Condivisione e montaggio di una risorsa condivisa da un altro account

Condividi " File Storage for VPC " tra diversi account utilizzando le condivisioni di accesso con autorizzazione incrociata per l'accesso ai dati su più account.

Puoi anche condividere il tuo File Storage for VPC con il IBM watsonx servizio.

L'autorizzazione da servizio a servizio tra account viene utilizzata per stabilire un rapporto di fiducia tra l'account del proprietario della risorsa condivisa e quello dell'utente che vi accede. Inoltre, è necessario assegnare agli utenti la piattaforma IAM e i ruoli di servizio appropriati affinché possano svolgere le proprie mansioni. Per creare una condivisione di accesso all'interno dello stesso account della condivisione di origine, l'utente deve disporre dei ruoli " Share Broker " e " Editor". Per creare un accesso condiviso all'interno di un account diverso da quello di origine, l'utente deve disporre dei ruoli " Accesso remoto all'account condiviso " e " Modificatore". Per ulteriori informazioni, consultare la sezione " Ruoli e azioni IAM ".

Una volta configurata l'autorizzazione e assegnati i ruoli, è possibile creare una condivisione di accesso collegata alla condivisione di origine. La condivisione accessoria eredita il profilo, le dimensioni e il tipo di crittografia, sia in fase di archiviazione che in fase di trasmissione, dalla condivisione di origine. L'account di origine della condivisione può visualizzare gli ID degli account autorizzati a montare la condivisione " NFS ".

Quando viene creata la condivisione di accesso, questa viene collegata alla condivisione di origine tramite un collegamento di accesso. I collegamenti agli accessori sono risorse secondarie di proprietà della condivisione di origine e solo l'amministratore della condivisione di origine può recuperarli o eliminarli.

In qualità di utente con autorizzazione di accesso, non puoi modificare le proprietà della condivisione di origine né eliminarla. In qualità di accessor, è possibile montare la condivisione creando una condivisione accessor e una destinazione di montaggio per tale condivisione. A quel punto, potrai accedere e utilizzare i dati della condivisione di origine, comprese le istantanee eventualmente presenti.

La condivisione di una risorsa di file con altri account o servizi non è supportata per le risorse di file con modalità di accesso a livello di VPC "{: tag-deprecated} " ( [obsoleta]).

Politica di crittografia del transito

Il proprietario della quota può controllare le modalità di crittografia dei dati durante il trasferimento impostando le modalità di crittografia consentite per il trasferimento. Se questo campo non viene compilato, il sistema utilizza le modalità di crittografia predefinite consentite, definite nel profilo di condivisione selezionato. Quando un amministratore crea una destinazione di montaggio, deve scegliere una modalità di crittografia che corrisponda a una delle modalità consentite per la condivisione. Ad esempio, se si seleziona IPsec, tutte le destinazioni di montaggio per quella condivisione devono utilizzare IPsec per garantire la coerenza.

Per le condivisioni di file zonali, il proprietario della condivisione può scegliere tra le seguenti modalità di crittografia di transito: IPsec, nessuna o entrambe.

  • Se è abilitato IPsec, tutte le destinazioni di montaggio di Accessor devono utilizzare IPsec.
  • Se non viene applicata alcuna impostazione, la crittografia in transito non è consentita.
  • Se entrambi sono consentiti, gli account di accesso possono scegliere quale utilizzare.

Seleziona la disponibilità Per le condivisioni di file regionali, il proprietario della condivisione può scegliere tra le seguenti modalità di crittografia di transito: stunnel, nessuna o entrambe.

  • Se l'uso di stunnel è obbligatorio, tutte le destinazioni di montaggio degli accessori devono utilizzare stunnel.
  • Se non viene applicata alcuna impostazione, la crittografia in transito non è consentita.
  • Se entrambi sono consentiti, gli account di accesso possono scegliere quale utilizzare.

Le condivisioni di file create prima del rilascio della funzionalità di accesso tra account (18 giugno 2024) presentano un tipo di crittografia di transito consentito basato sulle rispettive destinazioni di montaggio esistenti. A partire da tale data, sarà necessario specificare il tipo di crittografia di transito consentito al momento della creazione delle condivisioni di file. Tutti i target di montaggio creati per una condivisione di file devono avere lo stesso tipo di crittografia di transito.

Creazione di una condivisione di accesso nella console

Nella console di IBM Cloud, è possibile creare una condivisione di accesso con o senza una destinazione di montaggio. Tuttavia, è necessario creare una destinazione di montaggio quando si desidera montare la condivisione su un'istanza di server virtuale.

Creazione di una condivisione di accesso nella console senza una destinazione di montaggio

  1. In “ IBM Cloud console ”, fare clic sull’icona “ Menu di navigazione ” icona del menu > Infrastrutture Icona VPC > Archiviazione > Condivisioni di archiviazione file. Viene visualizzato un elenco delle condivisioni di file.

  2. Nella pagina "Condivisioni di archiviazione file per VPC", fare clic su Crea > Crea condivisione di accesso.

  3. Immettere le seguenti informazioni.

Valori per la creazione di una condivisione di file
Campo Valore
Nome della condivisione accessor Specificare un nome significativo per la condivisione di accesso. Il nome della condivisione file può contenere fino a 63 caratteri alfanumerici in minuscolo, compreso il trattino (-), e deve iniziare con una lettera minuscola. Puoi modificare successivamente il nome, se lo desideri.
CRN della condivisione remota Inserisci il CRN della condivisione file di origine.

  1. Fai clic su Crea.

  2. Si torna alla pagina " File Storage for VPC ", dove un messaggio indica che la condivisione di file è in fase di configurazione. Una volta completata la transazione, lo stato della quota passa a “Attivo ”.

Creazione di una condivisione di accesso tramite la CLI

Prima di iniziare

Prima di poter utilizzare la CLI, è necessario installare la CLI di “ IBM Cloud ” e il plug-in CLI per VPC. Per ulteriori informazioni, consultare i prerequisiti della CLI.

Creazione di una condivisione di accesso senza destinazione di montaggio tramite la CLI

È possibile utilizzare il comando ibmcloud is share-create per configurare una condivisione di file nella zona selezionata utilizzando il CRN della condivisione di origine.

ibmcloud is share-create --name my-accessor-share --origin-share CRN

ibmcloud is share-create --name my-accessor-share --origin-share crn:v1:bluemix:public:is:us-south-2:a/7654321::share:r006-d73v40a6-e08f-4d07-99e1-d28cbf2188ed

Creating file share my-file-share under account Test Account as user test.user@ibm.com...
ID                               r006-b696742a-92ee-4f6a-bfd7-921d6ddf8fa6
Name                             my-accessor-share
CRN                              crn:v1:bluemix:public:is:us-south-2:a/1234567::share:r006-b696742a-92ee-4f6a-bfd7-921d6ddf8fa6
Lifecycle state                  stable
Access control mode              security_group
Accessor binding role            accessor
Allowed transit encryption modes ipsec,none
Origin share                     CRN                                                                                             Name            Remote account  Remote region
                                 crn:v1:bluemix:public:is:us-south-2:a/7654321::share:r006-d73v40a6-e08f-4d07-99e1-d28cbf2188ed  my-origin-share a7654321        -
Zone                             us-south-2
Profile                          dp2
Size(GB)                         1000
IOPS                             1000
User Tags                        -
Encryption                       provider_managed
Mount Targets                    ID                          Name
                                 No mounted targets found.
Resource group                   ID                                 Name
                                 db8e8d865a83e0aae03f25a492c5b39e   Default
Created                          2024-06-25T22:15:15+00:00
Replication role                 none
Replication status               none
Replication status reasons       Status code   Status message
                                 -             -
Snapshot count                   0
Snapshot size                    0
Source snapshot                  -
Allowed Access Protocols         nfs4
Availability Mode                zonal
Bandwidth(Mbps)                  1
Storage Generation               1

La share di accesso eredita le seguenti caratteristiche dalla share di origine: profilo, dimensione, tipo di crittografia sia a riposo che in transito. Se si tenta di utilizzare questo comando con la proprietà --origin-share insieme ad altre proprietà quali --iops, --profile, --bandwidth e --replica-share, la richiesta non va a buon fine.

Per ulteriori informazioni sulle opzioni del comando, consultare ibmcloud is share-create.

Creazione di un target di montaggio per una condivisione di accesso tramite la CLI

Prima di eseguire il comando share-mount-target-create per creare una destinazione di montaggio per la condivisione di file, raccogliere le seguenti informazioni.

Quando si crea una destinazione di montaggio, è necessario specificare la condivisione di file a cui è destinata. È possibile utilizzare il nome o l'ID della condivisione file. È necessario specificare anche la VPC, indicando il suo ID o il suo nome. Il VPC deve essere univoco per ogni destinazione di montaggio. È inoltre necessario specificare il gruppo di sicurezza utilizzato per gestire l'accesso alla condivisione. I gruppi di sicurezza associati a una destinazione di montaggio devono consentire l'accesso in entrata per il protocollo TCP sulla porta NFS da tutti i server su cui si desidera montare la condivisione.

Infine, è necessario specificare i valori delle opzioni necessarie per creare un'interfaccia di rete virtuale per la destinazione di montaggio. Utilizza i comandi CLI appropriati per elencare le sottoreti disponibili, gli indirizzi IP riservati in una sottorete e i gruppi di sicurezza, in modo da ottenere le informazioni di cui hai bisogno.

L'esempio seguente crea una destinazione di montaggio con un'interfaccia di rete virtuale per una condivisione di file con modalità di accesso basata su gruppi di sicurezza.

ibmcloud is share-mount-target-create my-accessor-share --subnet my-subnet --name my-cli-share-mount-target-1 --vni-name my-share-vni-1  --vni-sgs my-sg --resource-group-name Default --vpc my-vpc

Mounting target for share r006-b696742a-92ee-4f6a-bfd7-921d6ddf8fa6 under account Test Account as user test.user@ibm.com...
ID                          r006-dd497561-c7c9-4dfb-af0a-c84eeee78b61
Name                        my-cli-share-mount-target-1
VPC                         ID                                          Name
                            r006-912b5ac5-4ed1-4b2a-8f09-5fd8d79f6042   my-vpc
Access control mode         security_group
Resource type               share_mount_target
Virtual network interface   ID                                          Name             Protocol State Filtering Mode
                            0727-709ccc60-0c43-45cb-87b6-7ea1e37ef423   my-share-vni-1   auto
Lifecycle state             stable
Mount path                  10.240.64.5:/2be3efe6_6dff_46ea_9cec_b397f3141faf
Transit Encryption          none
Created                     2024-09-16T21:27:09+00:00

Per ulteriori informazioni sulle opzioni del comando, consultare ibmcloud is share-mount-target-create.

Creazione di una condivisione di accesso con una destinazione di montaggio tramite la CLI

È possibile creare una condivisione di accesso con una o più destinazioni di montaggio in un unico passaggio utilizzando il comando ibmcloud is share-create . È necessario specificare il nome della zona e il CRN della condivisione di origine. La condivisione accessoria eredita il profilo, le dimensioni e il tipo di crittografia, sia in fase di archiviazione che durante il trasferimento, dalla condivisione di origine. È inoltre possibile specificare un nome, dei tag utente e persino l'UID del proprietario iniziale. Per creare la destinazione di montaggio, è necessario fornire le informazioni relative alla stessa in formato JSON.

L'esempio seguente illustra come creare una condivisione di accesso con una destinazione di montaggio.

ibmcloud is share-create --name my-new-accessor-share --origin-share crn:v1:bluemix:public:is:us-south-2:a/7654321::share:r006-d73v40a6-e08f-4d07-99e1-d28cbf2188ed --mount-targets '
>[{"name":"my-new-mount-target","virtual_network_interface": {"name":"my-vni","subnet": {"id":"r006-298acd6c-e71e-4204-a04f-fe4a4dd89805"}}}]'

Creating file share my-new-file-share under account Test Account as user test.user@ibm.com...
ID                               r006-925214bc-ded5-4626-9d8e-bc4e2e579232
Name                             my-new-accessor-share
CRN                              crn:v1:bluemix:public:is:us-south-2:a/a1234567::share:r006-925214bc-ded5-4626-9d8e-bc4e2e579232
Lifecycle state                  pending
Access control mode              security_group
Accessor binding role            accessor
Allowed transit encryption modes ipsec,none
Origin share                     CRN                                                                                             Name            Remote account  Remote region
                                 crn:v1:bluemix:public:is:us-south-2:a/7654321::share:r006-d73v40a6-e08f-4d07-99e1-d28cbf2188ed  my-origin-share a7654321        -
Zone                             us-south-2
Profile                          dp2
Size(GB)                         500
IOPS                             2000
User Tags                        env:dev
Encryption                       provider_managed
Mount Targets                    ID                                          Name
                                 r006-ad313f6b-ccb5-4941-a5f7-0c953f1043df   my-new-mount-target
Resource group                   ID                                 Name
                                 db8e8d865a83e0aae03f25a492c5b39e   Default
Created                          2024-06-25T00:30:11+00:00
Replication role                 none
Replication status               none
Replication status reasons       Status code   Status message
                                 -             -
Snapshot count                   0
Snapshot size                    0
Source snapshot                  -
Allowed Access Protocols         nfs4
Availability Mode                zonal
Bandwidth(Mbps)                  1
Storage Generation               1

Creazione di una condivisione di accesso tramite l'API

È possibile creare condivisioni di file e destinazioni di montaggio richiamando direttamente le API REST.

Prima di iniziare

Configura il tuo ambiente API. Definisci le variabili per il token IAM, l'endpoint API e la versione API. Per le istruzioni, vedi Configurazione del tuo ambiente API e CLI.

Creazione di una condivisione di accesso tramite l'API

Invia una richiesta “ POST /shares ” per creare una condivisione di file.

L'esempio seguente illustra una richiesta di creazione di una condivisione di accesso utilizzando il CRN della condivisione di origine. La share di accesso eredita le seguenti caratteristiche dalla share di origine: profilo, zona, dimensione, IOPS, tipo di crittografia, sia a riposo che in transito. Anche i valori di initial_owner, access_control_mode e encryption_key vengono ereditati da origin_share.

curl -X POST \
"$vpc_api_endpoint/v1/shares?version=2024-06-25&generation=2"\
  -H "Authorization: Bearer $iam_token" \
  -d '{
  "name": "my-accessor-share",
  "user_tags": ["string"],
  "origin_share": {"crn": "crn:v1:bluemix:public:is:us-south-1:a/a1234567::share:0fe9e5d8-0a4d-4818-96ec-e99708644a58"}
}

Una risposta corretta è simile all'esempio riportato di seguito.

  {
  "access_control_mode": "security-group",
  "allowed_transit_encryption_modes": ["none", "ipsec"],
  "created_at": "2024-05-06T23:31:59Z",
  "crn": "crn:[...]",
  "encryption": "provider_managed",
  "href": "https://us-south.iaas.cloud.ibm.com/v1/shares/ff859972-8c39-4528-91df-eb9160eae918",
  "id": "ff859972-8c39-4528-91df-eb9160eae918",
  "iops": 48000,
  "lifecycle_state": "stable",
  "name": "my-accessor-share",
  "profile": {
    "href": "https://us-south.iaas.cloud.ibm.com/v1/share/profiles/dp2",
    "name": "dp2",
    "resource_type": "share_profile"
    },
  "replication_role": "none",
  "replication_status": "none",
  "replication_status_reasons": [],
  "resource_group": {
    "crn": "crn:[...]",
    "href": "https://resource-controller.cloud.ibm.com/v2/resource_groups/6b45d0aa-e0a6-478b-a5d9-bb45b106676d",
    "id": "6b45d0aa-e0a6-478b-a5d9-bb45b106676d",
    "name": "Default"
    },
  "resource_type": "share",
  "size": 4800,
  "snapshot_count": 10,
  "snapshot_size": 10,
  "user_tags": ["string"],
  "zone": {
    "href": "https://us-south.iaas.cloud.ibm.com/v1/regions/us-south/zones/us-south-1",
    "name": "us-south-1"}
  }

Creazione di un target di montaggio per una condivisione di file tramite l'API

Se la modalità di controllo degli accessi della condivisione è " security_group", la destinazione di montaggio deve essere creata con un'interfaccia di rete virtuale. Quando la modalità di crittografia in transito consentita per la condivisione è “ ipsec ”, anche il valore “ transit_encryption ” della destinazione di montaggio deve essere “ ipsec ”.

Effettua una richiesta “ POST /shares/{share_id}/mount_targets ” e specifica una sottorete e un gruppo di sicurezza per l’interfaccia di rete di destinazione del montaggio. I gruppi di sicurezza associati a una destinazione di montaggio devono consentire l'accesso in entrata per il protocollo TCP sulla porta NFS da tutti i server su cui si desidera montare la condivisione.

Questo esempio aggiunge una destinazione di montaggio a una condivisione di accesso esistente, identificata dall'ID, e specifica una sottorete e un gruppo di sicurezza per creare l'interfaccia di rete.

 curl -X POST "$vpc_api_endpoint/v1/shares/r006-201487a2-cf35-4b2a-a4fe-f480803e1e80/mount_targets/?version=2023-07-18&generation=2"\
 -d '{
     "virtual_network_interface": {
        "subnet": {"id": "1a0b3d75-8a62-4c78-9263-f9bcd25a8759"},
        "security_groups": [{"id": "b2599112-7027-480e-ad1b-fd917d2fcb84"}]
     },
     "transit_encryption": "user_managed"
}'

Creazione di una condivisione file e di una destinazione di montaggio con Terraform

Per utilizzare Terraform, scarica la CLI di Terraform e configura il plug-in del provider IBM Cloud®. Per ulteriori informazioni, consultare il sito Guida introduttiva a Terraform.

I servizi di infrastruttura VPC utilizzano un endpoint regionale specifico, che per impostazione predefinita punta a us-south. Se la tua VPC è stata creata in un'altra regione, assicurati di specificare la regione corretta nel blocco del provider nel file provider.tf .

Si veda il seguente esempio di impostazione di una regione diversa da quella predefinita us-south.

provider "ibm" {
   region = "eu-de"
}

Creazione di una condivisione di accesso con Terraform

Per creare una condivisione di accesso, utilizzare la risorsa ibm_is_share. La share di accesso eredita le seguenti caratteristiche dalla share di origine: profilo, dimensione, tipo di crittografia sia a riposo che in transito.

resource "ibm_is_share" "example-origin" {
  allowed_transit_encryption_modes = ["ipsec", "none"]
  access_control_mode = "security_group"
  name    = "my-share"
  size    = 200
  profile = "dp2"
  zone    = "au-syd-2"
}
resource "ibm_is_share" "example-accessor" {
  origin_share {
    crn   = ibm_is_share.example-origin.crn
  }
  name  = "my-accessor-share-1"
}

Creazione di un target di montaggio con Terraform

Per creare una destinazione di montaggio per una condivisione di file, utilizzare la risorsa ibm_is_share_mount_target. L'esempio seguente crea una destinazione di montaggio con modalità di controllo dell'access security_group. Per prima cosa, specificare la condivisione per la quale viene creata la destinazione di montaggio. A questo punto, si specifica il nome della destinazione di montaggio e si definisce la nuova interfaccia di rete virtuale indicando un indirizzo IP e un nome. È inoltre necessario specificare il gruppo di sicurezza che si desidera utilizzare per gestire l'accesso alla condivisione di file a cui è associata la destinazione di montaggio. I gruppi di sicurezza associati a una destinazione di montaggio devono consentire l'accesso in entrata per il protocollo TCP sulla porta NFS da tutti i server su cui si desidera montare la condivisione. L'attributo " auto_delete = true " indica che l'interfaccia di rete virtuale viene eliminata se viene eliminata la destinazione di montaggio.

resource "ibm_is_share_mount_target" "zonal-mount-target-with-vni" {
     access_protocol    = "nfs4"
     name               = "my-zonal-mount-target"
     share              = ibm_is_share.is_share.ID
     security_groups    = [<security_group_ids>]
     transit_encryption = "ipsec"
     virtual_network_interface {
       name             = "my-example-vni"
       primary_ip {
          address       = “10.240.64.5”
          auto_delete   = true
          name          = "my-example-pip"
         }
     }
   }

L'esempio precedente abilita la crittografia in transito per una condivisione di file a livello di zona. Se si desidera proteggere i dati con la crittografia in transito per una condivisione regionale, specificare l'argomento transit_encryption come stunnel``.

Per ulteriori informazioni sugli argomenti e sugli attributi, consultare ibm_is_share_mount_target.

Creazione di una condivisione di accesso con una destinazione di montaggio con modalità di accesso basata su gruppi di sicurezza

Non è necessario creare separatamente la condivisione file e la destinazione di montaggio. Per creare una condivisione di file con una destinazione di montaggio che consenta l'autenticazione basata su gruppi di sicurezza all'interno di una VPC, utilizzare la risorsa ibm_is_share. La share di accesso eredita le seguenti caratteristiche dalla share di origine: profilo, dimensione, tipo di crittografia sia a riposo che in transito. Specificare la modalità di controllo degli accessi come “ security_group ” e definire la destinazione di montaggio fornendone un nome e i dettagli dell’interfaccia di rete virtuale, quali nome, sottorete o indirizzo IP. Inoltre, specificare i gruppi di sicurezza che si desidera utilizzare per controllare l'accesso alla condivisione di file. I gruppi di sicurezza associati a una destinazione di montaggio devono consentire l'accesso in entrata per il protocollo TCP sulla porta NFS da tutti i server su cui si desidera montare la condivisione.

resource "ibm_is_share" "share4" {
   zone                   = "us-south-2"
   name                   = "my-share4"
   origin_share {
       id                 = ibm_is_share.example-origin.id
       }
   access_control_mode    = "security_group"
   mount_target {
       access_protocol    = "nfs4"
       name               = "my-mount-target"
       security_groups    = [<security_group_ids>]
       transit_encryption = "ipsec"
       virtual_network_interface {
           primary_ip {
              address     = "10.240.64.5"
              auto_delete = true
              name        = "my-example-pip"
           }
    }
   }
}

Per ulteriori informazioni sugli argomenti e sugli attributi, consultare ibm_is_share.

Passi successivi

Montare le condivisioni di file. Il montaggio è un processo mediante il quale il sistema operativo di un server rende disponibili agli utenti i file e le directory presenti sul dispositivo di archiviazione, affinché possano accedervi tramite il file system del server. Per ulteriori informazioni, vedi i seguenti argomenti:

La creazione di snapshot di una condivisione Accessor non è supportata. Tuttavia, se la share di origine contiene delle istantanee, è possibile accedervi nella directory .snapshot. Per ulteriori informazioni, consultare la sezione " Ripristino dei file da uno snapshot ".