アクセスポイントを使用したルートディレクトリの適用

アクセスポイントを使用して、ファイルシステムのルートディレクトリを上書きできます。ルートディレクトリを適用すると、アクセスポイントを使用するNFSクライアントは、ファイルシステムのルートディレクトリではなく、アクセスポイントに設定されているルートディレクトリを使用します。

この機能を有効にするには、アクセスポイントの作成時にアクセスポイントの Path 属性を設定します。Path 属性は、このアクセスポイントを介したすべてのファイルシステム要求に対するファイルシステムのルートディレクトリのフルパスです。フルパスの長さは 100 文字を超えることはできません。最大 4 つのサブディレクトリを含めることができます。

アクセスポイントでルートディレクトリを指定すると、アクセスポイントをマウントするNFSクライアントのファイルシステムのルートディレクトリになります。たとえば、アクセスポイントのルートディレクトリが /data であるとします。この場合、アクセスポイントを使用して fs-12345678:/ をマウントすると、アクセスポイントを使用せずに fs-12345678:/data をマウントするのと同じ効果があります。

アクセスポイントでルートディレクトリを指定する場合は、アクセスポイントのユーザーがファイルシステムを正常にマウントできるようにディレクトリ権限が設定されていることを確認します。具体的には、アクセスポイントのユーザーまたはグループ、またはすべてのユーザーに対して実行ビットが設定されていることを確認します。たとえば、ディレクトリ権限の値が 755 の場合、ディレクトリユーザーの所有者はファイルのリスト表示、ファイルの作成およびマウントを実行できます。他のすべてのユーザーはファイルのリスト表示とマウントを実行できます。

アクセスポイントのルートディレクトリの作成

アクセスポイントのルートディレクトリパスがファイルシステムに存在しない場合、Amazon は指定された所有権とアクセス許可を持つルートディレクトリEFSを自動的に作成します。作成時にディレクトリの所有権とアクセス許可を指定しない場合、Amazon EFSはルートディレクトリを作成しません。このアプローチにより、Linux ホストからファイルシステムをマウントすることなく、特定のユーザーまたはアプリケーションに対してファイルシステムアクセスをプロビジョニングできます。ルートディレクトリを作成するには、アクセスポイントの作成時に以下の属性を使用して、ルートディレクトリの所有権とアクセス許可を設定する必要があります。

• OwnerUid – ルートディレクトリの所有者として使用する数値POSIXユーザー ID。

• OwnerGiD – ルートディレクトリの所有者POSIXグループとして使用する数値グループ ID。

• アクセス許可 - ディレクトリの Unix モード。一般的な設定は 755 です。アクセスポイントユーザーがマウントできるように、実行ビットが設定されていることを確認します。この設定では、ディレクトリ所有者に、ディレクトリ内の新しいファイルの入力、一覧表示、書き込みのアクセス許可が付与されます。他のすべてのユーザーに、ファイルを入力および一覧表示するアクセス許可が付与されます。Unix のファイルモードとディレクトリモードの使用方法の詳細については、「Network File System (NFS) レベルのユーザー、グループ、アクセス許可」を参照してください。

Amazon EFS は、、Own OwnUid、および アクセス許可がディレクトリに指定されている場合にのみGID、アクセスポイントのルートディレクトリを作成します。この情報を指定しない場合、Amazon EFSはルートディレクトリを作成しません。ルートディレクトリが存在しない場合に、アクセスポイントを使用してマウントしようとすると、失敗します。

アクセスポイントを使用してファイルシステムをマウントすると、アクセスポイントの作成時にルートディレクトリの OwnerUid および アクセス許可が指定されていれば、そのディレクトリがまだ存在しない場合は、アクセスポイントのルートディレクトリが作成されます。アクセスポイントのルートディレクトリがマウント時間前にすでに存在する場合、既存のアクセス許可はアクセスポイントによって上書きされません。ルートディレクトリを削除すると、 はアクセスポイントを使用してファイルシステムが次回マウントされたときにルートディレクトリEFSを再作成します。

注記

アクセスポイントのルートディレクトリの所有権とアクセス許可を指定しない場合、Amazon EFS はルートディレクトリを作成しません。アクセスポイントをマウントしようとすると、失敗します。

アクセスポイントのルートディレクトリのセキュリティモデル

ルートディレクトリの上書きが有効な場合、Amazon は no_subtree_checkオプションを有効にした Linux NFSサーバーのようにEFS動作します。

NFS プロトコルでは、サーバーはクライアントがファイルにアクセスするときに一意の参照として使用するファイルハンドルを生成します。EFS は、予測不可能でファイルシステムに固有のEFSファイルハンドルを安全に生成します。ルートディレクトリのオーバーライドが実行されている場合、 は指定されたルートディレクトリ外のファイルのファイルハンドルを公開EFSしません。ただし、場合によっては、 out-of-band メカニズムを使用して、アクセスポイント外のファイルのファイルハンドルを取得することがあります。たとえば、2 番目のアクセスポイントにアクセスできる場合は、これを行う可能性があります。これを行うと、ファイルに対して読み取りおよび書き込みオペレーションを実行できます。

ユーザーのアクセスポイントのルートディレクトリ内外のファイルへのアクセスに対しては、ファイルの所有権とアクセス許可が常に適用されます。