Voraussetzungen für die Verschlüsselung während der Übertragung mit Stunnel

Bevor Sie diese Funktion nutzen können, müssen die folgenden Voraussetzungen erfüllt sein:

• Die Dateifreigabe muss auf dem Profil rfs basieren und mit dem Zugriffsmodus Sicherheitsgruppe konfiguriert sein.

• Das Einhängeziel muss mit einer virtuellen Netzwerkschnittstelle erstellt werden. Der Compute-Host und das Einhängeziel müssen Mitglieder der gleichen Sicherheitsgruppe sein. Weitere Informationen finden Sie unter Erstellen von Dateifreigaben und Einhängezielen.

• Die Datenverschlüsselung bei der Übertragung muss aktiviert sein. In der Konsole können Sie die Verschlüsselung während der Übertragung einschalten, wenn Sie das Einhängeziel erstellen. Die Eigenschaft API transit_encryption akzeptiert den Wert stunnel zur Aktivierung der Funktion.

• Stunnel muss auf dem Server installiert sein. Der Dateidienst „ IBM Cloud® “ stellt das Dienstprogramm „Mount Helper“ bereit, um die auf dem Rechenhost erforderlichen Aufgaben zu automatisieren, wie beispielsweise das Herunterladen, die Konfiguration und den Start der Anwendung „stunnel“.

Einbinden der Dateifreigabe mit stunnel

1. Verwenden Sie die folgende Befehlssyntax, um die Freigabe einzuhängen. Ersetzen Sie den Einhängepfad durch die Informationen, die für Ihre Dateifreigabe spezifisch sind.

   mount -t ibmshare -o stunnel 10.0.0.1:/MOUNT_PATH /mnt/MOUNT_PATH
   

   Beispiel:

   ++ mount -v -o stunnel -t ibmshare 10.240.64.24:/EAD9B8582BC84FDAB57B7A315BCA1210 /mnt/EAD9B8582BC84FDAB57B7A315BCA1210
   Debug - Locked ok:/var/lock/ibm_mount_helper.lck
   Debug - File unlocked:/var/lock/ibm_mount_helper.lck
   Debug - Locked ok:/var/lock/ibm_mount_helper.lck
   Debug - RunCmd: ListNfsMounts (mount -t nfs,nfs4)
   Debug - Existing nfs/nfs4 mounts found:0
   Debug - RunCmd: ListNfsMounts (mount -t nfs,nfs4)
   Debug - Existing nfs/nfs4 mounts found:0
   Debug - Local port 10001 will be used for setting up next stunnel
   Debug - Starting stunnel for mounting /EAD9B8582BC84FDAB57B7A315BCA1210
   Debug - Stunnel conf file created /etc/stunnel/ibmshare_EAD9B8582BC84FDAB57B7A315BCA1210.conf
   Debug - Attempting to start stunnel using /etc/stunnel/ibmshare_EAD9B8582BC84FDAB57B7A315BCA1210.conf
   Debug - Attempting mount of /EAD9B8582BC84FDAB57B7A315BCA1210 on the local host
   Debug - RunCmd: Mount using stunnel  (mount -t nfs4 -o sec=sys,nfsvers=4.1,rw,port=10001 127.0.0.1:/EAD9B8582BC84FDAB57B7A315BCA1210 /mnt/EAD9B8582BC84FDAB57B7A315BCA1210 -v)
   Debug - Stunnel mount was successful
   Debug - File unlocked:/var/lock/ibm_mount_helper.lck
   

2. Überprüfen Sie die Verbindung, indem Sie in den Systemprotokollen nachsehen, ob stunnel läuft und die Verbindung erfolgreich hergestellt wurde. Sie können auch den folgenden Befehl ausführen, um das angehängte Dateisystem anzuzeigen:

   df -h
   

Option no_root_squash für NFS implementieren (optional)

NFS stuft standardmäßig alle Dateien, die mit Rootberechtigungen erstellt wurden, auf den Benutzer nobody herab. Diese Sicherheitsfunktion stellt sicher, dass Berechtigungen nur geteilt werden, wenn sie angefordert werden.

Durch die Konfiguration von „ no_root_squash “ können Root-Clients ihre Root-Rechte auf der Remote-Dateifreigabe „ NFS “ beibehalten.

Setzen Sie für NFS Version 4.1 die nfsv4-Domäne auf slnfsv4.com und starten Sie rpcidmapd oder einen ähnlichen Service, der von Ihrem Betriebssystem verwendet wird.

1. Nehmen Sie auf dem Host die Domänenkonfiguration unter „ /etc/idmapd.conf “ vor.

   $ vi /etc/idmapd.conf
   [General]
   #Verbosity = 0
   #The following should be set to the local NFSv4 domain name
   #The default is the host's DNS domain name.
   Domain = slnfsv4.com
   [Mapping]
   Nobody-User = nobody
   Nobody-Group = nobody
   

2. Führen Sie nfsidmap -c aus.