの間のトラフィックを制御する仮想ファイアウォールとして機能します。

特定のセキュリティー・グループを選択することも、VPC のデフォルトのセキュリティー・グループを使用することもできます。 VPC内のセキュリティグループのルールを変更することで、1つまたは複数の特定の仮想サーバーインスタンスやベアメタルサーバーからのファイル共有へのアクセスを制限することができます。

仮想サーバー・インスタンスとマウント・ターゲットの間のトラフィックを有効にするには、セキュリティー・グループで以下のルールを構成する必要があります。

• マ ウ ン ト タ ーゲ ッ ト の場合 ： セキ ュ リ テ ィ グループが、 フ ァ イ ル共有をマ ウ ン ト す る すべてのサーバか ら NFS ポー ト の TCP プ ロ ト コ ルへの受信ア ク セ ス を許可 し てい る 必要があ り ます。
• 仮想サーバーの場合：セキュリティグループは、 NFS ポートのマウントターゲットへのアウトバウンドアクセスを許可する必要があります。

セキュリティー・グループのメンバー間のすべてのトラフィックを許可することにより、より動的な方法でセキュリティー・グループを構成できます。 次に、このセキュリティー・グループを、仮想サーバー・インスタンスのネットワーク・インターフェース、およびマウント・ターゲットの仮想ネットワーク・インターフェースに接続します。 詳しくは、 セキュリティー・グループのメンバー間のトラフィックを許可する を参照してください。

また、 UDP ポート500と4500を許可することを推奨する。 UDP ポート500は暗号鍵を管理するためのインターネット鍵交換（IKE）用で、 UDP ポート4500はIPsec NAT-T（NAT-T）用である。 VPC用のVPNゲートウェイは、 IPsec ESPパケットの UDP カプセル化されたVPNパケットのみを受け入れます。 転送中のデータの暗号化にstunnelを使用する場合は、ポート20049が許可されていることを確認してください。

マウントターゲットを作成する際に、仮想ネットワークインターフェイスのサブネットと予約IPアドレスを指定することができます。 また、指定したサブネット内のIPアドレスを選んでもらうこともできる。 マウント・ターゲットは VPC プライベート IP アドレスを持っている必要があり、IP アドレスは共有と同じゾーンにあるサブネット内になければなりません。 マウント・ターゲットに割り当てられた IP アドレスは、後で変更することはできません。

仮想ネットワーク・インターフェースを使用してマウント・ターゲットを作成する場合、その IP アドレスは以下のいずれかの方法で決定されます。

• サブネット別-サブネットを指定し、そのサブネット内の予約 IP アドレスからシステムが IP アドレスを選択できるようにします。 選択した IP アドレスを使用してネットワーク・インターフェースが作成され、そのネットワーク・インターフェースがファイル共有マウント・ターゲットに接続されます。

• サブネットおよび IP アドレス別-サブネット内の IP アドレスを指定します。 次に、ネットワーク・インターフェースが作成され、マウント・ターゲットに接続されます。

マウント・ターゲットがアタッチされ、共有がマウントされると、VNIはセキュリティ・グループ・ポリシー・チェックを実行し、許可された仮想サーバー・インスタンスだけが共有と通信できるようにします。

![ファイル共有マウントターゲットマウントターゲット付き](images/vni-fs-arch.svg "共有仮想ネットワーク" caption-side="bottom"}に接続されたファイル共有マウントターゲットの"){: caption="*

補足IDとグループ

Unix および Linux 上でプロセスが実行される際、オペレーティングシステムはユーザーをユーザーID（UID）で、グループをグループID（GID）で識別します。 これらの ID は、ユーザーまたはグループがアクセスできるシステム・リソースを決定します。 たとえば、ファイルストレージのユーザーIDが12345で、グループIDが6789の場合、ホストノードおよびコンテナ内でのマウントには、これらと同じIDを設定する必要があります。 ファイル共有にアクセスするには、コンテナーのメイン・プロセスがこれらの ID のいずれかまたは両方に一致する必要があります。

API および CLI を使用すると、ファイル共有を作成する際に、ファイル共有へのアクセスを制御するためのこれらの属性を設定できます。 APIとCLIは、 UID と GID の値を設定できる initial owner プロパティを提供します。 ファイル共有をマウントするたびに、マウント先のルート・フォルダーでは、その UID または GID の所有者が使用されます。 詳しくは、『ファイル共有の作成時の補足 ID の追加』を参照してください。

アカウントとサービス間でのファイル共有データの共有

複数のアカウントを管理するお客様は、一部のアカウントが同じデータにアクセスして処理する必要があることに気付く場合があります。 適切な権限を持つ管理者は、複数のアカウントで NFS ファイル・システムを共有できるため、アプリケーションが依存するデータを社内のさまざまなシステムで使用できます。 顧客は File Storage for VPC 共有を IBM watsonx サービスと共有することもできる。

アカウント間 サービス間許可 は、共有所有者アカウントとアクセサー・アカウントの間の信頼を確立するために使用されます。 認証が設定されると、共有所有者アカウントは、共有ファイル共有をマウントできるアカウントのIDを見ることができる。 アクセサーアカウントは、共有された NFS 共有を、共有の所有者情報とともにリソースリストで見ることができます。 アクセサー・アカウントは、起点共有のプロパティーを編集できません。 また、元の共有を削除することはできませんが、独自の VPC にマウントすることはできます。 アクセサーアカウントは、スナップショットを含む共有のすべてのデータを使用することができます。

詳細については、 別のアカウントからのファイル共有の共有とマウントを 参照してください。

アクティビティー・トラッキング・イベント

使用できますIBM Cloud® Activity Tracker Event Routing監査イベントをルーティングする方法を構成します。 監査イベントは、セキュリティ運用にとって極めて重要なデータであり、コンプライアンス要件を満たすための重要な要素です。 このようなイベントは、ファイル共有を作成、変更、または削除したときにトリガーされます。 また、ファイル共有のレプリケーションを設定して使用する場合にも、アクティビティ追跡イベントが発生します。 詳細は IBM Cloud VPCのアクティビティ追跡イベント を参照。

ファイル共有サービスのログ

IBM Cloud® アーキテクチャにログ管理機能を追加するために IBM Cloud Logs をプロビジョニングした後、 File Storage for VPC サービスのログを表示および分析するためにプラットフォームログを有効にすることができます。 詳細については、VPC のログ記録。

ユーザー・タグ

新しいファイル共有をプロビジョニングしたり、既存のファイル共有を更新したりする際に、新しいユーザータグを作成したり、既存のタグを追加したりすることができます。 タグは、UI、CLI、またはAPIから作成、表示、管理することができ、いつでも削除できます。

ユーザータグは、Cloud Resource Name（CRN）識別子によって一意に識別されます。 ユーザータグを作成する際は、ご自身のアカウント内で一意の名前を指定します。 ユーザータグは、ラベル形式またはキー・バリュー形式で定義できます。 裏では、ファイル・サービスはタグを直接 GhoST サービスに送信および受信します。 ゴーストは、そのキー属性とタグの配列を保管します。 GhoST また、ユーザーのリソース情報も保存されるため、自分が所有するリソースの閲覧、タグ付け、検索を行うことができます。

ユーザータグは、 バックアップポリシー によって共有のスナップショットを自動的に作成するのにも使用できます。

詳しくは、「 ファイル共有へのユーザー・タグの追加 」および「 タグの処理」を参照してください。

アクセス管理タグ

アクセス管理タグは、柔軟なリソース・グループを作成することでアクセス制御を編成し、IAM ポリシーを更新しなくてもファイル・ストレージ・リソースを拡張できるようにします。

アクセス管理タグを作成し、それらを新規または既存のファイル共有およびレプリカ・ファイル共有に適用することができます。 アクセス管理タグを作成するには、IAM UI またはグローバル検索とタグ付け API を使用します。 次に、VPC UI または API から、ファイル共有にタグを追加します。 タグが追加されると、IAM ポリシーを使用してそれらのタグへのアクセスを管理できます。 詳しくは、 ファイル共有へのアクセス管理タグの追加 を参照してください。