Введение
Автоматическое монтирование позволяет пользователям получить доступ к разделяемым ресурсам без явного выполнения операций монтирования, просто через доступ к точке монтирования. Монтирование может выполняться с помощью различных сетевых файловых систем (опция -fstype в параметрах монтирования, или файловая система NFS по умолчанию). Параметры монтирования определяются картами монтирования, хранящимися централизовано в службе каталогов контроллера FreeIPA. В некотором смысле, карты монтирования являются сетевым эквивалентом файла /etc/fstab. При стандартной установке клиента FreeIPA клиентский доступ к картам монтирования осуществляется через службу кеширования данных службы каталогов - службу SSSD. В целом структура данных и правила использования карт монтирования FreeIPA соответствуют правилам использования карт монтирования autofs (см. man 5 autofs, где содержится подробная информация). В данной статье в основном рассматривается использование карт монтирования для монтирования сетевых ресурсов доменными клиентами FreeIPA, хотя возможности автомонтирования не ограничиваются работой только с сетевыми ресурсами.
Применимость автомонтирования
Сервер FreeIPA имеет возможность хранить карты монтирования в своём каталоге, а клиентское ПО FreeIPA имеет возможность получать и применять эти карты. Таким образом, любой (соответственно настроенный) клиент FreeIPA может воспользоваться этим сервисом.
Автоматическое монтирование выполняется при обращении к ресурсу, независимо от того, кто пытается осуществить этот доступ. Поэтому применять автоматическое монтирование следует с осторожностью, в частности автоматическое монтирование удалённого каталога /home непосредственно в локальный каталог /home приведёт к потере домашних каталогов локальных пользователей (так как при попытке обратиться к локальному домашнему каталогу система автомонтитования будет пытаться примонтировать туда (вероятно несуществующий) удалённый каталог). С этой точки зрения более удобным для домашних каталогов является монтирование с помощью pam_automount. (Альтернативой, однако, может быть назначения отдельного каталога для автоматического монтирования домашних каталогов доменных пользователей). При этом монтирование общих сетевых ресурсов удобнее администрируется при помощи централизованного хранилища карт автоматического монтирования.
При создании карты автомонтирования разделяемый ресурс автоматически не создаётся, карты автомонтирования должны ссылаться на уже существующие разделяемые ресурсы (порядок настройки разделяемых ресурсов см. Монтирование домашних каталогов клиентов FreeIPA с ненулевой меткой конфиденциальности NFS - авторизация Kerberos в домене FreeIPA).
При выборе сетевой файловой системы монтирования следует помнить, что файловая система CIFS обеспечивает авторизацию (применительно к доменному клиенту - Kerberos-авторизацию) на уровне пользователей, а файловая система NFS - только на уровне компьютеров. Кроме того, файловая система CIFS при использовании в ОС СН поддерживает работу с конфиденциальными данными (данными, имеющими ненулевую метку конфиденциальности), в том числе монтирование пользовательских домашних каталогов, имеющих ненулевую метку конфиденциальности.Таким образом, для автоматического монтирования приватных пользовательских данных предпочтительной является файловая система CIFS.
В любом случае не следует использовать применяемую по умолчанию файловую систему NFS, вместо неё лучше использовать файловую систему NFSv4 (-type=nfs4).
Типы карт монтирования
Карты монтирования могут быть трёх типов:
- мастер (master);
- прямая (direct);
- косвенная (indirect);
Все типы карт монтирования содержат одинаковые структуры данных:
- ключ;
- информация монтирования:
- необязательные опции монтирования
- описание разделяемого ресурса
Интерпретация содержащихся в карте данных зависит от её типа.
Иерархия карт монтирования
Мастер-карта монтирования
Мастер-карта существует в единственном экземпляре и представляет собой входную точку иерархии карт монтирования. Для мастер-карты зарезервировано название auto.master.
Ключ в мастер-карте интрепретируется как указание на тип подчинённой прямой или косвенной карты монтирования, информация монтирования содержит глобальные опции для подчинённой карты (опции суммируются), и имя подчинённой карты.
Несмотря на то, что мастер-карта существует в единственном экземпляре в базе данных FreeIPA может быть создано несколько иерархий карт монтирования (при установке по умолчанию создаётся одна иерархия с именем default). При настройке клиента можно выбирать, какой именнно иерархией карт монтирование он должен пользоваться.
Прямые карты мотирования
Прямые карты монтирования всегда задаются в мастер-карте специальным ключем “/ -”, например
Блок кода |
---|
/- auto.direct |
В самой прямой карте заданный в ней ключ инерпретируется как полный путь к точке монтирования, а информация монтирования – как опции монтирования и отделённое пробелом имя сетевого ресурса, например:
Блок кода | ||
---|---|---|
| ||
-fstype=cifs,sec=krb5i,vers=1.0 ://ipa0.ipadomain0.ru/svr |
Информация |
---|
Обратите внимание: В примере выше используется файловая система CIFS, и для этой файловой системы имя ресурса монтирования начинается с символа двоеточия. Для файловой системы NFS имя ресурса состоит из имени сервера и пути, разделённых двоеточием (см. примеры ниже). |
Косвенные карты монтирования
В мастер-карте косвенные карты монтирования задаются ключем, представляющим собой полный путь. Например, запись в мастер-карте:
Блок кода |
---|
/share auto.share |
Косвенные карты монтирования привязываются к абсолютному пути точки монтирования из мастер-карты, а ключ в карте дополняет путь после точки монтирования, куда должен монтироваться разделяемый сетевой ресурс. Например, карта auto.share может содержать:
Блок кода |
---|
pub filer.example.com:/export/pub mirror nfs.example.com:/mnt/mrror |
Тогда, с учетом приведённого выше примера мастер-карты (где задана точка монтирования /share), клиент может монтировать разделяемый ресурс NFS в /share/pub и /share/mirror.
Настройка карт автомонтирования на сервере FreeIPA
WEB-интерфейс
Карты автомонтирования могут быть настроены с помощью графического WEB-интерфейса FreeIPA: "Сетевые службы" - "Автомонтирование":
По умолчанию при запуске сервера FreeIPA создается иерархия карт ("Расположение автомонтирования") с именем "default", содержащая мастер-карту, и карты auto.durect и auto.home:
Командная строка
Для управления параметрами карт автомонтирования из командной строки предусмотрен комплект соответствующих инструментов. Справка по инструментам и их список доступны из команды
Command |
---|
ipa help automoumt |
Справочно список команд:
Блок кода |
---|
automountkey-add Создать новый ключ автомонтирования
automountkey-del Удалить ключ автомонтирования
automountkey-find Поиск ключа автомонтирования
automountkey-mod Изменить ключ автомонтирования
automountkey-show Показать ключ автомонтирования
automountlocation-add Создать новое расположение автомонтирования
automountlocation-del Удалить расположение автомонтирования
automountlocation-find Поиск расположения автомонтирования
automountlocation-import Импортировать файлы автомонтирования для определённого расположения
automountlocation-show Показать расположение автомонтирования
automountlocation-tofiles Создать файлы автомонтирования для определённого расположения
automountmap-add Создать новый список соответствия автомонтирования
automountmap-add-indirect Создать новую непрямую точку монтирования
automountmap-del Удалить список соответствия автомонтирования
automountmap-find Поиск списка соответствия автомонтирования
automountmap-mod Изменить список соответствия автомонтирования
automountmap-show Показать список соответствия автомонтирования
|
Настройка клиентов
Установить пакеты:
Примечание Пакеты для монтирования CIFS и NFS могут быть установлены и использоваться совместно, однако при использовании авторизации Kerberos для совместного использования потребуется решать проблему выбора билетов Kerberos: - NFS использует билет компьютера, создающийся при загрузке и хранящийся в файле /tmp/krb5ccmachine_REALM;
- CIFS использует билеты пользователей, создающиеся при авторизации польщователей, и хранящиеся в KEYRING, однако обнаружив билет компьютера безуспешно пытается авторизоваться с этим билетом.
Для монтирования файловой системы CIFS:
Command sudo apt install autofs cifs-utils Для монтирования файловой системы NFS:
Command sudo apt install autofs nfs-common
- Включить автоматическое монтирование на клиентской машине:
- Если машина ещё не введена в домен FreeIPA, то использовать при вводе в домен опцию --automount-location=<имя_иерархии_карт>;
Если машина уже была введена в домен FreeIPA, то выполнить команду включения автомонтирования (в примере ниже использовано имя иерархии карт default):
Command sudo ipa-client-automount --location=default
По необходимости настроить клиентские пакеты, проверить их функционирование, проверить доступность разделяемых ресурсов (см. Монтирование домашних каталогов клиентов FreeIPA с ненулевой меткой конфиденциальности NFS - авторизация Kerberos в домене FreeIPA).
Предупреждение Некорректно настроенное атомонтирование домашних каталогов приведёт к невозможности входа любых пользователей. Включить использование для автоматического монтирования карт монтирования, предоставляемых FreeIPA, для чего в файл /etc/nsswitch.conf добавить строчку:
Блок кода autofs: sss files
Предупреждение Если в результате некорректно настроенного автомонтирования каталогов доступ к машине утерян, то для восстановления доступа достаточно удалить эту строчку (из режима восстановления, или, в особо тяжёлых случаях, загрузившись с Live-CD).