開始使用 IPsec 設定傳輸中加密之前

要使用此功能，需要滿足以下要求：

• 檔案共用必須基於 dp2 設定檔，並配置為 安全群組存取模式。
• 掛載目標必須使用 虛擬網路介面 建立。 虛擬伺服器實體和掛載目標必須是同一個 安全群組的 成員。 如需詳細資訊，請參閱 建立檔案共用和掛載目標。
• 必須啟用傳輸中的資料加密。 在主控台中，您可以在建立掛載目標時開啟傳輸中加密。 API transit_encryption 屬性接受 ipsec 值來啟用該功能。
• 必須在計算主機上啟用元資料服務。 如需詳細資訊，請參閱 虛擬伺服器實體上的 Metadata 服務 和 裸機伺服器上的 Metadata 服務。

IBM Cloud® 檔案服務提供了一個「掛載助手」（Mount Helper）公用程式，用 以自動化在運算主機上執行的以下任務。

如果要將檔案共用連接至在區域中不同 VPC 執行的實體，您可以建立多個掛載目標。 您可以為每個 VPC 建立一個掛載目標。

取得實例身分證書

取得驗證所需的 X.509 憑證。 相同的憑證不能跨區域使用。

1. 以下指令會使用 openssl 產生證書簽章請求 (CSR) 和 RSA 金鑰對。

   openssl req -sha256 -newkey rsa:4096 -subj '/C=US' -out ./sslcert.csr -keyout file.key -nodes
   

   執行指令時，請將 '/C=US' 中的國家代碼 US 替換為您的兩位數國家代碼。

   OpenSSL 這是一個開源的命令列工具集，可用於處理 X.509 憑證、憑證簽署請求（CSR）以及加密金鑰。 如需更多資訊，請參閱 OpenSSL 文件。

   如果您使用不同的軟體來建立 CSR，可能會提示您輸入位置資訊。 您的位置資訊可以包括國家代碼 (C)、州 (ST)、地區 (L)、您的組織名稱 (O) 以及組織單位 (OU)。 可以使用任何一個命名屬性。 任何其他命名屬性，例如通用名稱，都會被拒絕。 指定 Common Name 的 CSR 會被拒絕，因為當您提出請求時，系統會自動將實體 ID 值套用到實體識別證 書的主題 Common Name。 具有延展功能的 CSR 也會被拒絕。

2. 在向元資料服務發出 API 呼叫之前，請使用下列指令格式化 csr。

   awk 'NF {sub(/\r/, ""); printf "%s\\n",$0;}' sslcert.csr
   

3. 然後，使用 虛擬伺服器實例 或 裸機伺服器 上的元資料服務建立用戶端憑證。

   1. 進行 PUT /instance_identity/v1/token (虛擬伺服器實體) 或 PUT /identity/v1/tokens (裸金屬伺服器) 請求，從 VPC 識別服務取得用於後續呼叫的令牌。 如需相關資訊，請參閱下列主題：
      • 取得實例身分存取權限。
      • 取得裸機伺服器身分存取權限。
   2. 使用身分令牌建立身分證書。 對虛擬伺服器實例提出 POST /instance_identity/v1/certificates 請求，或對裸機伺服器提出 POST /identity/v1/certificates 請求。 在 HTTP 授權標頭中指定身份符記，加上憑證簽章請求 (作為 csr 屬性) 和有效期 (作為 expires_in 屬性)。 該呼叫會傳回新的用戶端憑證和中間憑證鏈，允許用戶端使用 IPsec Encryption in Transit 存取檔案共用。 如需相關資訊，請參閱下列主題：
      • 使用實例身分存取令牌產生實例身分證書。
      • 使用裸機伺服器身分存取令牌產生裸機伺服器身分證書。
   3. 複製 API 回應輸出，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 兩行，並將其儲存到具有可識別名稱的檔案中，例如 ca-cert.pem。 請確定您建立的檔案副檔名是 .pem。

4. 複製 /etc/ipsec.d/cacerts 目錄中的實體識別證 書。

   sudo cp /tmp/ca-cert.pem /etc/ipsec.d/cacerts