Versión de NFS

File Storage for VPC requiere NFS versiones v4.1 o superior. Cuando varios usuarios cooperan y ejecutan una serie de operaciones de lectura y escritura en la compartición de archivos, la coherencia de datos se consigue bloqueando mecanismos que son nativos del protocolo NFS. NFS versión 4.1 incluye soporte para el bloqueo de archivos de rango de bytes de advertencia. El bloqueo de rango de bytes se utiliza para serializar la actividad en un rango de bytes dentro de un archivo. Como mecanismo de bloqueo de advertencia, no impide el acceso a ninguna aplicación, pero proporciona un mecanismo para que las aplicaciones se comuniquen de forma cooperativa a través de la obtención de bloqueos y la consulta de si se mantiene un bloqueo. Para obtener más información, consulte RFC8881.

Modalidades de acceso de destino de montaje

Al crear o actualizar un destino de montaje, puede especificar la forma en la que desea que se acceda al destino de montaje en la compartición de archivos. Tiene dos opciones:

• Utilice la modalidad de acceso de grupos de seguridad para autorizar el acceso a la compartición de archivos para una instancia o instancias de servidor virtual específicas dentro de una subred. Esta opción está disponible para comparticiones de archivos más recientes basadas en el perfil dp2. La comunicación entre una instancia de servidor virtual autorizado y la compartición de archivos se puede encapsular opcionalmente en IPsec. Para obtener más información, consulte Cifrado en tránsito. También se soporta el montaje en zonas cruzadas.

• Utilice la modalidad de acceso de VPC para permitir el acceso a la compartición de archivos a un servidor nativo o a cualquier instancia de servidor virtual en la misma zona de una VPC. Esta opción está disponible para todos los perfiles de compartición de archivos. El montaje entre zonas y el cifrado de datos en tránsito no están soportados para las comparticiones con la modalidad de acceso de VPC. Las instantáneas tampoco son compatibles con los recursos compartidos con modo de acceso VPC.

  El modo de acceso VPC no es compatible con los nuevos MZR, como Montreal (ca-mon).

Destinos de montaje entre zonas

Al crear un destino de montaje para un recurso compartido con el modo de grupo de acceso de seguridad, puede adjuntar una VNI con una IP reservada específica en la zona de su recurso compartido de archivos. Mediante el uso de un destino de montaje con una IP reservada, puede montar un recurso compartido de archivos de la zona 1 en un host de computación de la zona 2. Cuando el servidor y el archivo compartido se encuentran en zonas diferentes, el rendimiento puede verse afectado al pasar el tráfico de una zona a otra.

El montaje entre zonas no es compatible con los recursos compartidos de archivos con modo de acceso a toda la VPC.

Roles de IAM para crear y administrar recursos compartidos, enlaces de acceso y objetivos de montaje

File Storage for VPC requiere permisos IAM para el control de acceso basado en roles. Dependiendo de su función asignada, puede crear y administrar archivos compartidos. Para más información, ver Roles y acciones de IAM para File Storage for VPC.

Para obtener más información, consulte las prácticas recomendadas para asignar acceso. Para ver el proceso completo de IAM, que incluye la invitación de usuarios a su cuenta y la asignación de acceso de IAM de Cloud, consulte la guía de aprendizaje de iniciación de IAM.

Autorizaciones IAM de servicio a servicio

Puede utilizar Cloud Identity and Access Management (IAM) para crear o eliminar una autorización que conceda acceso a un servicio a otro servicio. Para Block Storage for VPC, es necesario crear una autorización de servicio a servicio para configurar el cifrado gestionado por el cliente, la replicación entre regiones, el acceso entre cuentas y las copias de seguridad. Para obtener más información, consulte Establecimiento de autorizaciones de servicio a servicio.

Restricciones basadas en contexto

Puede habilitar las restricciones basadas en contexto (CBR) para todas las operaciones de compartición de archivos. Estas restricciones trabajan con políticas de IAM tradicionales, que se basan en la identidad, para proporcionar una capa de protección adicional. A diferencia de las políticas de IAM, las restricciones basadas en contexto no asignan el acceso. Las restricciones basadas en contexto comprueban que una solicitud de acceso provenga de un contexto permitido que configure, como la creación de una compartición de archivos. Para obtener más información, consulte Protección de Virtual Private Cloud(VPC)Infrastructure Services con restricciones basadas en contexto.

Cifrado en reposo

Por defecto, los archivos compartidos se cifran en reposo con el cifrado gestionado IBM.

Puede aportar su propia clave de raíz de cliente (CRK) a la nube para el cifrado gestionado por el cliente o puede tener un servicio de gestión de claves (KMS) que le genere una clave. Puede seleccionar la clave raíz cuando cree una compartición de archivos cifrada. Para obtener más información, consulte Cifrado gestionado por el cliente.

Una vez especificado el tipo de cifrado de una compartición de archivos, no se podrá cambiar.

Cifrado en tránsito

Puede establecer una conexión de montaje cifrada entre la instancia de servidor virtual autorizada y el sistema de almacenamiento. Para las comparticiones de archivos basadas en el perfil dp2, los destinos de montaje que se crean con una interfaz de red virtual pueden dar soporte al cifrado en tránsito.

Si desea conectar un archivo compartido a instancias que se ejecutan en distintas VPC de una zona, puede crear varios destinos de montaje. Puede crear un objetivo de montaje para cada VPC.

Si opta por utilizar el cifrado en tránsito, debe equilibrar los requisitos entre el rendimiento y la seguridad mejorada. El cifrado de datos en tránsito puede tener cierto impacto en el rendimiento debido al proceso necesario para cifrar y descifrar los datos en los puntos finales. El impacto depende de las características de la carga de trabajo. Las cargas de trabajo que realizan grabaciones síncronas o que omiten el almacenamiento en memoria caché de VSI, como las bases de datos, pueden tener un impacto sustancial en el rendimiento cuando el EIT está habilitado. Para determinar el impacto en el rendimiento del EIT, evalúe su carga de trabajo con y sin EIT.

Incluso sin IET, los datos se mueven a través de una red segura de centros de datos. Para obtener más información sobre la seguridad de red, consulte Seguridad en la VPC y Protección de los servicios de infraestructura de Virtual Private Cloud(VPC)con restricciones basadas en contexto.

File Storage for VPC se considera un servicio validado por Servicios Financieros sólo cuando está activado el cifrado en tránsito. Para más información, consulte qué es un servicio validado por Servicios Financieros.

El cifrado en tránsito no es compatible con Bare Metal Servers for VPC ni con instancias de servidor virtual que se ejecuten en Red Hat Enterprise Linux CoreOS (RHCOS).

Autorización granular

Puede configurar el modo de control de acceso de un archivo compartido para utilizar grupos de seguridad. A continuación, crea un objetivo de montaje con una interfaz de red virtual. Cuando monta su recurso compartido de archivos utilizando este objetivo de montaje, la puerta de enlace de recurso compartido de archivos creada proporciona una autorización granular 1:1:1.

Los grupos de seguridad que están asociados con el destino de montaje actúan como un cortafuegos virtual que controla el tráfico entre el destino de montaje y el host de cálculo.

Puede seleccionar un grupo de seguridad específico o utilizar el grupo de seguridad predeterminado de la VPC. Modificando las reglas de los grupos de seguridad en su VPC, puede restringir el acceso al recurso compartido de archivos desde una o más instancias específicas de servidor virtual o servidor bare metal.

Para habilitar el tráfico entre una instancia de servidor virtual y un destino de montaje, debe configurar las reglas siguientes en los grupos de seguridad:

• El grupo de seguridad que adjunte a un destino de montaje debe permitir el acceso entrante para el protocolo TCP en el puerto NFS desde todos los servidores en los que desee montar el recurso compartido de archivos.
• Cada instancia de servidor virtual en la que desea que se monte la compartición de archivos debe tener un grupo de seguridad que permita el acceso de salida al destino de montaje en el puerto NFS.

Puede configurar el grupo de seguridad de una forma más dinámica permitiendo todo el tráfico entre los miembros del grupo de seguridad. A continuación, conecte este grupo de seguridad a la interfaz de red de la instancia de servidor virtual y a la interfaz de red virtual del destino de montaje. Para obtener más información, consulte Permitir tráfico entre miembros de un grupo de seguridad.

También se recomienda que se permitan los puertos UDP 500 y 4500. El puerto 500 de UDP está pensado para que Internet Key Exchange (IKE) gestione las claves de cifrado, y el puerto 4500 de UDP es para IPsec NAT-Traversal (NAT-T). Una pasarela VPN para VPC solo acepta paquetes VPN con Encapsulación UDP de paquetes ESP de IPsec.

Al crear el destino de montaje, puede especificar una subred y una dirección IP reservada para la interfaz de red virtual. También puede hacer que el servicio elija por usted una dirección IP en la subred especificada. El destino de montaje debe tener una dirección IP privada de VPC y la dirección IP debe estar en una subred que esté en la misma zona que la compartición. La dirección IP asignada al destino de montaje no se puede cambiar más adelante.

Cuando crea el destino de montaje con una interfaz de red virtual, su dirección IP se determina de una de las formas siguientes:

• Por subred-Especifique la subred y permita que el sistema elija una dirección IP de las direcciones IP reservadas dentro de esa subred. Se crea una interfaz de red con la dirección IP seleccionada y, a continuación, dicha interfaz de red se conecta al destino de montaje de compartición de archivos.

• Por subred y dirección IP-Especifique la dirección IP en la subred. A continuación, se crea la interfaz de red y se conecta al destino de montaje.

Cuando se adjunta el destino de montaje y se monta el recurso compartido, la VNI realiza una comprobación de la política de grupo de seguridad para garantizar que sólo las instancias de servidor virtual autorizadas puedan comunicarse con el recurso compartido.

Identificaciones suplementarias y grupos

Cuando un proceso se ejecuta en Unix y Linux, el sistema operativo identifica a un usuario con un ID de usuario (UID) y a un grupo con un ID de grupo (GID). Estos ID determinan a qué recursos del sistema puede acceder un usuario o grupo. Por ejemplo, si el ID de usuario del almacenamiento de archivos es 12345 y su ID de grupo es 6789, entonces el montaje en el nodo anfitrión y en el contenedor deben tener esos mismos IDs. El proceso principal del contenedor tendrá que coincidir con uno o ambos ID para poder acceder a la compartición de archivos.

Con la API y la CLI, puede establecer estos atributos para controlar el acceso a sus recursos compartidos de archivos cuando cree un recurso compartido de archivos. La API y la CLI proporcionan una propiedad initial owner en la que puede establecer los valores UID y GID. Dondequiera que monte la compartición compartida, la carpeta raíz donde se monte usará el propietario del GID o UID. Puede obtener información adicional consultando Añadir ID suplementarios al crear una compartición de archivos.

Compartición de datos de compartición de archivos entre cuentas y servicios

Los clientes que gestionan varias cuentas a veces encuentran que algunas de sus cuentas necesitan acceder y trabajar con los mismos datos. Los administradores con las autorizaciones correctas pueden compartir un sistema de archivos NFS entre cuentas, por lo que los datos de los que dependen sus aplicaciones están disponibles en los distintos sistemas de la empresa. El cliente también puede compartir sus recursos compartidos File Storage for VPC con el servicio IBM watsonx.

La autorización de servicio a servicio entre cuentas se utiliza para establecer la confianza entre el propietario de la compartición y las cuentas del descriptor de acceso. Una vez establecida la autorización, la cuenta propietaria del recurso compartido puede ver los ID de las cuentas que pueden montar el recurso compartido. La cuenta de acceso puede ver los recursos compartidos de NFS en su lista de recursos junto con la información del propietario del recurso. La cuenta de descriptor de acceso no puede editar las propiedades de la compartición de origen. Tampoco pueden suprimir la compartición de origen, pero pueden montarlos en sus propias VPC. Las cuentas accesorias pueden utilizar todos los datos del recurso compartido, lo que incluye las instantáneas que puedan estar presentes.

El propietario del recurso compartido tiene derecho a imponer el uso del cifrado en tránsito cuando la cuenta de acceso acceda a los datos del recurso compartido. El propietario de la acción puede establecer los modos de cifrado de tránsito permitidos para permitir user_managed o none, o ambos. Cuando allowed transit encryption modes del recurso compartido de origen se establece en user_managed, las cuentas de acceso al recurso compartido deben crear todos sus destinos de montaje con cifrado de tránsito user_managed. Todos los destinos de montaje que se creen para un recurso compartido de archivos deben tener el mismo modo de cifrado de tránsito.

Para obtener más información sobre cómo compartir y montar una compartición de archivos desde otra cuenta de IBM Cloud® o VPC, consulte Compartir y montar una compartición de archivos desde otra cuenta.

Compartir un archivo compartido con otras cuentas o servicios no es compatible con los archivos compartidos con modo de acceso a toda la VPC.

Gestión de la seguridad y conformidad

File Storage for VPC está integrado con Security and Compliance Center para ayudarle a gestionar la seguridad y la conformidad de su organización. Puede configurar objetivos que comprueben si los archivos compartidos están cifrados mediante claves gestionadas por el cliente. Si utiliza Security and Compliance Center para validar las configuraciones del servicio de archivos de su cuenta con respecto a un perfil, podrá identificar posibles problemas a medida que surjan.

Para obtener más información, consulte Iniciación a Security and Compliance Center. Para obtener más información sobre la creación de objetivos de seguridad y cumplimiento, consulte Definición de reglas en la documentación Seguridad y cumplimiento.

sucesos de seguimiento de actividad

Puedes usarIBM Cloud® Activity Tracker Event Routing para configurar cómo enrutar eventos de auditoría. Los eventos de auditoría son datos críticos para las operaciones de seguridad y un elemento clave para cumplir los requisitos de conformidad. Estos eventos se activan cuando crea, modifica o elimina un recurso compartido de archivos. Los eventos de seguimiento de actividad también se activan al establecer y utilizar la replicación de recursos compartidos de archivos. Para obtener más información, consulte Eventos de seguimiento de actividad para IBM Cloud VPC.

Registro del servicio de compartición de archivos

Después de aprovisionar IBM Cloud Logs para añadir capacidades de gestión de registros a su arquitectura IBM Cloud®, puede activar los registros de la plataforma para ver y analizar los registros del servicio File Storage for VPC. Para más información, ver Registro para VPC.

Etiquetas de usuario

Puede crear nuevas etiquetas de usuario o añadir etiquetas existentes cuando aprovisione un nuevo recurso compartido de archivos o actualice un recurso compartido de archivos existente. Puede crear, ver y gestionar etiquetas desde la interfaz de usuario, la CLI o la API, y eliminarlas en cualquier momento.

Las etiquetas de usuario se identifican unívocamente mediante un identificador de nombre de recurso en la nube (CRN). Cuando crea una etiqueta de usuario, proporciona un nombre único dentro de su cuenta de facturación. Puede definir las etiquetas de usuario en formato etiqueta o clave-valor. De manera subyacente, el servicio de archivos envía y recibe etiquetas directamente en el servicio GhoST. GhostT almacena sus atributos clave y la matriz de etiquetas. GhoST también almacena información sobre los recursos del usuario, para que pueda ver, etiquetar y buscar recursos de su propiedad.

Las etiquetas de usuario también pueden ser utilizadas por las políticas de copia de seguridad para crear instantáneas del recurso compartido automáticamente.

Para obtener más información, consulte Añadir etiquetas de usuario a comparticiones de archivos y Trabajar con etiquetas.

Etiquetas de gestión de acceso

Las etiquetas de gestión de accesos ayudan a organizar el control de accesos creando agrupaciones de recursos flexibles, permitiendo que los recursos de almacenamiento de archivos crezcan sin necesidad de actualizaciones en las políticas de IAM.

Puede crear etiquetas de gestión de acceso y, a continuación, aplicarlas a comparticiones de archivos nuevas o existentes y comparticiones de archivos de réplica. Utilice la interfaz de usuario de IAM o la API de búsqueda y etiquetado global para crear la etiqueta de gestión de acceso. A continuación, desde la interfaz de usuario o la API de VPC, añada las etiquetas a una compartición de archivos. Una vez añadidas las etiquetas, puede gestionar el acceso a ellas utilizando las políticas de IAM. Para obtener más información, consulte Añadir etiquetas de gestión de acceso a una compartición de archivos.