Lustre ルートスカッシュ

ルートスカッシュは、既存のネットワークベースのアクセス制御と POSIX ファイルに対するアクセス許可の上に、ファイルアクセス制御の新たなレイヤーを追加する管理機能です。ルートスカッシュ機能を使用すると、ルートとして FSx for Lustre ファイルシステムへのアクセスを試みるクライアントに対し、ルートレベルのアクセスを制限することができます。

FSx for Lustre のファイルシステムにおけるアクセス許可の管理など、管理アクションを実行するには、ルートユーザーとしてのアクセス許可が必要です。ただし、ルートアクセスでは、ユーザーに無制限のアクセス権を付与されます。また、ファイルシステムオブジェクトへのアクセス、変更、または削除に関するパーミッションチェックを、バイパスすることも可能になります。ルートスカッシュ機能を使用すると、ファイルシステムに対して非ルートのユーザー ID (UID) とグループ ID (GID) を指定することで、データの不正なアクセスや削除を防ぐことができます。ファイルシステムにアクセスするルートユーザーは、低い権限が指定されたユーザーやグループに自動的に変換され、ストレージ管理者が設定する制限付きの権限を使用します。

ルートスカッシュ機能では、ルートスカッシュ設定の影響を受けないクライアントのリストを、オプションで設定することもできます。これらのクライアントは、権限に制限なく、ルートとしてファイルシステムにアクセスできます。

ルートスカッシュの仕組み

ルートスカッシュ機能は、ルートユーザーのユーザー ID (UID) とグループ ID (GID) を、Lustre システム管理者が指定した UID と GID に再マッピングすることで機能します。ルートスカッシュ機能では、UID/GID の再マッピングが適用されないクライアントのセットを、オプションで指定することも可能です。

新しく作成した FSx for Lustre ファイルシステムでは、デフォルトでルートスカッシュが無効化されています。ルートスカッシュを有効にするには、FSx for Lustre ファイルシステムに対し、UID および GID のルートスカッシュ設定を行います。UID と GID の値は、0～4294967294 整数です。

ファイルシステムの作成時に、Amazon FSx コンソールを使用して、ファイルシステムの作成時にルートスカッシュを有効にするには (コンソール) に示すように、[ルートスカッシュ] プロパティにルートスカッシュ UID および GID 値を指定できます。 AWS CLI または API で RootSquashパラメータを使用して、 に示すように UID と GID の値を指定することもできますファイルシステムの作成時にルートスカッシュを有効にするには (CLI)。

オプションで、ルートスカッシュが適用されないクライアントのために、NID のリストを指定することもできます。クライアントの NID は、Lustre Network でクライアントを一意に識別するために使用される識別子です。NID は、単一のアドレスとして指定する、またはアドレスの範囲として指定することができます。

ファイルシステムを作成または更新する際に、Amazon FSx コンソールで [ルートスカッシュの例外] プロパティを使用して、クライアントの NID のリストを指定できます。 AWS CLI または API で、 NoSquashNidsパラメータを使用します。詳細については、「ルートスカッシュの管理」の手順を参照してください。

ルートスカッシュの管理

ファイルシステムの作成中、デフォルトでは、ルートスカッシュは無効になっています。Amazon FSx コンソール、 AWS CLI、または API を使用して新しい Amazon FSx for Lustre ファイルシステムを作成する際に、ルートスカッシュを有効にできます。

{

    "FileSystems": [
        {
            "OwnerId": "111122223333",
            "CreationTime": 1549310341.483,
            "FileSystemId": "fs-0123456789abcdef0",
            "FileSystemType": "LUSTRE",
            "FileSystemTypeVersion": "2.15",
            "Lifecycle": "CREATING",
            "StorageCapacity": 2400,
            "VpcId": "vpc-123456",
            "SubnetIds": [
                "subnet-123456"
            ],
            "NetworkInterfaceIds": [
                "eni-039fcf55123456789"
            ],
            "DNSName": "fs-0123456789abcdef0.fsx.us-east-2.amazonaws.com",
            "ResourceARN": "arn:aws:fsx:us-east-2:123456:file-system/fs-0123456789abcdef0",
            "Tags": [
                {
                    "Key": "Name",
                    "Value": "Lustre-TEST-1"
                }
            ],
            "LustreConfiguration": {
                "DeploymentType": "PERSISTENT_2",
                "DataCompressionType": "LZ4",
                "PerUnitStorageThroughput": 250,
                "RootSquashConfiguration": {
                    "RootSquash": "65534:65534", 
                    "NoSquashNids": "10.216.123.47@tcp 10.216.29.176@tcp"
            }
        }
    ]
}

Amazon FSx コンソール、または API を使用して AWS CLI、既存のファイルシステムのルートスカッシュ設定を更新することもできます。例えば、ルートスカッシュの UID と GID の値を変更したり、クライアントの NID を追加または削除したり、ルートスカッシュを無効化したりできます。

$ aws fsx update-file-system \
    --file-system-id fs-0123456789abcdef0 \
    --lustre-configuration RootSquashConfiguration={RootSquash="65534:65534", \
          NoSquashNids=["10.216.123.47@tcp", "10.216.12.176@tcp"]}

ファイルシステムのルートスカッシュ設定は、Amazon FSx コンソールの [ファイルシステムの詳細] ページの [概要] パネル、または describe-file-systems CLI コマンド (同等の API アクションは DescribeFileSystems) の応答で確認できます。