Mount an SMB file system on macOS - File Storage NAS: Central de Documentação do Alibaba Cloud

Para montar um sistema de arquivos do File Storage NAS no cliente macOS local, conecte-se à virtual private cloud (VPC) na região onde o sistema de arquivos reside. Este tópico descreve como montar um sistema de arquivos Server Message Block (SMB) em um cliente macOS por meio de VPN e como acessar um sistema de arquivos SMB com o protocolo Kerberos.

Pré-requisitos

Crie um sistema de arquivos SMB. Para mais informações, consulte Criar um sistema de arquivos.
Crie um ponto de montagem em uma VPC. Para mais informações, consulte Criar um ponto de montagem.

Monte um sistema de arquivos SMB no macOS

Conecte o cliente macOS à VPC usando um gateway de VPN. Para mais informações, consulte Conectar um cliente macOS a uma VPC.

Ao criar um servidor SSL, garanta que os campos Client CIDR Block e Local CIDR Block não se sobreponham. O campo Local CIDR Block corresponde ao bloco CIDR da VPC. Acesse o console da VPC para visualizar o bloco CIDR da VPC. Na caixa de diálogo Edit SSL Server, defina Name como ssl-india, selecione o VPN gateway desejado, configure Local Network como 172.31.0.0/16 e Client Subnet como 192.168.1.0/24. A sub-rede do cliente não pode entrar em conflito com o bloco CIDR de nenhum vSwitch na VPC. Clique em OK.
Verifique a conectividade entre o cliente macOS e o ponto de montagem do sistema de arquivos SMB.
- Valide a conectividade de rede
  Após conectar o gateway de VPN, use o comando ping para testar o ponto de montagem do sistema de arquivos SMB na VPC e confirmar o funcionamento da conexão.
  IT-C02WW0JRG8WN:Volumes $ ping xxx.nas.aliyuncs.com PING xxx.nas.aliyuncs.com (172.31.16.146): 56 data bytes 64 bytes from 172.31.16.146: icmp_seq=0 ttl=101 time=211.562 ms 64 bytes from 172.31.16.146: icmp_seq=1 ttl=101 time=199.784 ms 64 bytes from 172.31.16.146: icmp_seq=2 ttl=101 time=173.240 ms ^C --- xxx.nas.aliyuncs.com ping statistics --- 3 packets transmitted, 3 packets received, 0.0% packet loss round-trip min/avg/max/stddev = 173.240/194.862/211.562/16.027 ms
  Nota
  Se o ping falhar, obtenha o endereço IP do ponto de montagem executando o comando ping em uma instância ECS na mesma VPC do sistema de arquivos SMB. Em seguida, use esse endereço IP para montar o sistema de arquivos no cliente macOS.
- Confirme a conectividade da porta de serviço
```
telnet [SMB file system mount target] 445
```
Monte o sistema de arquivos SMB.
- Use a GUI do macOS
  1. Na barra de menus do Finder, na parte superior da área de trabalho do macOS, selecione .
  2. Na caixa de diálogo Connect to Server, insira o endereço de montagem SMB no campo Server Address. O endereço deve estar no formato smb:///myshare. Depois, clique em Connect.
  3. Na seção Connect As da caixa de diálogo, selecione Guest e clique em Connect.
  4. Na barra de menus do Finder, na parte superior da área de trabalho do macOS, selecione e escolha o volume myshare para visualizar o sistema de arquivos SMB montado.
    
    Nota
    Após a montagem, o cliente macOS lê todos os arquivos do sistema de arquivos NAS montado. Durante esse processo, a pasta myshare pode parecer vazia. Aguarde a conclusão do procedimento.
- Use a linha de comando do macOS
  Execute o comando mount_smbfs para montar o sistema de arquivos SMB. Exemplo:
  
  mount_smbfs '//gue**@nas-mount-point.nas.aliyuncs.com/myshare' /Volumes/myshare/
  
  No comando, nas-mount-point.nas.aliyuncs.com representa o ponto de montagem VPC do sistema de arquivos SMB. Substitua pelo valor real.
  Uma saída semelhante à seguinte indica que a montagem foi bem-sucedida.
  
  IT-C02WW0JRG8WN:Volumes (xxx)$ mount_smbfs '//xxx.nas.aliyuncs.com/myshare' /Volumes/myshare IT-C02WW0JRG8WN:Volumes xxx$ mount /dev/disk1s1 on / (apfs, local, journaled) devfs on /dev (devfs, local, nobrowse) /dev/disk1s4 on /private/var/vm (apfs, local, noexec, journaled, noatime, nobrowse) map -hosts on /net (autofs, nosuid, automounted, nobrowse) map auto_home on /home (autofs, automounted, nobrowse) /dev/disk1s3 on /Volumes/Recovery (apfs, local, journaled, nobrowse) //xxx@xxx.nas.aliyuncs.com/myshare on /Volumes/myshare (smbfs, nodev, nosuid, mounted by xxx)

Acesse um sistema de arquivos SMB no macOS usando Kerberos

Por padrão, os sistemas de arquivos SMB suportam apenas o protocolo de autenticação NTLM. Independentemente da identidade usada para montar a partir de um cliente macOS, a identidade autenticada torna-se 'Everyone', que possui permissões totais por padrão. O Alibaba Cloud File Storage NAS oferece suporte à autenticação de usuários baseada em domínio AD e controle de acesso no nível do sistema de arquivos. Siga estas etapas para gerenciar permissões de diferentes usuários no acesso a um sistema de arquivos SMB.

Configure um domínio AD.
Associe o ponto de montagem do sistema de arquivos SMB ao domínio AD. Para mais informações, consulte Associar um ponto de montagem SMB a um domínio AD.
Adicione a sub-rede SSL da VPN a um grupo de segurança. Para mais informações, consulte Adicionar uma regra de grupo de segurança.
Inclua as regras a seguir no grupo de segurança da instância ECS para permitir que o domínio AD processe solicitações DNS e SMB do cliente macOS.
- Porta DNS: UDP 53
- Porta Kerberos: TCP 88
- Porta LDAP: TCP 389
- Porta LDAP Global Catalog: TCP 3268
Por exemplo, para adicionar uma regra referente à porta DNS, na caixa de diálogo Edit Security Group Rule, defina NIC Type como Internal Network, Direction como Inbound, Action como Allow, Protocol Type como Custom UDP, Port Range como 53, Priority como 1 e Authorization Type como IPv4 CIDR Block. Configure Authorization Object como 192.168.1.6/24 e clique em OK. Adicione regras para as demais portas (TCP 88, TCP 389 e TCP 3268) seguindo o mesmo procedimento.
Defina o servidor DNS do cliente macOS como o servidor do domínio AD.
1. Execute o comando ipconfig no servidor do domínio AD para consultar o endereço IP interno.
2. Na barra de menus do Finder, na parte superior da área de trabalho do macOS, selecione .
3. Na caixa de diálogo Network, configure o DNS do cliente macOS com o endereço IP interno do servidor do domínio AD.

Verifique a conexão entre o cliente macOS e o domínio AD.

Use o comando ping para validar a conectividade com o domínio AD. O exemplo a seguir demonstra uma conexão bem-sucedida.

IT-C02WW0JRG8WN:Volumes xxx$ ping smb-hk.com
PING smb-hk.com (172.31.59.36): 56 data bytes
64 bytes from 172.31.59.36: icmp_seq=0 ttl=127 time=172.032 ms
64 bytes from 172.31.59.36: icmp_seq=1 ttl=127 time=173.217 ms
64 bytes from 172.31.59.36: icmp_seq=2 ttl=127 time=176.154 ms
^C
--- smb-hk.com ping statistics ---
3 packets transmitted, 3 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 172.032/173.801/176.154/1.733 ms
IT-C02WW0JRG8WN:Volumes xxx$

Monte o sistema de arquivos SMB com o protocolo Kerberos.
1. Execute kinit para validar as credenciais do domínio AD. Exemplo:
```
kinit user@MYDOMAIN.COM
```
2. Execute o comando klist para visualizar a identidade do domínio AD. Exemplo:
```
klist
```
3. Execute o comando kinit para obter um ticket Kerberos para a identidade do domínio AD. Exemplo:
```
kinit
```
4. Execute o comando para montar o sistema de arquivos SMB. Exemplo:
```
mount_smbfs //administrator@nas-mount-point.nas.aliyuncs.com/myshare /Volumes/myshare
```
  Nota
  Caso receba uma mensagem de erro como mount_smbfs: server rejected the connection: Authentication error, execute o comando kinit para verificar as credenciais do domínio AD e tente novamente.
  
  O exemplo abaixo ilustra o processo completo de obtenção de ticket Kerberos, montagem do sistema de arquivos e verificação da montagem: IT-C02WW0JRG8WN:Volumes xxx$ kinit xxx@SMB-HK.COM xxx@SMB-HK.COM's password: IT-C02WW0JRG8WN:Volumes xxx$ klist Credentials cache: API:25A9ACD7-9930-499C-81DF-3EF76C83EE36 Principal: xxx@SMB-HK.COM Issued Expires Principal Apr 15 03:49:18 2020 Apr 15 13:49:12 2020 xxx xxx@SMB-HK.COM IT-C02WW0JRG8WN:Volumes xxx$ mount_smbfs '//xxx.nas.aliyuncs.com/myshare' /Volumes/myshare IT-C02WW0JRG8WN:Volumes xxx$ mount /dev/disk1s1 on / (apfs, local, journaled) devfs on /dev (devfs, local, nobrowse) /dev/disk1s4 on /private/var/vm (apfs, local, noexec, journaled, noatime, nobrowse) map -hosts on /net (autofs, nosuid, automounted, nobrowse) map auto_home on /home (autofs, automounted, nobrowse) /dev/disk1s3 on /Volumes/Recovery (apfs, local, journaled, nobrowse) //xxx@xxx.nas.aliyuncs.com/myshare on /Volumes/myshare (smbfs, nodev, nosuid, mounted by xxx) IT-C02WW0JRG8WN:Volumes xxx$Após uma montagem bem-sucedida, a execução do comando klist exibe dois service principals, conforme abaixo: $ klist Credentials cache: API:25A9ACD7-9930-4xxx Principal: xxxr@SMB-HK.COM Issued Expires Principal Apr 15 03:49:18 2020 Apr 15 13:49:12 2020 krbtgt/SMB-HK.COM@SMB-HK.COM Apr 15 03:49:27 2020 Apr 15 13:49:12 2020 cifs/xxx.cn-hongkong.nas.aliyuncs.com@SMB-HK.COM
  
  Nota
  Embora o Finder do macOS não exiba ACLs SMB, a identidade do domínio AD ainda é aplicada. Ao realizar uma operação de arquivo, o sistema de arquivos SMB verifica a ACL para permitir ou negar a ação. Para definir ACLs, monte o sistema de arquivos SMB no servidor do domínio AD e faça a configuração diretamente nele.