NFS 版本

File Storage for VPC 需要 NFS V v4.1 或更高版本。 当多个用户合作并在文件共享上运行一系列读和写操作时，将通过本机 NFS 协议的锁定机制来实现数据一致性。 NFS version 4.1 包含对咨询字节范围文件锁定的支持。 字节范围锁定用于将活动序列化为文件中的某个字节范围。 作为一种咨询锁定机制，它不阻止访问任何应用程序，但为应用程序提供了一种通过获取锁定和查询是否持有锁定进行合作通信的机制。 有关更多信息，请参阅 RFC8881。

安装目标访问方式

创建或更新安装目标时，可以指定希望在文件共享上访问安装目标的方式。 您有两个选择：

• 使用 安全组访问 方式来授权访问子网中特定虚拟服务器实例的文件共享。 此选项可用于基于 dp2 概要文件的较新文件共享。 可以选择封装授权虚拟服务器实例与文件共享之间的通信。 有关更多信息，请参阅 传输中的加密。 还支持跨区域安装。

• 使用 VPC 访问 方式来允许对裸机服务器或 VPC 的同一区域中的任何虚拟服务器实例的文件共享进行访问。 此选项可用于所有 文件共享概要文件。 对于具有 VPC 访问方式的共享，不支持传输中数据的跨区域安装和加密。 采用 VPC 访问模式的共享也不支持快照。

  在较新的MZR中不支持VPC访问模式，例如Montreal（ca-mon）。

跨区域安装目标

为具有安全访问组模式的共享创建挂载目标时，可以在文件共享的区域中附加具有特定保留 IP 的 VNI。 通过使用这种挂载目标，可以将 1 区的文件共享挂载到 2 区的虚拟服务器实例上。 当服务器和文件共享位于不同区域时，由于流量在区域间传递，性能可能会受到影响。

不支持跨区挂载具有全 VPC 访问模式的文件共享。

用于创建和管理共享、访问绑定和挂载目标的 IAM 角色

File Storage for VPC 需要 IAM 权限来进行基于角色的访问控制。 根据指定的角色，您可以创建和管理文件共享。 有关详细信息，请参阅 File Storage for VPC 的 IAM 角色和操作。

有关更多信息，请参阅分配访问权的最佳实践。 有关完整的 IAM 过程（包括邀请用户加入帐户和分配 Cloud IAM 访问权），请参阅 IAM 入门教程。

IAM 服务对服务授权

您可以使用 Cloud Identity and Access Management (IAM) 来创建或删除授权，允许一个服务访问另一个服务。 对于 Block Storage for VPC，您需要创建服务对服务授权，以配置客户管理加密、跨区域复制、跨账户访问和备份。 更多信息，请参阅 建立服务对服务授权。

基于上下文的限制

您可以对所有文件共享操作启用基于上下文的限制 (CBR)。 这些限制适用于基于身份的传统 IAM 策略，以提供额外的保护层。 与 IAM 策略不同，基于上下文的限制不会分配访问权。 基于上下文的限制检查访问请求是否来自您配置的允许上下文，例如创建文件共享。 有关更多信息，请参阅 使用基于上下文的限制保护虚拟私有云(VPC)基础架构服务。

静态加密

缺省情况下，使用 IBM管理的加密对文件共享进行静态加密。

您可以将自己的客户根密钥 (CRK) 引入云以进行客户管理的加密，也可以让密钥管理服务 (KMS) 为您生成密钥。 您可以在 创建加密文件共享 时选择根密钥。 有关更多信息，请参阅 客户管理的加密。

为文件共享指定加密类型后，无法对其进行更改。

传输中加密

您可以使用 IPsec 在授权虚拟服务器实例与存储系统之间 建立加密安装连接。 对于基于 dp2 概要文件的文件共享，使用虚拟网络接口创建的安装目标可以支持传输中的加密。 安装目标可以用于源或副本共享。

如果要将文件共享连接到区域中不同 VPC 中运行的实例，那么可以创建多个安装目标。 您可以为每个 VPC 创建一个挂载目标。

如果选择使用“传输中的加密”，那么需要在性能与增强的安全性之间平衡您的需求。 由于需要对端点上的数据进行加密和解密，因此对传输中的数据进行加密可能会对性能产生一些影响。 影响取决于工作负载特征。 在启用 EIT 时，执行同步写入或绕过 VSI 高速缓存 (例如数据库) 的工作负载可能会对性能产生重大影响。 要确定 EIT 的性能影响，请在使用和不使用 EIT 的情况下对工作负载进行基准测试。

即使没有 EIT，数据也会通过安全的数据中心网络进行传输。 有关网络安全性的更多信息，请参阅 VPC 中的安全性 和 使用基于上下文的限制保护虚拟私有云(VPC)基础架构服务。

File Storage for VPC只有在启用传输中加密时才会被视为金融服务验证服务。 如需了解更多信息，请参阅 什么是金融服务验证服务。

Bare Metal Servers for VPC 或在 Red Hat Enterprise Linux CoreOS (RHCOS) 上运行的虚拟服务器实例不支持传输中加密。

精细授权

您可以将文件共享的访问控制模式设置为使用 安全组。 然后，创建一个带有 虚拟网络接口 的挂载目标。 使用此挂载目标挂载文件共享时，创建的文件共享网关会提供 1:1:1 的细粒度授权。

与安装目标关联的安全组充当虚拟防火墙，用于控制安装目标与计算主机之间的流量。

您可以选择特定安全组或使用 VPC 的缺省安全组。 通过修改 VPC 中安全组的规则，可以限制一个或多个特定虚拟服务器实例或裸机服务器对文件共享的访问。

要在虚拟服务器实例与安装目标之间启用流量，必须在安全组中配置以下规则:

• 附加到挂载目标的安全组必须允许从要挂载文件共享的所有服务器 NFS 端口对 TCP 协议的入站访问。
• 要安装文件共享的每个虚拟服务器实例都必须具有允许对 NFS 端口上的安装目标进行出站访问的安全组。

您可以通过允许安全组成员之间的所有流量，以更动态的方式配置安全组。 然后，将此安全组连接到虚拟服务器实例的网络接口和安装目标的虚拟网络接口。 有关更多信息，请参阅 允许安全组成员之间的流量。

还建议允许 UDP 端口 500 和 4500。 UDP 端口 500 用于因特网密钥交换 (IKE) 以管理加密密钥，UDP 端口 4500 用于 IPsec NAT-遍历 (NAT-T)。 VPC 的 VPN 网关仅接受具有 UDP 封装 IPsec ESP 信息包 的 VPN 信息包。

创建挂载目标时，可以为虚拟网络接口指定子网和保留 IP 地址。 您还可以让服务在指定子网中为您选择一个 IP 地址。 安装目标必须具有 VPC 专用 IP 地址，并且该 IP 地址必须位于与共享位于同一专区中的子网中。 以后无法更改分配给安装目标的 IP 地址。

使用虚拟网络接口创建安装目标时，将通过以下任一方式确定其 IP 地址:

• 按子网-指定子网并允许系统从该子网中的保留 IP 地址选择 IP 地址。 使用所选 IP 地址创建网络接口，然后将该网络接口连接到文件共享安装目标。

• 按子网和 IP 地址-指定子网中的 IP 地址。 然后，将创建网络接口并将其连接到安装目标。

附加挂载目标并挂载共享后，VNI 会执行安全组策略检查，以确保只有授权的虚拟服务器实例才能与共享通信。

![文件共享挂载目标](images/vni-fs-arch.svg "带有挂载目标的文件共享连接到虚拟" caption-side="bottom"}的文件共享挂载目标"){: caption="

补充 ID 和组

当进程在 Unix 和 Linux上运行时，操作系统将标识具有用户标识 (UID) 的用户和具有组标识 (GID) 的组。 这些标识确定用户或组可访问的系统资源。 例如，如果文件存储器用户标识为 12345，其组标识为 6789，那么主机节点和容器中的安装必须具有相同的标识。 容器的主进程必须与其中一个或两个标识匹配才能访问文件共享。

在创建文件共享时，可以使用 API 和 CLI 设置这些属性，以控制对文件共享的访问。 API 和 CLI 提供了 initial owner 属性，您可以在此设置 UID 和 GID 值。 无论您在何处安装文件共享，安装该文件共享的根文件夹都将使用该 UID 或 GID 所有者。 有关更多信息，请参阅 创建文件共享时添加补充标识。

在帐户和服务之间共享文件共享数据

管理多个帐户的客户有时会发现他们的一些帐户需要访问和使用相同的数据。 具有正确权限的管理员可以跨帐户共享 NFS 文件系统，因此其应用程序所依赖的数据在公司内的不同系统中可用。 客户还可以与 IBM watsonx 服务共享其 File Storage for VPC 共享。

跨帐户 服务到服务授权 用于在共享所有者和存取器帐户之间建立信任。 授权设置到位后，共享所有者账户就可以看到可以挂载共享文件共享的账户 ID。 访问者账户可以在其资源列表中看到共享的 NFS 共享以及共享所有者信息。 存取器帐户无法编辑源共享的属性。 他们也无法删除源共享，但可以将其安装在自己的 VPC 中。 访问者账户可以使用共享的所有数据，包括可能存在的快照。

当访问者账户访问文件共享数据时，共享所有者有权在传输过程中强制使用加密。 共享所有者可将允许的传输加密模式设置为 user_managed 或 none，或两者兼而有之。 当原始共享的 allowed transit encryption modes 设置为 user_managed 时，共享访问者账户必须使用 user_managed 中转加密创建其所有挂载目标。 为一个文件共享创建的所有挂载目标必须具有相同的传输加密模式。

有关从另一个 IBM Cloud® 帐户或 VPC 共享和安装文件共享的更多信息，请参阅 从另一个帐户共享和安装文件共享。

对于具有VPC范围访问模式的文件共享，不支持与其他账户或服务共享文件

管理安全性与合规性

File Storage for VPC 与 Security and Compliance Center 集成，以帮助您管理组织的安全性和合规性。 您可以设置目标，以检查是否使用客户管理的密钥对文件共享进行了加密。 通过使用 Security and Compliance Center 来针对概要文件验证帐户中的文件服务配置，您可以在出现潜在问题时识别这些问题。

有关更多信息，请参阅 Security and Compliance Center。 有关创建安全性与合规性目标的更多信息，请参阅“安全性与合规性”文档中的 定义规则。

活动跟踪事件

您可以使用 IBM Cloud® Activity Tracker Event Routing 配置如何路由审计事件。 审计事件是安全操作的关键数据，也是满足合规要求的关键因素。 创建、修改或删除文件共享时会触发此类事件。 建立和使用文件共享复制时，也会触发活动跟踪事件。 有关详细信息，请参阅 IBM Cloud VPC。

文件共享服务的日志记录

配置 IBM® Log Analysis 以在 IBM Cloud® 体系结构中添加日志管理功能后，您可以启用平台日志以查看和分析 File Storage for VPC 服务的日志。 有关详细信息，请参阅 VPC 的日志。

用户标记

您可以在供应新的文件共享或更新现有文件共享时创建新的用户标记或添加现有标记。 您可以从 UI，CLI 或 API 创建，查看和管理标记，然后随时将其除去。

用户标签由云资源名称 (CRN) 标识符唯一标识。 创建用户标记时，将在计费帐户中提供唯一名称。 您可以使用标签或键值格式定义用户标记。 在后台，文件服务直接向 GhoST 服务发送和接收标记。 GhoST 存储其键属性和标记数组。 GhoST 还存储用户资源信息，因此您可以查看，标记和搜索您拥有的资源。

备份策略 也可以使用用户标签来自动创建共享的快照。

有关更多信息，请参阅 将用户标记添加到文件共享 和 使用标记。

访问权管理标记

访问管理标记通过创建灵活的资源分组来帮助组织访问控制，使文件存储资源无需更新 IAM 策略即可增长。

您可以创建访问管理标记，然后将其应用于新的或现有的文件共享和副本文件共享。 使用 IAM UI 或全局搜索和标记 API 来创建访问权管理标记。 然后，从 VPC UI 或 API 将标记添加到文件共享。 添加标记后，您可以使用 IAM 策略来管理对这些标记的访问权。 有关更多信息，请参阅 将访问管理标记添加到文件共享。