How to create an access point or configure an access point RAM policy - File Storage NAS

En la consola NAS, puede crear, consultar, eliminar y modificar puntos de acceso para sistemas de archivos NFS de NAS de uso general.

Requisitos previos

Se creó un sistema de archivos NFS de NAS de uso general. Para obtener más información, consulte Create a file system.

Nota

Puede crear y usar un punto de acceso para acceder a los datos de NAS incluso si no existe ningún destino de montaje o si uno existente está deshabilitado.

Límites

Esta función solo es compatible con los sistemas de archivos NFS de NAS de uso general.
Un solo sistema de archivos con protocolo NFS de NAS de uso general admite la creación de un máximo de 1,000 puntos de acceso en 2 vSwitches.

Nota
Las instancias ECS ubicadas en distintos vSwitches dentro de la misma VPC pueden acceder a un punto de acceso. Se recomienda crear varios puntos de acceso en el mismo vSwitch y elegir un vSwitch que se encuentre en la misma zona que NAS para lograr un rendimiento óptimo.

Creación de un punto de acceso

Inicie sesión en la consola NAS.
En el panel de navegación izquierdo, seleccione File System > Access Point.
En la barra de navegación superior, seleccione el resource group y la región donde se encuentra su sistema de archivos.
En la página Access Point, haga clic en Create Access Point.

En el panel Create Access Point, establezca a continuación los parámetros indicados.

Parámetro	Descripción
Información básica
File System	Seleccione el sistema de archivos NFS de NAS de uso general para el cual desea crear un punto de acceso.
VPC	Seleccione la VPC donde se encuentra su instancia ECS. Si no existe ninguna VPC, vaya a la consola VPC para crear una. Importante La VPC debe ser la misma que utiliza su instancia ECS. Si selecciona una VPC distinta, conecte las redes mediante Cloud Enterprise Network (CEN) antes de montar el sistema de archivos. Para obtener más información, consulte Mount a NAS file system across different VPCs in the same region by using CEN.
vSwitch	Seleccione un vSwitch en la VPC.
Permission Group	Seleccione un grupo de permisos. De forma predeterminada, se crea automáticamente un grupo de permisos de VPC para cada cuenta. Esto permite que cualquier dirección IP dentro de la misma VPC acceda al sistema de archivos a través del punto de acceso. También puede crear un grupo de permisos personalizado. Para obtener más información, consulte Manage permission groups.
Access Point Name	Especifique un nombre para el punto de acceso. Debe tener entre 2 y 128 caracteres de longitud. Debe comenzar con una letra mayúscula, una minúscula o un carácter chino. Puede contener dígitos, guiones bajos (_) y guiones (-).
Root Directory of Access Point	Especifique el directorio raíz del punto de acceso. Puede designar un subdirectorio del sistema de archivos NAS como directorio raíz. Los usuarios que accedan al sistema de archivos a través de este punto de acceso quedarán restringidos a dicho subdirectorio. Requisitos: La ruta debe comenzar con una barra diagonal (/). La ruta puede contener dígitos y letras. La ruta puede contener guiones bajos (_), guiones (-) y puntos (.). La ruta no puede contener enlaces simbólicos, como el directorio actual (.) o el directorio principal (..). Importante Si el directorio raíz del punto de acceso no existe, debe configurar los ajustes de Directory Creation. El sistema crea automáticamente el directorio raíz especificado según dicha configuración. Si este directorio raíz ya existe, puede omitir los ajustes de Directory Creation. El sistema ignora esta configuración si la proporciona.
Creación de directorio (obligatoria solo si el directorio raíz del punto de acceso no existe)
ID del propietario	Especifique el ID del propietario del directorio raíz. Valores válidos: de 0 a 4294967295.
ID del grupo del propietario	Especifique el ID del grupo del propietario del directorio raíz. Valores válidos: de 0 a 4294967295.
Permiso POSIX	Especifique el permiso POSIX del directorio raíz. El valor debe ser un número octal válido, como 0755.
Usuario POSIX (opcional) Importante Después de configurar un usuario POSIX, todas las operaciones de E/S realizadas a través de este punto de acceso utilizan la identidad POSIX configurada, lo que anula la identidad POSIX original del cliente. Si especifica un UID, también debe indicar un ID de grupo de usuarios.
UID	Especifique el ID de usuario POSIX para todas las operaciones del sistema de archivos realizadas a través de este punto de acceso. Valores válidos: de 0 a 4294967295.
ID del grupo de usuarios	Especifique el ID del grupo de usuarios POSIX para todas las operaciones del sistema de archivos realizadas a través de este punto de acceso. Valores válidos: de 0 a 4294967295.
ID de grupos secundarios (opcional)	Especifique los ID de grupos POSIX secundarios para todas las operaciones del sistema de archivos realizadas a través de este punto de acceso.

Haga clic en OK.

La creación de un punto de acceso tarda aproximadamente 10 minutos. Una vez creado, puede consultar su estado, nombre de dominio, sistema de archivos, directorio raíz y usuario POSIX en la lista de puntos de acceso. Cuando el punto de acceso entra en el estado Running, puede utilizarlo para montar el sistema de archivos NAS. Para obtener más información, consulte Access a file system by using an access point on a Linux instance.

(Opcional) Configuración de una política de punto de acceso

Una política de punto de acceso es una política de autorización personalizada para los clientes del punto de acceso. Permite otorgar permisos directamente a distintos usuarios o roles de RAM dentro de la misma cuenta, como acceso de lectura y escritura o acceso de cuenta root a los recursos del sistema de archivos. De este modo, se logra una gestión detallada de permisos.

Autorización

Cuando NAS recibe una solicitud de un nodo de cómputo, comprueba la política del punto de acceso para verificar si el solicitante cuenta con los permisos necesarios.

Límites de uso

Cuando se habilita una política de punto de acceso, se deniega el acceso de forma predeterminada a todas las cuentas (cuentas root, usuarios de RAM y roles de RAM). Por lo tanto, estas no pueden usar el punto de acceso para montar datos ni acceder a ellos. Para permitir que un usuario o rol de RAM utilice el punto de acceso, configure una política de permisos de cliente y otorgue los permisos necesarios.
Habilitar una política de punto de acceso en un punto de acceso que ya está montado y en uso puede interrumpir los servicios en ejecución.
Un usuario o rol de RAM con el permiso AliyunNASFullAccess para la gestión completa de sistemas de archivos NAS también obtiene, de forma predeterminada, todos los permisos de cliente sobre el punto de acceso. Este permiso representa un riesgo alto y no se recomienda. Para obtener más información, consulte What is the relationship between access point policies and the system policies AliyunNASFullAccess and AliyunNASReadOnlyAccess?.

Procedimiento

Habilite la política de RAM para el sistema de archivos al que pertenece el punto de acceso.
1. Inicie sesión en la consola NAS.
2. En el panel de navegación izquierdo, seleccione File System > Access Point.
3. En la barra de navegación superior, seleccione el resource group y la región donde se encuentra su sistema de archivos.
4. En la página Access Point, busque el punto de acceso deseado y haga clic en Manage en la columna Actions.
5. En la página de detalles del punto de acceso, haga clic en la pestaña Access Point Policy, active el interruptor RAM Policy y confirme la acción.
  
  El estado indica que la política de RAM está habilitada.

Configure una política de permisos para el cliente del punto de acceso.

Inicie sesión en la consola RAM con una cuenta de Alibaba Cloud.
En el panel de navegación izquierdo, seleccione Permissions > Policies.
En la página Policies, haga clic en Create Policy.
En la página Create Policy, haga clic en la pestaña Script Editor.

Configure el siguiente contenido de política según sus necesidades y luego haga clic en OK.

Permiso para una sola operación

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "nas:ClientMount",
      "Resource": "acs:nas:<Region>:<account-id>:filesystem/<FilesystemId>",
      "Condition": {
        "StringEquals": {
          "nas:AccessPointArn": "<AccessPointARN>"
        }
      }
    }
  ]
}

Permisos para varias operaciones

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "nas:ClientMount",
        "nas:ClientWrite"
       ],
      "Resource": [
        "acs:nas:<Region>:<account-id>:filesystem/<FilesystemId>"
       ],
      "Condition": {
        "StringEquals": {
          "nas:AccessPointArn": "<AccessPointARN>"
        }
      }
    }
  ]
}

A continuación se describen los parámetros importantes en una tabla.

Parámetro	Descripción
Action	Puede configurar uno o más permisos de operación para el cliente del punto de acceso. Valores válidos: nas:ClientMount: permite montar el sistema de archivos y leer datos. nas:ClientWrite: permite escribir datos. Este permiso debe usarse junto con ClientMount para habilitar el montaje y las operaciones de lectura y escritura. nas:ClientRootAccess: permite el acceso como usuario root. Si no se otorga este permiso, el acceso como usuario root se asigna al usuario `nobody`. Si hay un usuario POSIX vinculado al punto de acceso, `ClientRootAccess` también afecta a dicho usuario. Por ejemplo, si el usuario POSIX vinculado es `root` pero no se otorga `ClientRootAccess`, todas las operaciones de E/S de ese usuario se asignan al usuario `nobody` después de montar el sistema de archivos a través del punto de acceso. El usuario `nobody` es un usuario predeterminado de Linux con permisos limitados y alta seguridad. Solo puede acceder al contenido público del servidor.
Resource	El recurso del sistema de archivos al que pertenece el punto de acceso. Formato: `acs:nas:<region>:<account-id>:filesystem/<FilesystemId>`. A continuación se describen los parámetros: `region`: la región del sistema de archivos. Ejemplo: `cn-hangzhou`. Puede encontrar la región en el nombre de recurso de Alibaba Cloud (ARN) del punto de acceso. Para obtener más información, consulte View the ARN of an access point. `account-id`: el ID de su cuenta de Alibaba Cloud. Ejemplo: `123456789012*`. `FilesystemId`: el ID del sistema de archivos. Ejemplo: `0d9f24**`. Puede obtener el ID del sistema de archivos desde la página de lista de sistemas de archivos.
nas:AccessPointArn	El ARN del punto de acceso. Ejemplo: `acs:nas:cn-hangzhou:117848947****:accesspoint/fsap-1`. Puede obtener el ARN desde la página de información básica del punto de acceso. Para obtener más información, consulte View the ARN of an access point.

En el cuadro de diálogo Create Policy, introduzca un Policy Name y una Description.
Haga clic en OK.

Otorgue la política de permisos de cliente del punto de acceso a un usuario o rol de RAM.
Nota
- Un rol de RAM no tiene credenciales permanentes. Solo puede obtener credenciales temporales denominadas tokens de Security Token Service (STS), las cuales tienen periodos de validez y permisos de acceso personalizados. Este método es adecuado únicamente para el acceso a corto plazo a NAS. Si el token STS caduca mientras el rol de RAM sigue accediendo al sistema de archivos, se produce un error de E/S.
- Después de otorgar permisos a un usuario o rol de RAM, los cambios tardan cierto tiempo en surtir efecto debido al mecanismo de distribución de permisos. Debe esperar un periodo antes de que los permisos estén vigentes en el servicio en la nube. Para obtener más información, consulte Why do permissions not take effect immediately after I grant them in RAM?.
- Otorgue permisos a un usuario de RAM.
  1. Cree un usuario de RAM. Para obtener más información, consulte Create a RAM user.
    
    Si ya existe un usuario de RAM, omita este paso.
  2. Otorgue la política de permisos de cliente del punto de acceso (una política personalizada) al usuario de RAM. Para obtener más información, consulte Manage permissions for a RAM user.
- Otorgue permisos a un rol de RAM.
  1. Cree un rol de RAM. Para obtener más información, consulte Create a RAM role for a trusted Alibaba Cloud account.
    
    Si ya existe un rol de RAM, omita este paso.
  2. Otorgue la política de permisos de cliente del punto de acceso (una política personalizada) al rol de RAM. También debe concederle el permiso AliyunSTSAssumeRoleAccess, necesario para la gestión de STS. Para obtener más información, consulte Manage permissions for a RAM role.

Una vez configurada la política del punto de acceso, puede montar el sistema de archivos NAS a través de él. Para obtener más información, consulte Mount a file system on a Linux client by using an access point.

Consulta del nombre de dominio de un punto de acceso

Puede consultar el nombre de dominio de un punto de acceso mediante cualquiera de los siguientes métodos:

Desde la página del punto de acceso

En la página Access Point, consulte el nombre de dominio en la columna Domain Name of Access Point correspondiente al punto de acceso deseado.
Desde la página de detalles del sistema de archivos

En la página File System List, busque el sistema de archivos deseado y haga clic en Manage. En la página de detalles del sistema de archivos, haga clic en Mount Targets en el panel de navegación izquierdo. Luego, haga clic en la pestaña Access Point y consulte el campo Domain Name of Access Point.

Consulta del directorio raíz de un punto de acceso

Puede consultar el directorio raíz de un punto de acceso mediante cualquiera de los siguientes métodos:

Desde la página del punto de acceso

En la página Access Point, consulte el directorio raíz en la columna Root Directory of Access Point correspondiente al punto de acceso deseado.
Desde la página de detalles del sistema de archivos

En la página File System List, busque el sistema de archivos deseado y haga clic en Manage. En la página de detalles del sistema de archivos, haga clic en Mount Targets en el panel de navegación izquierdo. Luego, haga clic en la pestaña Access Point y consulte el campo Root Directory of Access Point.

Consulta del ARN de un punto de acceso

Puede consultar el ARN de un punto de acceso mediante cualquiera de los siguientes métodos:

Desde la página del punto de acceso
1. En la página Access Point, busque el punto de acceso deseado y haga clic en Manage en la columna Actions.
2. En la pestaña Basic Information, busque la sección ARN para obtener el ARN del punto de acceso.
Desde la página de detalles del sistema de archivos
1. En la página File System List, busque el sistema de archivos deseado y haga clic en Manage.
2. En la página de detalles del sistema de archivos, haga clic en Mount Targets en el panel de navegación izquierdo y luego haga clic en la pestaña Access Point.
3. Haga clic en el nombre del punto de acceso deseado para ir a su página de detalles. En la pestaña Basic Information, busque la sección ARN para obtener el ARN del punto de acceso.

Eliminación de un punto de acceso

En la lista de puntos de acceso, busque el punto de acceso deseado y haga clic en Remove en la columna Actions.

Importante

Eliminar un punto de acceso interrumpe de inmediato todas las operaciones de E/S en curso a través de él. Proceda con precaución.

Modificación del grupo de permisos de un punto de acceso

En la lista de puntos de acceso, busque el punto de acceso deseado y haga clic en Manage en la columna Actions. En la página de detalles del punto de acceso, dentro de la pestaña Basic Information, haga clic en Modify junto al grupo de permisos para cambiarlo. Para obtener más información sobre los grupos de permisos, consulte Manage permission groups.