Bekerja dengan titik akses Amazon EFS - Amazon Elastic File System

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Bekerja dengan titik akses Amazon EFS

Amazon EFStitik aksesadalah titik masuk aplikasi-spesifik ke dalam sistem file EFS yang membuatnya lebih mudah untuk mengelola akses aplikasi ke dataset bersama. Titik akses dapat menerapkan identitas pengguna, termasuk grup POSIX pengguna, pada semua permintaan sistem file yang dibuat melalui titik akses. Titik akses juga dapat menerapkan direktori asal yang berbeda untuk sistem file sehingga klien hanya dapat mengakses data dalam direktori tertentu atau subdirektorinya.

Anda dapat menggunakanAWS Identity and Access ManagementKebijakan (IAM) untuk menegakkan bahwa aplikasi tertentu menggunakan titik akses tertentu. Dengan menggabungkan kebijakan IAM dengan titik akses, Anda dapat dengan mudah memberikan akses yang aman ke set data tertentu untuk aplikasi Anda.

catatan

Anda perlu membuat setidaknya satu target pemasangan pada sistem file EFS Anda untuk menggunakan titik akses.

Untuk informasi lebih lanjut tentang membuat titik akses, lihatMembuat dan menghapus titik akses.

Membuat titik akses

Anda dapat membuat titik akses untuk sistem file Amazon EFS menggunakanAWS Management Console, yangAWS Command Line Interface(AWS CLI), dan API EFS. Sistem file Amazon EFS dapat memilikimaksimal 120 titik akses. Anda tidak dapat memodifikasi titik akses yang ada setelah dibuat.

Untuk step-by-step prosedur untuk membuat titik akses, lihatMembuat dan menghapus titik akses.

Memasang sistem file menggunakan titik akses

Anda menggunakan helper mount EFS saat memasang sistem file menggunakan titik akses. Dalam perintah mount, sertakan ID sistem file, ID titik akses, dantlsopsi mount, seperti yang ditunjukkan pada contoh berikut.

$ mount -t efs -o tls,iam,accesspoint=fsap-abcdef0123456789a fs-abc0123def456789a: /localmountpoint

Untuk informasi lebih lanjut tentang pemasangan sistem file menggunakan titik akses, lihatPemasangan EFS titik akses.

Menegakkan identitas pengguna menggunakan titik akses

Anda dapat menggunakan titik akses untuk menegakkan informasi pengguna dan grup untuk semua permintaan sistem file yang dibuat melalui titik akses. Untuk mengaktifkan fitur ini, Anda perlu menentukan identitas sistem operasi untuk menegakkan saat Anda membuat titik akses.

Sebagai bagian dari ini, Anda memberikan hal berikut:

  • User ID - Numerik POSIX user ID untuk pengguna.

  • ID Grup - ID grup POSIX numerik untuk pengguna.

  • ID grup sekunder - Daftar opsional ID grup sekunder.

Saat penegakan pengguna diaktifkan, Amazon EFS menggantikan ID pengguna dan grup klien NFS dengan identitas yang dikonfigurasi pada titik akses untuk semua operasi sistem file. Penegakan pengguna juga melakukan hal-hal berikut:

  • Pemilik dan grup untuk file dan direktori baru diatur ke ID pengguna dan ID grup dari titik akses.

  • EFS mempertimbangkan ID pengguna, ID grup, dan ID grup sekunder dari titik akses saat mengevaluasi izin sistem file. EFS mengabaikan ID klien NFS.

penting

Menegakkan identitas pengguna tunduk padaClientRootAccessIzin IAM.

Misalnya, dalam beberapa kasus Anda mungkin mengkonfigurasi ID pengguna titik akses, ID grup, atau keduanya menjadi root (yaitu, mengatur UID, GID, atau keduanya ke 0). Dalam kasus seperti itu, Anda harus memberikanClientRootAccessIzin IAM untuk klien NFS.

Menegakkan direktori root dengan titik akses

Anda dapat menggunakan titik akses untuk menimpa direktori root untuk sistem file. Saat Anda menerapkan direktori root, klien NFS yang menggunakan titik akses menggunakan direktori root yang dikonfigurasi pada titik akses alih-alih direktori root sistem file.

Anda mengaktifkan fitur ini dengan mengatur titik aksesPathatribut saat membuat titik akses. KlasterPathatribut adalah path lengkap dari direktori root dari sistem file untuk semua permintaan sistem file yang dilakukan melalui titik akses ini. Path lengkapnya tidak boleh melebihi 100 karakter. Ini dapat mencakup hingga empat subdirektori.

Saat Anda menentukan direktori root pada titik akses, itu menjadi direktori root dari sistem file untuk klien NFS yang memasang titik akses. Misalnya, anggaplah direktori root dari titik akses Anda/data. Dalam hal ini, pemasanganfs-12345678:/menggunakan titik akses memiliki efek yang sama seperti pemasanganfs-12345678:/datatanpa menggunakan titik akses.

Saat menentukan direktori root di titik akses Anda, pastikan izin direktori dikonfigurasi untuk memungkinkan pengguna titik akses berhasil memasang sistem file. Secara khusus, pastikan bahwa bit eksekusi diatur untuk pengguna titik akses atau grup, atau untuk semua orang. Misalnya, nilai izin direktori 755 memungkinkan pemilik pengguna direktori untuk daftar file, membuat file, dan me-mount, dan semua pengguna lain untuk daftar file dan mount.

Membuat direktori root untuk titik akses

Jika jalur direktori root untuk titik akses tidak ada pada sistem file, Amazon EFS secara otomatis membuat direktori root tersebut dengan kepemilikan dan izin yang ditentukan. Amazon EFS tidak akan membuat direktori root jika Anda tidak menentukan kepemilikan direktori dan izin pada saat pembuatan. Pendekatan ini memungkinkan untuk menyediakan akses sistem file untuk pengguna atau aplikasi tertentu tanpa memasang sistem file Anda dari host Linux. Untuk membuat direktori root, Anda harus mengkonfigurasi kepemilikan dan izin direktori root dengan menggunakan atribut berikut saat membuat titik akses:

  • OwnerUid- ID pengguna POSIX numerik untuk digunakan sebagai pemilik direktori root.

  • OwnerGiD- ID grup POSIX numerik untuk digunakan sebagai grup pemilik direktori root.

  • Izin - Mode Unix direktori. Konfigurasi umum adalah 755. Pastikan bahwa bit eksekusi diatur untuk pengguna titik akses sehingga mereka dapat me-mount. Konfigurasi ini memberikan izin pemilik direktori untuk memasukkan, daftar, dan menulis file baru dalam direktori. Ini memberi semua izin pengguna lain untuk memasukkan dan daftar file. Untuk informasi lebih lanjut tentang bekerja dengan file Unix dan mode direktori, lihatBekerja dengan pengguna, grup, dan izin di Tingkat Network File System (NFS).

Amazon EFS membuat direktori root titik akses hanya jika OwnUid, ownGid, dan izin ditentukan untuk direktori. Jika Anda tidak memberikan informasi ini, Amazon EFS tidak membuat direktori root. Jika direktori root tidak ada, upaya untuk memasang menggunakan titik akses akan gagal.

Ketika Anda me-mount sistem file dengan titik akses, direktori root untuk titik akses dibuat jika direktori belum ada, asalkan direktori root OwnerUid dan Izin ditentukan saat titik akses dibuat. Jika direktori root titik akses sudah ada sebelum waktu pemasangan, izin yang ada tidak ditimpa oleh titik akses. Jika Anda menghapus direktori root, EFS membuatnya kembali saat sistem file dipasang menggunakan titik akses.

catatan

Jika Anda tidak menentukan kepemilikan dan izin untuk direktori root titik akses, Amazon EFS tidak akan membuat direktori root. Semua upaya untuk memasang titik akses akan gagal.

Model keamanan untuk direktori root titik akses

Ketika penggantian direktori root berlaku, Amazon EFS berperilaku seperti server Linux NFS denganno_subtree_checkopsi diaktifkan.

Dalam protokol NFS, server menghasilkan pegangan file yang digunakan oleh klien sebagai referensi unik saat mengakses file. EFS secara aman menghasilkan pegangan file yang tidak dapat diprediksi dan spesifik untuk sistem file EFS. Ketika penggantian direktori root ada, EFS tidak mengungkapkan pegangan file untuk file di luar direktori root yang ditentukan. Namun, dalam beberapa kasus pengguna mungkin mendapatkan pegangan file untuk file di luar titik akses mereka dengan menggunakan out-of-band mekanisme. Misalnya, mereka mungkin melakukannya jika mereka memiliki akses ke titik akses kedua. Jika mereka melakukan ini, mereka dapat melakukan operasi baca dan tulis pada file.

Kepemilikan file dan izin akses selalu diberlakukan, untuk akses ke file di dalam dan di luar direktori root titik akses pengguna.

Menggunakan titik akses dalam kebijakan IAM

Anda dapat menggunakan kebijakan IAM untuk menegakkan bahwa klien NFS tertentu, yang diidentifikasi oleh peran IAM-nya, hanya dapat mengakses titik akses tertentu. Untuk melakukannya, Anda menggunakanelasticfilesystem:AccessPointArnKunci kondisi IAM. KlasterAccessPointArnadalah Amazon Resource Name (ARN) dari titik akses yang dipasang oleh sistem file.

Berikut ini adalah contoh kebijakan sistem file yang memungkinkan peran IAMapp1untuk mengakses sistem file menggunakan titik aksesfsap-01234567. Kebijakan ini juga memungkinkanapp2untuk menggunakan sistem file menggunakan titik aksesfsap-89abcdef.

{ "Version": "2012-10-17", "Id": "MyFileSystemPolicy", "Statement": [ { "Sid": "App1Access", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/app1" }, "Action": [ "elasticfilesystem:ClientMount", "elasticfilesystem:ClientWrite" ], "Condition": { "StringEquals": { "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-01234567" } } }, { "Sid": "App2Access", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/app2" }, "Action": [ "elasticfilesystem:ClientMount", "elasticfilesystem:ClientWrite" ], "Condition": { "StringEquals": { "elasticfilesystem:AccessPointArn" : "arn:aws:elasticfilesystem:us-east-1:222233334444:access-point/fsap-89abcdef" } } } ] }