管理接入点

鉴权说明

当NAS收到某个计算节点的请求后，NAS会检查相应的接入点策略以验证请求者是否拥有所需的权限。

使用限制

• 启用接入点策略后，默认禁止所有账号（主账号、RAM用户、RAM角色）使用接入点挂载和访问数据，您需要先配置接入点客户端权限策略，并授权给RAM用户或RAM角色，然后才能通过接入点进行挂载访问。

• 对于未开启接入点策略并已挂载使用的接入点，启用接入点策略可能会造成正在运行的业务中断。

• 如果RAM用户或RAM角色已被授予NAS文件系统的完全管理权限AliyunNASFullAccess，则默认该RAM用户或RAM角色有接入点客户端的所有权限。该权限风险很高，不推荐使用。更多信息，请参见接入点策略与系统策略AliyunNASFullAccess、AliyunNASReadOnlyAccess的关系是什么？。

操作步骤

1. 为接入点所属文件系统启用RAM策略。

   1. 登录NAS控制台。

   2. 在左侧导航栏，选择文件系统 > 接入点。

   3. 在页面左侧顶部，选择目标文件系统所在的资源组和地域。

      

   4. 在接入点页面，单击目标接入点操作列的管理。

   5. 在接入点详情页面下的接入点策略页签，打开RAM策略开关并确认。

      状态表示已启用RAM策略。

2. 配置接入点客户端权限策略。

   1. 使用阿里云账号登录RAM控制台。

   2. 在左侧导航栏，选择权限管理 > 权限策略。

   3. 在权限策略页面，单击创建权限策略。

   4. 在创建权限策略页面，单击脚本编辑页签。

   5. 根据业务需求配置以下权限策略内容，然后单击确定。

      • 单个操作权限

        {
          "Version": "1",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": "nas:ClientMount",
              "Resource": "acs:nas:<Region>:<account-id>:filesystem/<FilesystemId>",
              "Condition": {
                "StringEquals": {
                  "nas:AccessPointArn": "<接入点ARN>"
                }
              }
            }
          ]
        }

      • 多个操作权限

        {
          "Version": "1",
          "Statement": [
            {
              "Effect": "Allow",
              "Action": [
                "nas:ClientMount",
                "nas:ClientWrite"
               ],
              "Resource": [
                "acs:nas:<Region>:<account-id>:filesystem/<FilesystemId>"
               ],
              "Condition": {
                "StringEquals": {
                  "nas:AccessPointArn": "<接入点ARN>"
                }
              }
            }
          ]
        }

        重要参数说明请参见下表。

        参数	说明
        Action	您可以为接入点客户端配置多个操作权限。取值： nas:ClientMount：支持挂载文件系统和读取数据。 nas:ClientWrite：支持写数据。不单独使用，需要同时授权ClientMount以支持文件系统挂载和读写。 nas:ClientRootAccess：允许使用root账号访问。 如果没有授权该操作，以root用户身份访问时，将映射成nobody用户。 如果接入点绑定了Posix用户，则该Posix用户也受ClientRootAccess影响。例如，绑定了Posix用户为root，但是没有授权ClientRootAccess，通过该接入点挂载后所有IO的Posix用户最终会映射为nobody用户。 nobody用户是Linux系统的默认用户，只能访问服务器上的公共内容，具有低权限，高安全性的特点。
        Resource	接入点所属文件系统资源。格式为acs:nas:<region>:<account-id>:filesystem/<FilesystemId>。格式说明如下： region：接入点所属文件系统所在地域。例如：cn-hangzhou，您可以在接入点的ARN中找到region信息。具体操作，请参见查看接入点ARN。 account-id：阿里云账号ID。例如：123456789012***。 FilesystemId：接入点所属文件系统的ID。例如：0d9f24****，您可以在文件系统列表页面获取文件系统ID。
        nas:AccessPointArn	接入点的ARN。例如，acs:nas:cn-hangzhou:117848947****:accesspoint/fsap-1。您可以在接入点的基本信息页面中获取ARN。具体操作，请参见查看接入点ARN。

   6. 在创建权限策略对话框，输入策略名称和备注。

   7. 单击确定。

3. 为RAM用户或RAM角色授权接入点客户端权限策略。

   说明

   • RAM角色不具备永久身份凭证，而只能通过STS获取可以自定义时效和访问权限的临时身份凭证，即安全令牌（STS Token）。该方式只适用于短期访问NAS，当STS Token过期后，RAM角色如果继续访问文件系统，IO将会报错。

   • 当您为RAM用户或RAM角色授权后，授权信息分发机制需要一定的时间来确保授权生效。您需要等待一定的时间，授权才能在云产品中生效。更多信息，请参见为什么RAM授权后，没有立刻在云产品中生效？。

   • 为RAM用户授权。

     1. 创建RAM用户。具体操作，请参见创建RAM用户。

        如果RAM用户已创建，请跳过该步骤，执行下一步。

     2. 将接入点客户端权限策略（自定义策略）授权给RAM用户。具体操作，请参见为RAM用户授权。

   • 为RAM角色授权。

     1. 创建RAM角色。具体操作，请参见创建可信实体为阿里云账号的RAM角色。

        如果RAM角色已创建，请跳过该步骤，执行下一步。

     2. 将接入点客户端权限策略（自定义策略）授权给RAM角色，同时您还需要为RAM角色授予STS的管理权限（AliyunSTSAssumeRoleAccess）。具体操作，请参见为RAM角色授权。

接入点策略配置完成后，您就可以通过接入点挂载NAS文件系统。具体操作，请参见Linux系统通过接入点访问文件系统。