Información acerca de los protocolos de sistemas de archivos compatibles

Filestore admite los siguientes protocolos de sistemas de archivos:

NFSv3

  • Disponible en todos los niveles de servicio.
  • Admite la comunicación bidireccional entre el cliente y el servidor.
    • Usa varios puertos.
    • Crea un canal de confianza para el tráfico y las operaciones de red.
  • Ofrece una configuración rápida para el acceso a POSIX estándar.

NFSv4.1 (vista previa)

  • Disponible en las plataformas zonales, regionales y los niveles de servicio empresariales.
  • Es compatible con los parámetros de configuración modernos de firewall y admite la seguridad de red. los requisitos de cumplimiento.
    • El cliente siempre inicia la comunicación y siempre se entrega a través de un único puerto de servidor, 2049.
    • Admite la autenticación de clientes y servidores.

Cada protocolo es más adecuado para casos de uso específicos. En la siguiente tabla, se compara las especificaciones de cada protocolo:

Especificación NFSv3 NFSv4.1
Niveles de servicio admitidos Todos los niveles de servicio Zonal, regional y empresarial
Comunicación bidireccional Sí No. El cliente siempre inicia la comunicación mediante el puerto del servidor 2049.
Autenticación No Sí. Requiere autenticación RPCSEC_GSS, implementada con LDAP y Kerberos, que están disponibles en el servicio administrado para Microsoft Active Directory.
Admite Listas de control de acceso (LCA) a archivos o directorios. No Sí. Admite hasta 50 entradas de control de acceso (ACE) por lista.
Grupos de asistencia Hasta 16 grupos Compatibilidad ilimitada con grupos cuando te conectas a Microsoft AD administrado.
Configuración de seguridad sys. Crea un canal de confianza. sys. Crea un canal de confianza. krb5. Autentica el cliente y el servidor. krb5i. Proporciona autenticación y verificaciones de integridad de los mensajes.krb5p Proporciona autenticación, verificaciones de integridad de los mensajes y encriptación de datos en tránsito.
Latencia de las operaciones Ninguno La latencia de las operaciones aumenta con el nivel de seguridad seleccionado.
Tipo de recuperación Sin estado Con estado
Tipo de bloqueo de archivos Administrador de bloqueo de red (NLM). El cliente controla la cerradura. Bloqueo de aviso basado en retenciones. El servidor controla el bloqueo.
Admite fallas de clientes No Sí
Admite conexiones de servicios privados (PSC) No No

Beneficios de NFSv3

El protocolo NFSv3 ofrece una configuración rápida para el acceso POSIX estándar.

Limitaciones de NFSv3

La siguiente es una lista de limitaciones de NFSv3:

Beneficios de NFSv4.1

El protocolo NFSv4.1 usa la autenticación RPCSEC_GSS. que se implementa usando LDAP y Kerberos para brindar a los clientes y del servidor, verificaciones de integridad de los mensajes y datos en tránsito encriptación.

Estas capacidades de seguridad hacen que el protocolo NFSv4.1 sea compatible con las requisitos de cumplimiento de seguridad de red:

  • Usa un solo puerto de servidor, 2049, para todas las comunicaciones, lo que ayuda a simplificar parámetros de configuración de firewall.

  • Compatibilidad ilimitada con grupos cuando se usa la integración administrada de Microsoft AD.

  • Admite un mejor manejo de las fallas de los clientes con el bloqueo de asesoría basado en asignaciones.

    • El cliente debe verificar la conexión continua con el servidor. Si el cliente no renueva la asignación, el servidor libera el bloqueo y el archivo Está disponible para cualquier otro cliente que solicite acceso a través de un alquiler. En NFSv3, si se borra un cliente mientras está bloqueado, el archivo no se puede a las que accede otro cliente, como un nodo de GKE nuevo.

  • Admite la recuperación con estado.

    • A diferencia de NFSv3, NFSv4.1 es un protocolo con estado basado en TCP y conexión. Se puede reanudar el estado del cliente y del servidor en la sesión anterior después de la recuperación.

Servicio administrado para Microsoft Active Directory

Mientras que el Servicio administrado para Microsoft Active Directory (Microsoft AD administrado) no es un requisito estricto, es la única solución administrada por Google Cloud admitir LDAP y Kerberos, que son requisitos para el Protocolo Filestore NFSv4.1.

Se recomienda a los administradores que usen Servicio administrado para Microsoft Active Directory (Microsoft AD administrado) para implementar y administrar LDAP y Kerberos.

Como solución administrada por Google Cloud, Microsoft AD administrado proporciona la los siguientes beneficios:

  • Ofrece implementación multirregional, que admite hasta cinco regiones en el mismo dominio.

    • Reduce la latencia, ya que garantiza que los usuarios y sus respectivos servidores de acceso estén conectados. tienen más proximidad.

  • Admite POSIX RFC 2307 y RFC 2307bis para la implementación de NFSv4.1.

  • Automatiza el identificador único (UID) y el usuario del identificador único global (GUID) la asignación.

  • Los usuarios y grupos pueden crearse o migrarse a Microsoft AD administrado.

  • Los administradores pueden crear una relación de confianza del dominio con la infraestructura local actual autoadministrado, Active Directory (AD) y dominio LDAP. Con esta opción, no es necesaria la migración.

  • Proporciona un ANS.

Limitaciones de NFSv4.1

La siguiente es una lista de limitaciones de NFSv4.1:

  • El protocolo NFSv4.1 no se puede combinar con las siguientes funciones:

  • Una vez configurado, no borres Microsoft AD administrado ni el intercambio de tráfico entre redes. Si lo haces, no se podrá acceder al recurso compartido de Filestore mientras esté activado en un cliente, lo que hace que tus datos sean inaccesibles. Google Cloud no es responsable de interrupciones causadas por acciones del administrador o del usuario.

  • Al usar cualquiera de los parámetros de configuración de seguridad de Kerberos autenticados, los usuarios pueden esperar algunas operaciones de latencia. Las tasas de latencia varían según el nivel de servicio el parámetro de configuración de seguridad especificado. La latencia aumenta con cada aumento de seguridad a nivel de organización.

  • No se admite la auditoría de acceso a los datos.

  • La solución Filestore NFSv4.1 requiere autenticación RPCSEC_GSS. Este método de autenticación solo se implementa mediante LDAP y Kerberos, que están disponibles en Microsoft AD administrado. No se admiten otros mecanismos de autenticación.

  • Carece de compatibilidad con la conexión a servicios privados (PSC).

  • Si quieres que una instancia de Filestore se una a Microsoft AD administrado a través de una VPC compartida, debes usar gcloud o Filestore API. No puedes unir la instancia a Microsoft AD administrado con el Consola de Google Cloud

  • El nombre de dominio de Microsoft AD administrado no debe superar los 56 caracteres.

  • Para crear una instancia empresarial, debes ejecutar operaciones directamente a través de la API de Filestore. Para obtener más información, consulta Niveles de servicio.

¿Qué sigue?