Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Eine Regel zu einer ONTAP NFS-Exportregel hinzufügen

Beitragende netapp-aherbin netapp-barbe netapp-dbagwell
Änderungen vorschlagen
PDFs

Ohne Regeln kann die Exportregel Clients keinen Datenzugriff gewähren. Zum Erstellen einer neuen Exportregel müssen Clients identifiziert und ein Client-Match-Format ausgewählt werden, die Zugriffs- und Sicherheitstypen festgelegt, eine Zuordnung anonymer Benutzer-IDs angegeben, eine Regelindexnummer ausgewählt und das Zugriffsprotokoll festgelegt werden. Anschließend kann der vserver export-policy rule create Befehl verwendet werden, um die neue Regel einer Exportregel hinzuzufügen.

Bevor Sie beginnen

  • Die Export-Richtlinie, zu der die Exportregeln hinzugefügt werden sollen, muss bereits existieren.

  • DNS muss auf der Daten-SVM korrekt konfiguriert sein und die DNS-Server müssen korrekte Einträge für NFS-Clients enthalten.

    Dies liegt daran, dass ONTAP DNS-Abfragen unter Verwendung der DNS-Konfiguration der Daten-SVM für bestimmte Client-Match-Formate durchführt, und Fehler beim Abgleich der Exportregel den Dateizugriff durch Clients verhindern können.

  • Wenn Sie die Authentifizierung mit Kerberos verwenden, muss ermittelt sein, welche der folgenden Sicherheitsmethoden auf Ihren NFS-Clients verwendet wird:

    • krb5 (Kerberos V5-Protokoll)

    • krb5i (Kerberos V5-Protokoll mit Integritätsprüfung mittels Prüfsummen)

    • krb5p (Kerberos V5-Protokoll mit Datenschutzdienst)

Über diese Aufgabe

Es ist nicht notwendig, eine neue Regel zu erstellen, wenn eine bestehende Regel in einer Exportregel Ihre Anforderungen an Client-Abgleich und Zugriff abdeckt.

Wenn Sie sich mit Kerberos authentifizieren und auf alle Volumes der SVM über Kerberos zugegriffen wird, können die Exportregeloptionen -rorule, -rwrule und -superuser für das Root-Volume auf krb5, krb5i oder krb5p gesetzt werden.

Schritte

  1. Die Clients und das Client-Match-Format für die neue Regel werden identifiziert.

    Die -clientmatch Option legt die Clients fest, für die die Regel gilt. Einzelne oder mehrere Übereinstimmungswerte für Clients können angegeben werden; mehrere Werte müssen durch Kommas getrennt werden. Die Übereinstimmung kann in einem der folgenden Formate angegeben werden:

    Client Match Format Beispiel

    Domainname, dem das Zeichen „.“ vorangestellt ist

    .example.com oder .example.com,.example.net,...

    Hostname

    host1 oder host1,host2, ...

    IPv4-Adresse

    10.1.12.24 oder 10.1.12.24,10.1.12.25, ...

    IPv4-Adresse mit einer als Bitanzahl ausgedrückten Subnetzmaske

    10.1.12.10/4 oder 10.1.12.10/4,10.1.12.11/4,...

    IPv4-Adresse mit Netzwerkmaske

    10.1.16.0/255.255.255.0 oder 10.1.16.0/255.255.255.0,10.1.17.0/255.255.255.0,...

    IPv6-Adresse im Punktformat

    ::1.2.3.4 oder ::1.2.3.4,::1.2.3.5,...

    IPv6-Adresse mit einer als Bitanzahl ausgedrückten Subnetzmaske

    ff::00/32 oder ff::00/32,ff::01/32,...

    Eine einzelne Netzgruppe mit dem Netzgruppennamen, dem das @-Zeichen vorangestellt ist

    @netgroup1 oder @netgroup1,@netgroup2,...

    Sie können auch verschiedene Arten von Clientdefinitionen kombinieren, zum Beispiel .example.com,@netgroup1.

    Bei der Angabe von IP-Adressen ist Folgendes zu beachten:

    • Die Eingabe eines IP-Adressbereichs, wie 10.1.12.10-10.1.12.70, ist nicht zulässig.

      Einträge in diesem Format werden als Text-String interpretiert und als Hostname behandelt.

    • Bei der Angabe einzelner IP-Adressen in Exportregeln zur detaillierten Verwaltung des Clientzugriffs dürfen keine IP-Adressen angegeben werden, die dynamisch (zum Beispiel DHCP) oder temporär (zum Beispiel IPv6) zugewiesen werden.

      Andernfalls verliert der Client den Zugriff, wenn sich seine IP-Adresse ändert.

    • Die Eingabe einer IPv6-Adresse mit einer Netzwerkmaske, wie z. B. ff::12/ff::00, ist nicht zulässig.

  2. Wählen Sie die Zugriffs- und Sicherheitstypen für Clientübereinstimmungen aus.

    Sie können einen oder mehrere der folgenden Zugriffsmodi für Clients festlegen, die sich mit den angegebenen Sicherheitstypen authentifizieren:

    • -rorule (Nur-Lesezugriff)

    • -rwrule (Lese- und Schreibzugriff)

    • -superuser (Root-Zugriff)

      Hinweis

      Ein Client erhält nur dann Lese- und Schreibzugriff auf einen bestimmten Sicherheitstyp, wenn die Exportregel auch Lesezugriff für diesen Sicherheitstyp zulässt. Ist der Parameter für Lesezugriff restriktiver als der Parameter für Lese- und Schreibzugriff, erhält der Client möglicherweise keinen Lese- und Schreibzugriff. Dasselbe gilt für Superuser-Zugriff.

      Sie können für eine Regel eine durch Kommas getrennte Liste mehrerer Sicherheitstypen angeben. Wenn der Sicherheitstyp als any oder never angegeben wird, dürfen keine weiteren Sicherheitstypen angegeben werden. Folgende gültige Sicherheitstypen stehen zur Auswahl:

      Wenn der Sicherheitstyp auf …​ eingestellt ist Ein passender Client kann auf die exportierten Daten zugreifen…​

      any

      Immer, unabhängig vom eingehenden Sicherheitstyp.

      none

      Wenn allein aufgeführt, erhalten Clients mit jedem Sicherheitstyp Zugriff als anonym. Wenn zusammen mit anderen Sicherheitstypen aufgeführt, erhalten Clients mit einem angegebenen Sicherheitstyp Zugriff, und Clients mit jedem anderen Sicherheitstyp erhalten Zugriff als anonym.

      never

      Niemals, unabhängig vom eingehenden Sicherheitstyp.

      krb5

      Wenn die Authentifizierung durch Kerberos 5 erfolgt. Nur Authentifizierung: Der Header jeder Anfrage und Antwort wird signiert.

      krb5i

      Wenn die Authentifizierung über Kerberos 5i erfolgt. Authentifizierung und Integrität: Der Header und der Body jeder Anfrage und Antwort werden signiert.

      krb5p

      Wenn die Authentifizierung über Kerberos 5p erfolgt. Authentifizierung, Integrität und Datenschutz: Der Header und der Body jeder Anfrage und Antwort werden signiert, und die NFS-Nutzlast wird verschlüsselt.

      ntlm

      Wenn sie durch CIFS NTLM authentifiziert wird.

      sys

      Wenn es durch NFS AUTH_SYS authentifiziert wird.

      Der empfohlene Sicherheitstyp ist sys, oder falls Kerberos verwendet wird, krb5, krb5i, oder krb5p.

    Wenn Kerberos mit NFSv3 verwendet wird, muss die Exportregel -rorule und -rwrule Zugriff auf sys zusätzlich zu krb5 erlauben. Dies ist erforderlich, da der Network Lock Manager (NLM) Zugriff auf den Export benötigt.

  3. Eine Zuordnung für anonyme Benutzer-IDs angeben.

    Die -anon Option gibt eine UNIX-Benutzer-ID oder einen Benutzernamen an, der Clientanfragen zugeordnet wird, die mit einer Benutzer-ID von 0 (Null) eingehen, was typischerweise mit dem Benutzernamen root verbunden ist. Der Standardwert ist 65534. NFS-Clients ordnen die Benutzer-ID 65534 üblicherweise dem Benutzernamen nobody zu (auch bekannt als root squashing). In ONTAP ist diese Benutzer-ID dem Benutzer pcuser zugeordnet. Um den Zugriff durch beliebige Clients mit einer Benutzer-ID von 0 zu deaktivieren, ist ein Wert von 65535 anzugeben.

  4. Wählen Sie die Reihenfolge des Regelindex aus.

    Die -ruleindex Option gibt die Indexnummer der Regel an. Regeln werden entsprechend ihrer Reihenfolge in der Liste der Indexnummern ausgewertet; Regeln mit niedrigeren Indexnummern werden zuerst ausgewertet. Zum Beispiel wird die Regel mit der Indexnummer 1 vor der Regel mit der Indexnummer 2 ausgewertet.

    Wenn Sie hinzufügen…​ Dann…​

    Die erste Regel einer Exportregel

    Drücken Sie 1.

    Zusätzliche Regeln für eine Exportrichtlinie

    1. Vorhandene Regeln in der Richtlinie anzeigen:
      vserver export-policy rule show -instance -policyname your_policy

    2. Wählen Sie für die neue Regel eine Indexnummer entsprechend der Reihenfolge aus, in der sie ausgewertet werden soll.

  5. Wählen Sie den entsprechenden NFS-Zugriffswert aus: {nfs|nfs3|nfs4}.

    nfs passt zu jeder Version, nfs3 und nfs4 passt nur zu diesen spezifischen Versionen.

  6. Die Exportregel wird erstellt und einer bestehenden Export-Richtlinie hinzugefügt:

    vserver export-policy rule create -vserver vserver_name -policyname policy_name -ruleindex integer -protocol {nfs|nfs3|nfs4} -clientmatch { text | "text,text,…​" } -rorule security_type -rwrule security_type -superuser security_type -anon user_ID

  7. Die Regeln der Exportrichtlinie anzeigen, um zu überprüfen, ob die neue Regel vorhanden ist:

    vserver export-policy rule show -policyname policy_name

    Der Befehl zeigt eine Zusammenfassung der Exportregel an, einschließlich einer Liste der auf diese Regel angewendeten Regeln. ONTAP weist jeder Regel eine Regelindexnummer zu. Nachdem die Regelindexnummer bekannt ist, lässt sich damit eine detaillierte Anzeige der angegebenen Exportregel aufrufen.

  8. Es sollte überprüft werden, ob die auf die Exportrichtlinie angewandten Regeln korrekt konfiguriert sind:

    vserver export-policy rule show -policyname policy_name -vserver vserver_name -ruleindex integer

Beispiele

Die folgenden Befehle erstellen und überprüfen die Erstellung einer Exportregel auf der SVM mit dem Namen vs1 in einer Exportregel mit dem Namen rs1. Die Regel hat die Indexnummer 1. Die Regel gilt für alle Clients in der Domäne eng.company.com und die Netgroup @netgroup1. Die Regel ermöglicht den gesamten NFS-Zugriff. Sie ermöglicht Lese- und Schreibzugriff für Benutzer, die sich mit AUTH_SYS authentifiziert haben. Clients mit der UNIX-Benutzer-ID 0 (null) werden anonymisiert, sofern sie nicht mit Kerberos authentifiziert sind.

vs1::> vserver export-policy rule create -vserver vs1 -policyname exp1 -ruleindex 1 -protocol nfs
-clientmatch .eng.company.com,@netgoup1 -rorule sys -rwrule sys -anon 65534 -superuser krb5

vs1::> vserver export-policy rule show -policyname nfs_policy
Virtual      Policy         Rule    Access    Client           RO
Server       Name           Index   Protocol  Match            Rule
------------ -------------- ------  --------  ---------------- ------
vs1          exp1           1       nfs       eng.company.com, sys
                                              @netgroup1

vs1::> vserver export-policy rule show -policyname exp1 -vserver vs1 -ruleindex 1

                                    Vserver: vs1
                                Policy Name: exp1
                                 Rule Index: 1
                            Access Protocol: nfs
Client Match Hostname, IP Address, Netgroup, or Domain: eng.company.com,@netgroup1
                             RO Access Rule: sys
                             RW Access Rule: sys
User ID To Which Anonymous Users Are Mapped: 65534
                   Superuser Security Types: krb5
               Honor SetUID Bits in SETATTR: true
                  Allow Creation of Devices: true

Die folgenden Befehle erstellen und überprüfen die Erstellung einer Exportregel auf der SVM mit dem Namen vs2 in einer Exportregel mit dem Namen expol2. Die Regel hat die Indexnummer 21. Die Regel ordnet Clients den Mitgliedern der Netgroup dev_netgroup_main zu. Die Regel ermöglicht den gesamten NFS-Zugriff. Sie ermöglicht schreibgeschützten Zugriff für Benutzer, die sich mit AUTH_SYS authentifiziert haben, und erfordert Kerberos-Authentifizierung für Lese-/Schreib- und Root-Zugriff. Clients mit der UNIX-Benutzer-ID 0 (null) wird Root-Zugriff verweigert, sofern sie sich nicht mit Kerberos authentifiziert haben.

vs2::> vserver export-policy rule create -vserver vs2 -policyname expol2 -ruleindex 21 -protocol nfs
-clientmatch @dev_netgroup_main -rorule sys -rwrule krb5 -anon 65535 -superuser krb5

vs2::> vserver export-policy rule show -policyname nfs_policy
Virtual  Policy       Rule    Access    Client              RO
Server   Name         Index   Protocol  Match               Rule
-------- ------------ ------  --------  ------------------  ------
vs2      expol2       21       nfs      @dev_netgroup_main  sys

vs2::> vserver export-policy rule show -policyname expol2 -vserver vs1 -ruleindex 21

                                    Vserver: vs2
                                Policy Name: expol2
                                 Rule Index: 21
                            Access Protocol: nfs
Client Match Hostname, IP Address, Netgroup, or Domain:
                                             @dev_netgroup_main
                             RO Access Rule: sys
                             RW Access Rule: krb5
User ID To Which Anonymous Users Are Mapped: 65535
                   Superuser Security Types: krb5
               Honor SetUID Bits in SETATTR: true
                  Allow Creation of Devices: true