在 Linux 客户端上装载 SMB Azure 文件共享

适用于： ✔️ SMB 文件共享

可以使用 SMB 内核客户端在 Linux 分发版中装载Azure文件共享。

本文介绍如何使用 NTLMv2 身份验证（存储帐户密钥）装载 SMB Azure文件共享。 出于安全原因，首选基于标识的身份验证。 请参阅 通过 SMB 为访问 Azure 文件的 Linux 客户端启用 Active Directory 身份验证。

协议

默认情况下，Azure 文件在传输中强制实施加密。 SMB 加密从 SMB 3.0 开始可用。 Azure 文件还支持不支持 SMB 加密的 SMB 2.1。 因此，出于安全原因，Azure 文件存储不允许从另一个Azure区域或本地使用 SMB 2.1 装载文件共享，而无需其他网络配置。 应使用 SMB 3.1.1，除非应用程序特别需要较旧版本。

如果上表中未列出 Linux 分发版，请使用 uname 以下命令检查 Linux 内核版本：

uname -r

先决条件

• 确保已安装 cifs-utils 包。 使用所选 Linux 分发版上的包管理器安装最新版本的 cifs-utils 包。

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

在其他分发版上，请使用相应的包管理器，或从源编译。

• 最新版本的 Azure 命令行接口 (CLI)。 若要详细了解如何安装 Azure CLI，请参阅安装 Azure CLI 并选择操作系统。 如果想要在 PowerShell 6+ 中使用 Azure PowerShell 模块，可以。 但是，本文中的说明适用于Azure CLI。

• 确保端口 445 已打开：SMB 通过 TCP 端口 445 进行通信。 确保防火墙或 ISP 未阻止来自客户端计算机的 TCP 端口 445。 替换 <your-resource-group> 和 <your-storage-account>，然后运行以下脚本：

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  如果连接成功，则会看到如下所示的输出：

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  如果网络上阻止了端口 445，则可以使用 VPN 连接或Azure ExpressRoute。 有关详细信息，请参阅直接访问 Azure 文件共享时的网络注意事项。

权限

本文中的所有装载脚本都使用默认的 0755 Linux 文件和文件夹权限装载文件共享。 此权限设置授予文件或目录所有者的读取、写入和执行权限，并为所有者组和其他用户中的用户读取和执行权限。 根据组织的安全策略，可能需要在装载选项中设置备用 uid/gid 或 dir_mode 和 file_mode 权限。 若要详细了解如何设置权限，请参阅 Unix 符号表示法。 有关装载选项的列表，请参阅装载选项。

Unix 样式权限支持

您还可以通过使用客户端强制访问控制，并在您的装载命令中添加 modefromsid,idsfromsid 装载选项，为 SMB Azure 文件共享提供 Unix 样式的权限支持。 若要使此支持正常工作：

• 所有访问该共享的客户端都需要使用 modefromsid,idsfromsid 进行挂载。
• UID 和 GID 必须跨所有客户端保持一致。
• 客户端必须运行以下受支持的 Linux 发行版之一：Ubuntu 20.04+、SLES 15 SP3+。

延迟关闭和双协议访问

Linux SMB 客户端使用称为 延迟关闭 （句柄缓存）的性能优化。 当应用程序关闭文件时，客户端可能会延迟将 SMB CLOSE 请求发送到服务器，默认情况下最多一秒钟，以防文件快速重新打开。 当Azure 文件存储收到写入后的 CLOSE 请求时，它会更新文件的上次修改时间（LMT），并因此更新其 ETag。

如果同时通过 SMB 和 FileREST API（双协议访问）访问同一文件共享，则此延迟可能会导致竞争条件。 SMB 客户端完成写入并关闭文件后，REST 客户端读取该文件的 ETag 并开始条件操作时，可能会因延迟的 CLOSE 请求到达并更新 LMT 和 ETag 而失败，并出现“文件已被并发修改”错误（HTTP 412 前提条件失败）。

对于在 SMB 写入程序和基于 REST 的读取程序之间交接文件的工作负载，请通过添加 closetimeo=0 挂载选项来禁用延迟关闭。 此选项会强制客户端立即发送 SMB CLOSE 请求（并最终确定 LMT 和 ETag），从而消除竞态条件，但代价是打开和关闭性能会略有下降。

使用 mount 按需装载 Azure 文件共享

在 Linux OS 上装载文件共享时，远程文件共享将在本地文件系统中以文件夹的形式表示。 可将文件共享装载到系统上的任何位置。 以下示例将装载到 /media 路径下。 可以通过修改 $MNT_ROOT 变量将此路径更改为首选路径。

请将 <resource-group-name>、<storage-account-name> 和 <file-share-name> 替换为适合你的环境的信息。

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

接下来，运行以下脚本来初始化凭据文件。

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

现在，你可以使用凭据文件通过 mount 命令装载文件共享。 在以下示例中，该 $SMB_PATH 命令使用存储帐户的文件终结点的完全限定域名进行填充。 有关 SMB 装载选项的列表，请参阅装载选项。

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

如果需要，还可将同一个 Azure 文件共享装载到多个装入点。

使用完 Azure 文件共享后，请使用 sudo umount $mntPath 卸载共享。

自动装载文件共享

在 Linux OS 上装载文件共享时，远程文件共享将在本地文件系统中以文件夹的形式表示。 可将文件共享装载到系统上的任何位置。 以下示例将装载到 /media 路径下。 可以通过修改 $MNT_ROOT 变量将此路径更改为首选路径。

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

使用存储帐户名称作为文件共享的用户名，将存储帐户密钥用作密码。 因为存储帐户凭据可随时更改，所以应将存储帐户的凭据与装载配置分开存储。

以下示例演示如何创建一个用于存储凭据的文件。 请记得将 <resource-group-name> 和 <storage-account-name> 替换为适合你的环境的信息。

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

若要自动装载文件共享，可以选择通过 /etc/fstab 实用工具使用静态装载，或者通过 autofs 实用工具使用动态装载。

通过 /etc/fstab 进行静态装载

使用前面创建的环境，在挂载文件夹下为存储帐户和文件共享创建文件夹。 请将 <file-share-name> 替换为你的 Azure 文件共享的相应名称。

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

最后，在 /etc/fstab 文件中为 Azure 文件共享创建一条记录。 在以下命令中，使用默认的 0755 Linux 文件和文件夹权限。 这些权限表示：所有者（基于文件或目录在 Linux 中的所有者）具有读取、写入和执行权限，所有者组中的用户具有读取和执行权限，而系统中的其他用户也具有读取和执行权限。 您可能希望根据需要为挂载设置备用的 uid 和 gid 或 dir_mode 和 file_mode 权限。 若要详细了解如何设置权限，请参阅 UNIX 数值表示法。 有关 SMB 装载选项的列表，请参阅装载选项。

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

通过 autofs 进行动态装载

若要使用 autofs 实用工具动态装载文件共享，请使用所选 Linux 分发版上的包管理器进行安装。

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

接下来，更新 autofs 配置文件。 有关 SMB 装载选项的列表，请参阅 装载选项。

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

最后一步是重启 autofs 服务。

sudo systemctl restart autofs

使用密码轮换进行挂载

定期轮换密码（存储帐户密钥）是一种安全最佳做法。 不过，过去这种做法需要预先安排一些计划内停机时间。 现在，可以指定装载选项 password2= ，以便在主密码过期或轮换时，文件共享装载将继续运行，不会给用户造成停机。 传递给 Linux SMB 客户端的此可选第二个机密可实现无缝凭据轮换，而无需卸载共享或中断 I/O。

当启用此挂载选项时，客户端在会话建立和重新连接期间都会接受 password 和 password2，因此您可以在旧密钥仍在使用时引入新密钥。

可通过以下两种方式之一提供 password2 ：

• 在 SMB 凭据文件中，与用户名和密码一起
• 在命令行中更新现有卷挂载：-o password2=new-secret，包括在轮转期间通过 -o remount 更新

先决条件

需要使用 cifs-utils 版本 7.4 或更高版本才能使用 password2 装载选项。 除了正确的 cifs-utils 包之外，Linux 分发版还必须支持下表中突出显示的最低所需内核版本：

通过凭据文件

将这两个机密放入凭据文件中，然后使用凭据进行装载。 轮换时，先更新 password2 到新密钥，重新装载或等待重新连接，然后在下一个维护时段交换值，使新密钥变为 password。

# /etc/smbcredentials/<storage-account-name>.cred
username=<storage-account-name>
password=<current-key>
password2=<new-rotating-key>

更新现有卷装载

如果您已经在受支持的发行版上挂载了卷，且安装了适当版本的 cifs-utils，则可以使用以下命令，通过添加 password2= 选项来修改挂载选项。

# During rotation:
sudo mount -o remount,password2=<new-rotating-key> /mnt/share

装载选项

在 Linux 上装载 SMB Azure文件共享时，请使用以下装载选项。

后续步骤

若要详细了解如何通过 Linux 使用 SMB Azure 文件共享，请参阅：

• 排查 Linux 上的一般 SMB 问题