Udziały plików NFS Azure

Dotyczy: ✔️ udziałów plików NFS utworzonych przy użyciu Microsoft.Storage lub Microsoft.FileShares

Azure Files obsługuje dwa standardowe w branży protokoły montowania udziałów plików: protokół Server Message Block (SMB) oraz protokół Network File System (NFS). Wybierz protokół najlepiej pasujący do obciążenia. Udziały plików Azure nie obsługują dostępu do pojedynczego udziału plików Azure zarówno za pomocą protokołów SMB, jak i NFS. W przypadku klasycznych udostępnień plików możesz tworzyć oddzielne udziały plików SMB i NFS w ramach tego samego konta FileStorage. Microsoft.FileShares obecnie obsługuje tylko udziały plików NFS. Azure Files oferuje udziały plików klasy korporacyjnej, które można skalować w górę, aby zaspokoić potrzeby magazynowania i mogą być dostępne jednocześnie przez tysiące klientów na raz.

W tym artykule opisano udziały plików Azure NFS. Aby uzyskać informacje o udostępnianiu plików SMB w Azure, zobacz udostępnianie plików SMB w Azure Files.

Ważne

Udziały plików NFS Azure nie są obsługiwane w przypadku Windows. Przed rozpoczęciem korzystania z udziałów plików NFS Azure w środowisku produkcyjnym, zobacz Rozwiązywanie problemów z udziałami plików NFS Azure, aby zapoznać się z listą znanych problemów. Listy kontroli dostępu systemu plików NFS (ACL) nie są obsługiwane.

Typowe przypadki użycia udziałów plików Azure NFS

Udziały plików NFS działają dobrze z obciążeniami, takimi jak warstwa aplikacji SAP, kopie zapasowe bazy danych, replikacja bazy danych, kolejki obsługi komunikatów, katalogi główne dla serwerów plików ogólnego przeznaczenia i repozytoria zawartości dla obciążeń aplikacji.

Udziały plików NFS są często używane w następujących scenariuszach:

  • Magazyn zaplecza dla aplikacji opartych na systemach Linux/UNIX, takich jak aplikacje biznesowe napisane z użyciem interfejsów API systemu plików Linux lub POSIX
  • Obciążenia wymagające udziałów plików zgodnych z POSIX, rozróżniania wielkości liter lub uprawnień w stylu systemu Unix (UID/GID)
  • Tworzenie nowych aplikacji i usług, które wymagają losowego wejścia/wyjścia oraz hierarchicznej pamięci masowej

Funkcje udziału plików NFS platformy Azure

Udziały plików NFS Azure oferują w pełni zgodny system plików POSIX. Obsługiwane są twarde linki i linki symboliczne, ale nie można utworzyć twardego łącza z istniejącego łącza symbolicznego.

Udziały plików NFS Azure obecnie obsługują większość funkcji ze specyfikacji protokołu NFSv4.1. Niektóre funkcje, takie jak delegacje, wywołanie zwrotne wszystkich rodzajów, uwierzytelnianie Kerberos oraz listy kontroli dostępu (ACL), nie są obsługiwane.

Magazynowanie lokalnie nadmiarowe (LRS) i magazynowanie nadmiarowe strefowo (ZRS) są obsługiwane dla udziałów plików Azure NFS. Magazyn geograficznie nadmiarowy (GRS) i magazyn geograficznie nadmiarowy (GZRS) nie są dostępne dla udziałów NFS, ponieważ system plików NFS wymaga magazynu SSD, który nie obsługuje nadmiarowości geograficznej.

Obsługa udziałów plików NFS platformy Azure dla funkcji Azure Files

W poniższej tabeli przedstawiono bieżący poziom wsparcia funkcji dla udziałów plików NFS Azure. O ile nie zaznaczono inaczej, wsparcie dotyczy zarówno klasycznych udziałów plików (Microsoft.Storage), jak i udziałów plików utworzonych za pomocą Microsoft.FileShares.

Stan elementów wyświetlanych w tej tabeli może ulec zmianie wraz z upływem czasu, ponieważ wsparcie będzie nadal rozszerzane.

Funkcja magazynu Obsługiwane w przypadku udziałów NFS
Interfejs API REST płaszczyzny zarządzania plikami ✔️ Microsoft.Storage i Microsoft.FileShares
Płaszczyzna danych plików API REST ✔️ Tylko klasyczne udostępnienia plików
Szyfrowanie w spoczynku ✔️
Szyfrowanie podczas przesyłania ✔️
Redundancja typu LRS lub ZRS ✔️
Konwersja LRS na ZRS lub odwrotnie (tylko prywatne punkty końcowe) ✔️ Tylko klasyczne udostępnienia plików
Typy nadmiarowości: GRS lub GZRS ⛔
Strefy DNS Azure punkty końcowe (wersja zapoznawcza) ✔️ Tylko klasyczne udostępnienia plików
Prywatne punkty końcowe ✔️
Instalacja podkatalogu ✔️
Udziel dostępu sieciowego do określonych sieci wirtualnych Azure ✔️
Udzielanie dostępu sieciowego do określonych adresów IP ⛔
Warstwa multimediów SSD ✔️
Warstwa multimediów HDD ⛔
Uprawnienia POSIX ✔️
Squash główny ✔️
Uzyskiwanie dostępu do tych samych danych z klienta Windows i Linux ⛔
Uwierzytelnianie tożsamościowe ⛔
Miękkie usuwanie udziału plików Azure ✔️ Tylko klasyczne udostępnienia plików
Azure File Sync ⛔
Kopie zapasowe udziałów plików Azure ⛔
Migawki udziałów plikowych Azure ✔️
AzCopy ✔️ Tylko klasyczne udostępnienia plików
Eksplorator usługi Azure Storage ✔️ Tylko klasyczne udostępnienia plików
przeglądarka Azure Storage w portalu Azure ⛔
Obsługa ponad 16 grup ⛔

Uwaga

Limit 16 grup jest ograniczeniem protokołu NFS. Każdy użytkownik jest ograniczony do 16 identyfikatorów grup (GID) na połączenie.

Model zarządzania

Udziały plików NFS Azure obsługują dwóch dostawców zasobów najwyższego poziomu:

  • Microsoft.FileShares (zalecane w przypadku nowych wdrożeń NFS): tworzy samodzielny udział plików bez konta magazynowego. Obsługuje tylko aprowizowany model rozliczeń w wersji 2.
  • Microsoft.Storage (klasyczny): tworzy klasyczne udziały plików w ramach konta magazynu. Obsługuje aprowizowane modele rozliczeniowe v1 i v2 dla udziałów NFS.

Aby uzyskać pełne porównanie funkcji, zobacz Porównanie dostawców zasobów: Microsoft.Storage a Microsoft.FileShares.

Zabezpieczenia i sieć dla udziałów plików Azure NFS

Udziały plików NFS platformy Azure chronią dane dzięki szyfrowaniu danych w spoczynku i podczas przesyłania oraz wymagają stosowania kontroli dostępu na poziomie sieci zamiast uwierzytelniania opartego na użytkowniku.

Encryption

Usługa Azure Files szyfruje wszystkie przechowywane dane za pomocą funkcji szyfrowania usługi Azure Storage (SSE). Szyfrowanie usługi Storage działa podobnie do funkcji BitLocker w Windows: szyfruje dane poniżej poziomu systemu plików. Ponieważ szyfrowanie odbywa się poniżej poziomu systemu plików udziału plików platformy Azure, gdy dane są szyfrowane podczas zapisywania na dysku, nie potrzebujesz po stronie klienta dostępu do klucza bazowego, aby odczytywać lub zapisywać dane w udziale plików platformy Azure. Szyfrowanie danych w spoczynku dotyczy zarówno protokołów SMB, jak i NFS.

Zarówno klasyczne udziały plików, jak i udziały plików Microsoft.FileShares obsługują szyfrowanie TLS podczas przesyłania za pomocą pomocnika instalacji AZNFS. Konfigurujesz wymagania szyfrowania w różnych zakresach:

  • Microsoft. FileShares: Domyślnie wymagane jest szyfrowanie podczas transportu. To wymaganie konfigurujesz w poszczególnym udziale plików. Zobacz Zaawansowane ustawienia podczas tworzenia udziału plików.
  • Klasyczne udostępnienia plików: Konfigurujesz opcję Require Encryption in Transit for NFS na koncie magazynu. Dla nowych kont pamięci masowej utworzonych przez portal Azure to ustawienie jest domyślnie włączone. Gdy ustawienie ma wartość Nie jest wybrane, zasada Secure transfer required reguluje zachowanie szyfrowania NFS. Aby poznać domyślne ustawienia tworzenia i kroki konfiguracyjne, zobacz Wymuś szyfrowanie podczas transportu.

Azure zapewnia warstwę szyfrowania dla wszystkich danych przesyłanych między Azure centrami danych przy użyciu protokołu MACSec. Dzięki tej technologii szyfrowanie istnieje, gdy dane są przesyłane między Azure centrami danych.

Uwierzytelnianie i dostęp sieciowy

Ponieważ udziały plików NFS platformy Azure nie obsługują uwierzytelniania opartego na użytkownikach, polegają one na regułach dostępu sieciowego do uwierzytelniania klientów. Klienci muszą więc łączyć się przez prywatny punkt końcowy lub punkt końcowy usługi z ograniczeniami sieci wirtualnej.

Zarówno klasyczne udziały plików, jak i udziały plików Microsoft.FileShares obsługują te opcje połączenia. Dla klasycznych udostępnień plików konfigurujesz sieć na koncie magazynu. W przypadku Microsoft.FileShares konfigurujesz sieć dla pojedynczego udziału plików.

Prywatne punkty końcowe

Prywatny punkt końcowy zapewnia prywatny adres IP w twojej sieci wirtualnej, umożliwiający dostęp do udziału plików. Aby umożliwić dostęp tylko przez prywatne punkty końcowe, wyłącz dostęp do sieci publicznej. Obowiązują opłaty za Private Link.

Klienci mogą łączyć się z sieci wirtualnej lub z sparowanych sieci wirtualnych. Aby uzyskać dostęp do środowiska lokalnego, połącz sieć z siecią wirtualną przez VPN lub ExpressRoute.

Punkty końcowe usługi

Punkt końcowy usługi pozwala klientom w podsieci uzyskać dostęp do publicznego punktu końcowego udziału plików za pośrednictwem sieci szkieletowej platformy Azure. Włącz punkt końcowy usługi w podsieci klienta. Skonfiguruj reguły sieciowe udziału plików, aby zezwolić na dostęp z tej podsieci. Dozwolone podsieci mogą należeć do tej samej subskrypcji lub do innej, w tym do innego dzierżawcy Microsoft Entra. Nie ma dodatkowych opłat za punkty końcowe usługi.

Punkt końcowy usługi nie przypisuje prywatnego adresu IP do udziału plikowego. Jeśli rzadkie zdarzenie, takie jak awaria strefy, zmieni adres IP publicznego punktu końcowego, klienci mogą być zobowiązani do ponownego zamontowania udziału.

Opcjonalne filtrowanie ruchu wychodzącego

Reguły sieciowe udostępnionego pliku decydują, którzy klienci mogą uzyskać do niego dostęp. Nie ograniczają, do których innych zasobów pamięci masowej ci klienci mogą uzyskać dostęp. Na przykład klient, który może odczytać Twój udział plików, może kopiować dane do innego zasobu, do którego ma uprawnienia do zapisu.

W przypadku klasycznych udostępnień plików opcjonalnie można użyć polityki endpointów usług, aby ograniczyć, do których kont pamięci masowej klienci w podsieci mogą mieć dostęp przez punkty końcowe usługi. Ruch endpointów serwisowych omija Azure Firewall i wirtualne urządzenia sieciowe. Polityka filtruje miejsca docelowe na tej ścieżce. Nie ogranicza innych ścieżek wychodzących ani nie zastępuje reguł sieci i wymagań autoryzacyjnych miejsca docelowego.

Zasady punktów końcowych usług nie są obecnie obsługiwane w przypadku udziałów plików Microsoft.FileShares. Jeśli podsieć klienta ma politykę, klienci muszą korzystać z prywatnego punktu końcowego, aby uzyskać dostęp do tych udziałów plików. Więcej informacji można znaleźć w artykule Ogranicz ruch wychodzący za pomocą zasad punktów końcowych usługi.

Aby uzyskać więcej informacji na temat opcji sieci, zobacz Azure Files zagadnienia dotyczące sieci.

Dostępność regionalna udziału plików NFS na platformie Azure

Dostępność regionalna zależy od dostawcy zasobów i opcji redundancji:

Wydajność udziału plików Azure w usłudze NFS

Udziały plików Azure NFS są dostępne wyłącznie w udziałach plików SSD. Obaj dostawcy zasobów wspierają model rozliczeń provisioned v2, który pozwala niezależnie ustawiać przydzieloną pojemność, IOPS i przepustowość. Klasyczne udostępnienia plików obsługują również model rozliczeniowy provisioned v1, w którym IOPS i przepustowość skalują się automatycznie wraz z przydzieloną pojemnością. Aby uzyskać szczegółowe informacje na temat obu modeli, zobacz Omówienie rozliczeń Azure Files.

Typowe opóźnienia we/wy dla udziałów plików SSD Azure w przypadku małych operacji we/wy wynoszą kilka milisekund. Obciążenia z dużym obciążeniem metadanych, takie jak untar, mogą doświadczać większych opóźnień ze względu na dużą liczbę operacji otwierania i zamykania.

Aby uzyskać wskazówki dotyczące poprawy wydajności systemu plików NFS na dużą skalę, zobacz Poprawianie wydajności udziału plików NFS Azure.

Następne kroki

  • Ostatnia aktualizacja o