Linux クライアントに SMB Azure ファイル共有をマウントする

Azure ファイル共有は、SMB カーネル クライアントを使用して Linux ディストリビューションにマウントできます。

この記事では、NTLMv2 認証 (ストレージ アカウント キー) を使用して SMB Azure ファイル共有をマウントする方法を示します。 セキュリティ上の理由から、ID ベースの認証を使用することをお勧めします。 「Azure Files にアクセスする Linux クライアントに対して SMB 経由の Active Directory 認証を有効にする」を参照してください。

適用対象

管理モデル	課金モデル	メディア階層	冗長性	中小企業	ネットワークファイルシステム（NFS）
Microsoft.Storage	プロビジョニング済み v2	HDD (標準)	ローカル (LRS)
Microsoft.Storage	プロビジョニング済み v2	HDD (標準)	ゾーン (ZRS)
Microsoft.Storage	プロビジョニング済み v2	HDD (標準)	ジオ （GRS）
Microsoft.Storage	プロビジョニング済み v2	HDD (標準)	ジオゾーン (GZRS)
Microsoft.Storage	プロビジョニング済み v1	SSD (プレミアム)	ローカル (LRS)
Microsoft.Storage	プロビジョニング済み v1	SSD (プレミアム)	ゾーン (ZRS)
Microsoft.Storage	従量課金制	HDD (標準)	ローカル (LRS)
Microsoft.Storage	従量課金制	HDD (標準)	ゾーン (ZRS)
Microsoft.Storage	従量課金制	HDD (標準)	ジオ （GRS）
Microsoft.Storage	従量課金制	HDD (標準)	ジオゾーン (GZRS)

プロトコル

既定では、Azure Files は転送中の暗号化を強制します。 SMB 暗号化は、SMB 3.0 以降で使用できます。 Azure Files では SMB 2.1 もサポートされていますが、SMB 暗号化はサポートされていません。 その結果、セキュリティ上の理由から、Azure Files では、セキュリティ上の理由から、追加のネットワーク構成なしで、別の Azure リージョンまたはオンプレミスから SMB 2.1 を使用してファイル共有をマウントすることはできません。 アプリケーションで特に古いバージョンが必要な場合を除き、SMB 3.1.1 を使用する必要があります。

お使いの Linux ディストリビューションが表にない場合は、 uname コマンドで Linux カーネルのバージョンを確認できます。

uname -r

前提条件

• cifs-utils パッケージがインストールされていることを確認します。任意の Linux ディストリビューションに、パッケージ マネージャーを使用して cifs-utils パッケージの最新バージョンをインストールします。

sudo apt update
sudo apt install cifs-utils

sudo dnf install cifs-utils

sudo yum install cifs-utils

sudo zypper install cifs-utils

他のディストリビューションでは、適切なパッケージ マネージャーを使用するか、ソースからコンパイルします。

• Azure コマンド ライン インターフェイス (CLI) の最新バージョン。 Azure CLI をインストールする方法の詳細については、Azure CLI のインストールに関するページを参照し、ご利用のオペレーティング システムを選択してください。 PowerShell 6 以降で Azure PowerShell モジュールを使用することは可能ですが、この記事の手順は Azure CLI 用に提供されています。

• ポート 445 が開いていることを確認する: SMB は、TCP ポート 445 経由で通信します。ファイアウォールまたは ISP によってクライアント コンピューターの TCP ポート 445 がブロックされないことを確認してください。 <your-resource-group> と <your-storage-account> を置き換えて、次のスクリプトを実行します。

  RESOURCE_GROUP_NAME="<your-resource-group>"
  STORAGE_ACCOUNT_NAME="<your-storage-account>"
  
  # This command assumes you have logged in with az login
  HTTP_ENDPOINT=$(az storage account show \
      --resource-group $RESOURCE_GROUP_NAME \
      --name $STORAGE_ACCOUNT_NAME \
      --query "primaryEndpoints.file" --output tsv | tr -d '"')
  SMBPATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})
  FILE_HOST=$(echo $SMBPATH | tr -d "/")
  
  nc -zvw3 $FILE_HOST 445
  

  接続に成功した場合、次のような出力が表示されます。

  Connection to <your-storage-account> 445 port [tcp/microsoft-ds] succeeded!
  

  ネットワーク上でポート 445 がブロックされている場合は、VPN 接続または ExpressRoute を使用できます。 詳細については、直接の Azure ファイル共有アクセスのネットワークに関する考慮事項に関するページを参照してください。

アクセス許可

この記事のすべてのマウント スクリプトは、既定の 0755 Linux ファイルとフォルダーのアクセス許可を使用してファイル共有をマウントします。 これは、ファイルとディレクトリの所有者の場合は読み取り、書き込み、実行、所有者グループ内のユーザーの場合は読み取りと実行、他のユーザーの場合は読み取りと実行を意味します。 組織のセキュリティ ポリシーによっては、マウント オプションで代替の uid/gid または dir_mode および file_mode アクセス許可を設定することもできます。 アクセス許可を設定する方法の詳細については、UNIX シンボリック表記に関するページを参照してください。 マウント オプションの一覧については、「マウント オプション」を参照してください。

Unix スタイルのパーミッションのサポート

また、クライアントによるアクセス制御を使用し、マウント コマンドに modefromsid,idsfromsid マウント オプションを追加することで、SMB Azure ファイル共有に対する Unix スタイルのアクセス許可のサポートを取得することもできます。 これを機能させるには、次の操作を行います。

• 共有にアクセスするすべてのクライアントは、 modefromsid,idsfromsid
• UID/GID は、すべてのクライアントで均一である必要があります
• クライアントは、サポートされている Linux ディストリビューション Ubuntu 20.04+、SLES 15 SP3+ のいずれかを実行している必要があります。

Azure ファイル共有を mount を使用してオンデマンドでマウントする

Linux OS でファイル共有をマウントすると、リモートのファイル共有がローカル ファイル システム内のフォルダーとして表示されます。 ファイル共有は、システム上の任意の場所にマウントできます。 次の例では、/media パス下にマウントします。 これは、$MNT_ROOT 変数を変更することで任意のパスに変更できます。

<resource-group-name>、<storage-account-name>、<file-share-name> をお使いの環境に適した情報に置き換えます。

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"
FILE_SHARE_NAME="<file-share-name>"

MNT_ROOT="/media"
MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"

sudo mkdir -p $MNT_PATH

次に、以下のスクリプトを実行して資格情報ファイルを初期化します。

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

これで、mount コマンドと資格情報ファイルを使ってファイル共有をマウントできます。 次の例では、ストレージ アカウントのファイル エンドポイントの完全修飾ドメイン名を使って $SMB_PATH コマンドを設定しています。 SMB マウント オプションの一覧については、「マウント オプション」を参照してください。

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=3.0,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

# This command assumes you have logged in with az login
HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

sudo mount -t cifs $SMB_PATH $MNT_PATH -o vers=2.1,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks

必要に応じて、同じ Azure ファイル共有を複数のマウント ポイントにマウントすることもできます。

Azure ファイル共有の使用を完了したら、sudo umount $mntPath を使用して共有のマウントを解除してください。

ファイル共有を自動的にマウントする

Linux OS でファイル共有をマウントすると、リモートのファイル共有がローカル ファイル システム内のフォルダーとして表示されます。 ファイル共有は、システム上の任意の場所にマウントできます。 次の例では、/media パス下にマウントします。 これは、$MNT_ROOT 変数を変更することで任意のパスに変更できます。

MNT_ROOT="/media"
sudo mkdir -p $MNT_ROOT

ファイル共有のユーザー名としてストレージ アカウント名を使用し、パスワードとしてストレージ アカウント キーを使用します。 ストレージ アカウントの資格情報は時間が経つと変わる可能性があるため、ストレージ アカウントの資格情報は、マウントの構成とは別に保管しておく必要があります。

次の例は、資格情報を格納するファイルの作成方法を示しています。 <resource-group-name> と <storage-account-name> をお使いの環境に適した情報に置き換えることを忘れないでください。

RESOURCE_GROUP_NAME="<resource-group-name>"
STORAGE_ACCOUNT_NAME="<storage-account-name>"

# Create a folder to store the credentials for this storage account and
# any other that you might set up.
CREDENTIAL_ROOT="/etc/smbcredentials"
sudo mkdir -p "/etc/smbcredentials"

# Get the storage account key for the indicated storage account.
# You must be logged in with az login and your user identity must have
# permissions to list the storage account keys for this command to work.
STORAGE_ACCOUNT_KEY=$(az storage account keys list \
    --resource-group $RESOURCE_GROUP_NAME \
    --account-name $STORAGE_ACCOUNT_NAME \
    --query "[0].value" --output tsv | tr -d '"')

# Create the credential file for this individual storage account
SMB_CREDENTIAL_FILE="$CREDENTIAL_ROOT/$STORAGE_ACCOUNT_NAME.cred"
if [ ! -f $SMB_CREDENTIAL_FILE ]; then
    echo "username=$STORAGE_ACCOUNT_NAME" | sudo tee $SMB_CREDENTIAL_FILE > /dev/null
    echo "password=$STORAGE_ACCOUNT_KEY" | sudo tee -a $SMB_CREDENTIAL_FILE > /dev/null
else
    echo "The credential file $SMB_CREDENTIAL_FILE already exists, and was not modified."
fi

# Change permissions on the credential file so only root can read or modify the password file.
sudo chmod 600 $SMB_CREDENTIAL_FILE

ファイル共有を自動的にマウントするには、/etc/fstab ユーティリティによる静的マウントを使用する方法と autofs ユーティリティによる動的マウントを使用する方法とがあります。

/etc/fstab を使用した静的マウント

以前の環境を使用して、ストレージ アカウントやファイル共有のフォルダーを指定のマウント フォルダー下に作成します。 <file-share-name> は、Azure ファイル共有の適切な名前に置き換えてください。

FILE_SHARE_NAME="<file-share-name>"

MNT_PATH="$MNT_ROOT/$STORAGE_ACCOUNT_NAME/$FILE_SHARE_NAME"
sudo mkdir -p $MNT_PATH

最後に、Azure ファイル共有のレコードを /etc/fstab ファイルに作成します。 次のコマンドでは、Linux のファイルとフォルダーに既定のアクセス許可である 0755 が使用されています。これは、所有者 (ファイルまたはディレクトリの Linux 所有者に基づく) には読み取り、書き込み、および実行が、所有者グループのユーザーには読み取りおよび実行が、システム上の他のユーザーには読み取りおよび実行が許可されることを意味します。 必要に応じて、マウント時に代替の uid と gid または dir_mode と file_mode のアクセス許可を設定できます。 アクセス許可を設定する方法の詳細については、UNIX の数値表記に関する記事を参照してください。 SMB マウント オプションの一覧については、「マウント オプション」を参照してください。

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-${#HTTP_ENDPOINT})$FILE_SHARE_NAME

if [ -z "$(grep $SMB_PATH\ $MNT_PATH /etc/fstab)" ]; then
    echo "$SMB_PATH $MNT_PATH cifs _netdev,nofail,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks" | sudo tee -a /etc/fstab > /dev/null
else
    echo "/etc/fstab was not modified to avoid conflicting entries as this Azure file share was already present. You might want to double check /etc/fstab to ensure the configuration is as desired."
fi

sudo mount -a

autofs を使用した動的マウント

autofs ユーティリティを使用してファイル共有を動的にマウントするには、パッケージ マネージャーを使用して、任意の Linux ディストリビューションにユーティリティをインストールします。

sudo apt update
sudo apt install autofs

sudo dnf install autofs

sudo yum install autofs

sudo zypper install autofs

次に、autofs 構成ファイルを更新します。 SMB マウント オプションの一覧については、「マウント オプション」を参照してください。

FILE_SHARE_NAME="<file-share-name>"

HTTP_ENDPOINT=$(az storage account show \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $STORAGE_ACCOUNT_NAME \
    --query "primaryEndpoints.file" --output tsv | tr -d '"')
SMB_PATH=$(echo $HTTP_ENDPOINT | cut -c7-$(expr length $HTTP_ENDPOINT))$FILE_SHARE_NAME

echo "$FILE_SHARE_NAME -fstype=cifs,credentials=$SMB_CREDENTIAL_FILE,serverino,nosharesock,actimeo=30,mfsymlinks :$SMB_PATH" > /etc/auto.fileshares

echo "/fileshares /etc/auto.fileshares --timeout=60" > /etc/auto.master

最後の手順は、autofs サービスを再起動することです。

sudo systemctl restart autofs

マウント オプション

Linux で SMB Azure ファイル共有をマウントする場合は、次のマウント オプションを使用できます。

次のステップ

Linux での SMB Azure ファイル共有の使用の詳細については、次を参照してください。

• Linux での SMB に関する一般的な問題のトラブルシューティング