Información acerca de los protocolos de sistemas de archivos compatibles

Filestore admite los siguientes protocolos de sistemas de archivos:

NFSv3

  • Disponible en todos los niveles de servicio.
  • Admite la comunicación bidireccional entre el cliente y el servidor.
    • Usa varios puertos.
    • Crea un canal de confianza para el tráfico y las operaciones de red.
  • Ofrece una configuración rápida para el acceso a POSIX estándar.

NFSv4.1 (vista previa)

  • Disponible en niveles de servicio zonales, regionales y empresariales.
  • Es compatible con configuraciones de firewall modernas y admite requisitos de cumplimiento de seguridad de red.
    • El cliente siempre inicia la comunicación y siempre se entrega a través de un puerto de servidor único, 2049.
    • Admite la autenticación de clientes y servidores.

Cada protocolo es más adecuado para casos de uso específicos. En la siguiente tabla, se comparan las especificaciones de cada protocolo:

Especificación NFSv3 NFSv4.1
Niveles de servicio admitidos Todos los niveles de servicio Zonal, regional y empresarial
Comunicación bidireccional Sí No. El cliente siempre inicia la comunicación mediante el puerto del servidor 2049.
Autenticación No Sí. Requiere autenticación RPCSEC_GSS, implementada con LDAP y Kerberos, que están disponibles en el servicio administrado para Microsoft Active Directory.
Admite Listas de control de acceso (LCA) a archivos o directorios. No Sí. Admite hasta 50 entradas de control de acceso (ACE) por lista.
Grupos de asistencia Hasta 16 grupos Compatibilidad ilimitada con grupos cuando te conectas a Microsoft AD administrado.
Configuración de seguridad sys. Crea un canal de confianza. sys. Crea un canal de confianza. krb5. Autentica el cliente y el servidor. krb5i. Proporciona autenticación y verificaciones de integridad de los mensajes.krb5p Proporciona autenticación, verificaciones de integridad de los mensajes y encriptación de datos en tránsito.
Latencia de las operaciones Ninguna La latencia de las operaciones aumenta con el nivel de seguridad seleccionado.
Tipo de recuperación Sin estado Con estado
Tipo de bloqueo de archivos Administrador de bloqueo de red (NLM). El cliente controla la cerradura. Bloqueo de aviso basado en retenciones. El servidor controla el bloqueo.
Admite fallas de clientes No Sí
Admite conexiones de servicios privados (PSC) No No

Beneficios de NFSv3

El protocolo NFSv3 ofrece una configuración rápida para el acceso POSIX estándar.

Limitaciones de NFSv3

La siguiente es una lista de limitaciones de NFSv3:

Beneficios de NFSv4.1

El protocolo NFSv4.1 usa el método de autenticación de RPCSEC_GSS, que se implementa con LDAP y Kerberos para proporcionar autenticación de cliente y servidor, verificaciones de integridad de mensajes y encriptación de datos en tránsito.

Estas capacidades de seguridad hacen que el protocolo NFSv4.1 sea compatible con los requisitos de cumplimiento de seguridad de red modernos:

  • Usa un puerto único de servidor, 2049, para todas las comunicaciones, lo que ayuda a simplificar la configuración de firewall.

  • Compatibilidad ilimitada con grupos cuando se usa la integración administrada de Microsoft AD.

  • Admite un mejor manejo de las fallas de los clientes con el bloqueo de asesoría basado en asignaciones.

    • El cliente debe verificar la conexión continua con el servidor. Si el cliente no renueva la asignación de tiempo, el servidor libera el bloqueo y el archivo pasa a estar disponible para cualquier otro cliente que solicite acceso a través de una asignación de tiempo de bloqueo. En NFSv3, si se borra un cliente mientras está bloqueado, otro cliente, como un nodo de GKE nuevo, no puede acceder al archivo.

  • Admite la recuperación con estado.

    • A diferencia de NFSv3, NFSv4.1 es un protocolo con estado basado en TCP y conexión. El estado del cliente y del servidor en la sesión anterior se puede reanudar después de la recuperación.

Servicio administrado para Microsoft Active Directory

Si bien el servicio administrado para Microsoft Active Directory (Microsoft AD administrado) no es un requisito estricto, es la única solución administrada por Google Cloud que admite LDAP y Kerberos, que son requisitos del protocolo Filestore NFSv4.1.

Se recomienda que los administradores usen el Servicio administrado para Microsoft Active Directory (Microsoft AD administrado) a fin de implementar y administrar LDAP y Kerberos.

Como solución administrada por Google Cloud, Microsoft AD administrado proporciona los siguientes beneficios:

  • Ofrece implementación multirregional, que admite hasta cinco regiones en el mismo dominio.

    • Reduce la latencia, ya que garantiza que los usuarios y sus respectivos servidores de acceso estén más cerca.

  • Admite POSIX RFC 2307 y RFC 2307bis, requisitos para la implementación de NFSv4.1.

  • Automatiza la asignación de usuario del identificador único (UID) y del identificador único global (GUID).

  • Los usuarios y grupos pueden crearse o migrarse a Microsoft AD administrado.

  • Los administradores pueden crear una relación de confianza de dominio con el dominio actual local, autoadministrado, de Active Directory (AD) y de LDAP. Con esta opción, no es necesaria la migración.

  • Proporciona un ANS.

Limitaciones de NFSv4.1

La siguiente es una lista de limitaciones de NFSv4.1:

  • El protocolo NFSv4.1 no se puede combinar con las siguientes funciones:

  • Una vez configurado, no borres Microsoft AD administrado ni el intercambio de tráfico entre redes. Si lo haces, el recurso compartido de Filestore será inaccesible mientras esté activado en un cliente, lo que hará que no se pueda acceder a tus datos. Google Cloud no es responsable de las interrupciones causadas por acciones del administrador o del usuario.

  • Cuando se utiliza cualquiera de los parámetros de configuración de seguridad de Kerberos autenticados, es posible que los usuarios experimenten latencia en las operaciones. Las tasas de latencia varían según el nivel de servicio y la configuración de seguridad especificados. La latencia aumenta con cada nivel de seguridad que aumenta.

  • No se admite la auditoría de acceso a los datos.

  • La solución Filestore NFSv4.1 requiere autenticación RPCSEC_GSS. Este método de autenticación solo se implementa con LDAP y Kerberos, que están disponibles en Microsoft AD administrado. No se admiten otros mecanismos de autenticación.

  • Carece de compatibilidad con la conexión a servicios privados (PSC).

  • Si quieres que una instancia de Filestore se una a Microsoft AD administrado a través de una VPC compartida, debes usar gcloud o la API de Filestore. No puedes unir la instancia a Microsoft AD administrado con la consola de Google Cloud.

  • El nombre de dominio de Microsoft AD administrado no debe superar los 56 caracteres.

  • Para crear una instancia empresarial, debes ejecutar operaciones directamente a través de la API de Filestore. Para obtener más información, consulta Niveles de servicio.

¿Qué sigue?