高度な NAS 管理に関するよくある質問 - File Storage NAS - Alibaba Cloud ドキュメントセンター

ライフサイクル管理機能はどのような場合に有効にできますか。

汎用型 NAS ファイルシステム内のファイルに月に 1〜3 回アクセスする場合、ライフサイクルポリシーを設定して、ファイルを低頻度アクセス (IA) ストレージクラスにダンプします。IA ストレージクラスの課金項目に基づいて課金されます。
汎用型 NAS ファイルシステム内のファイルに四半期に 1〜2 回アクセスする場合、ライフサイクルポリシーを設定して、ファイルをアーカイブストレージクラスにダンプします。アーカイブストレージクラスの課金項目に基づいて課金されます。
ストレージコストをさらに削減するには、IA ストレージクラスとアーカイブストレージクラスの両方にライフサイクルポリシーを設定します。ファイルがライフサイクルポリシーで設定されたルールを満たす場合、File Storage NAS (NAS) は最小限のオーバーヘッドでライフサイクルポリシーを実行します。詳細については、「ライフサイクル管理」をご参照ください。

ファイルシステムでライフサイクル管理機能を有効にできないのはなぜですか。

データ暗号化機能が有効になっているファイルシステムでは、ライフサイクル管理機能は利用できません。

ライフサイクルポリシーはどのように設定しますか。

NAS コンソールを使用するか、CreateLifecyclePolicy 操作を呼び出してライフサイクルポリシーを設定します。詳細については、「ライフサイクルポリシーの管理」および「CreateLifecyclePolicy」をご参照ください。

ライフサイクル管理機能を無効にするにはどうすればよいですか。

汎用型 NAS ファイルシステムでライフサイクル管理機能を有効にすると、長期間アクセスされていないコールドデータを IA またはアーカイブストレージクラスにダンプできます。この機能は、ストレージコストの削減に役立ちます。

ライフサイクル管理機能の使用を停止する場合は、次の手順を実行して機能を無効にします。

NAS コンソールにログインします。
左側のナビゲーションウィンドウで、[ライフサイクル管理] > [ライフサイクルポリシー] を選択します。
上部のナビゲーションバーで、ファイルシステムが存在するリソースグループとリージョンを選択します。
[ライフサイクルポリシー] ページで、削除するライフサイクルポリシーを見つけ、[操作] 列の [削除] をクリックします。表示されるメッセージで、[OK] をクリックします。
ライフサイクルポリシーが削除されると、ライフサイクルポリシーに一致するデータは IA またはアーカイブストレージクラスにダンプされなくなります。ポリシーが削除される前にデータが IA またはアーカイブストレージクラスにダンプされていた場合、データは IA またはアーカイブストレージクラスに残ります。IA またはアーカイブストレージクラスのストレージ使用量に基づいて課金されます。

IA またはアーカイブストレージクラスから標準ストレージクラスにデータを取得する方法の詳細については、「データ取得タスクの作成」をご参照ください。

IA またはアーカイブストレージクラスにダンプできるファイルはどれですか。

次の条件を満たすファイルは、IA またはアーカイブストレージクラスにダンプできます。

ファイルが保存されているディレクトリにライフサイクルポリシーが設定されている。
ファイルのサイズが 64 KiB から 4.88 TiB の範囲内である。
ライフサイクルポリシーで指定された期間中にファイルにアクセスがない。
ライフサイクルポリシーを作成する際、過去 14 日、30 日、60 日、または 90 日間アクセスされていないファイルを IA ストレージクラスにダンプするルールを設定します。また、過去 14 日、30 日、60 日、90 日、または 180 日間アクセスされていないファイルをアーカイブストレージクラスにダンプするルールも設定できます。ライフサイクル管理機能は、ファイルが最後にアクセスされた時刻を示す atime パラメーターに基づいて、ファイルが低頻度アクセスかどうかをチェックします。
- ファイルの atime は、ファイルに対して次の操作を実行すると更新されます。
  - ファイルからデータを読み取る。
  - ファイルにデータを書き込む。
- ファイルの atime は、ファイルに対して次の操作を実行しても更新されません。
  - ファイルの名前を変更する。
  - ファイルのユーザー、グループ、モード、またはその他の属性を変更する。

1 つのディレクトリに複数のライフサイクルポリシーを設定した場合はどうなりますか。

ディレクトリ内のファイルがライフサイクルポリシーのいずれかのルールに一致する場合、NAS は最小限のオーバーヘッドでライフサイクルポリシーを実行します。

ディレクトリとその親ディレクトリに異なるライフサイクルポリシーを設定した場合はどうなりますか。

たとえば、あるディレクトリに対して「過去 14 日間アクセスがないデータを IA ストレージクラスにダンプする」というライフサイクルポリシーを設定し、その親ディレクトリに対して「過去 60 日間アクセスがないデータを IA ストレージクラスにダンプする」というライフサイクルポリシーを設定したとします。この場合、そのディレクトリ内で過去 14 日間アクセスがなかったファイルが IA ストレージクラスにダンプされます。システムが親ディレクトリに設定されたライフサイクルポリシーに基づいて低頻度アクセスのファイルをチェックする際、すでに IA ストレージクラスにダンプされているファイルはスキップされます。

ライフサイクルポリシーは指定されたディレクトリ内のすべてのデータに有効ですか。

はい、ライフサイクルポリシーは指定されたディレクトリ内のすべてのデータに有効です。指定されたディレクトリ内のファイルデータがライフサイクルポリシーに一致する場合、データは自動的に IA またはアーカイブストレージクラスにダンプされます。

ライフサイクルポリシーに一致するファイルを IA またはアーカイブストレージクラスにダンプするのにどのくらい時間がかかりますか。

ファイルを IA またはアーカイブストレージクラスにダンプするために必要な時間は、ファイルシステムのストレージ使用量とファイルのサイズによって異なります。ライフサイクル管理機能を有効にした後、指定されたライフサイクルポリシーに一致するファイルは 2〜24 時間以内に IA またはアーカイブストレージクラスにダンプされます。その後のファイルダンプは、毎週特定の時点で行われます。

ライフサイクルポリシーが設定されているディレクトリの名前を変更した場合はどうなりますか。

ライフサイクルポリシーが設定されているディレクトリの名前を変更すると、そのライフサイクルポリシーはディレクトリ内のファイルに対して効力を失います。IA またはアーカイブストレージクラスにダンプされたファイルは、IA またはアーカイブストレージクラスに残ります。

名前を変更したディレクトリにライフサイクルポリシーを再設定すると、そのライフサイクルポリシーはディレクトリ内のファイルに対して有効になります。ライフサイクルポリシーに一致するファイルは、IA またはアーカイブストレージクラスにダンプされます。

ライフサイクルポリシーが削除された場合はどうなりますか。

ライフサイクルポリシーが削除されると、指定されたディレクトリ内のファイルは IA またはアーカイブストレージクラスにダンプされなくなります。IA またはアーカイブストレージクラスにダンプされたファイルは、IA またはアーカイブストレージクラスに残ります。

既存のライフサイクルポリシーを削除してからディレクトリにライフサイクルポリシーを再設定すると、ディレクトリ内のファイルは繰り返しダンプされますか。

いいえ、ファイルは繰り返しダンプされません。ライフサイクルポリシーを再設定した後、システムはライフサイクルポリシーに基づいて低頻度アクセスのファイルをチェックし、すでに IA またはアーカイブストレージクラスにダンプされているファイルをスキップします。これにより、ファイルが繰り返しダンプされることはありません。

IA またはアーカイブストレージクラスに保存されているファイルからデータを読み書きできますか。

はい、IA またはアーカイブストレージクラス内のファイルから、ファイルシステム内の他のファイルと同様にデータを読み書きできます。さまざまなストレージクラスのパフォーマンスの詳細については、「汎用型 NAS ファイルシステムのストレージクラス」をご参照ください。

ファイルシステム内のどのファイルが IA またはアーカイブストレージクラスに保存されていますか。

IA またはアーカイブストレージクラスに保存されているファイルを照会するには、NAS コンソールを使用するか、ListDirectoriesAndFiles 操作を呼び出します。詳細については、「IA またはアーカイブストレージクラスに保存されているファイルの表示」および「ListDirectoriesAndFiles」をご参照ください。

IA ストレージクラスのファイルへの読み書きのレイテンシーは、標準ストレージクラスのファイルへの読み書きのレイテンシーよりも高いですか。

場合によります。汎用型 NAS ファイルシステム (パフォーマンス、プレミアム、またはキャパシティ) の場合、IA ストレージクラスのファイルを初めて読み取る際のレイテンシーは、標準ストレージクラスのファイルからデータを読み取る際のレイテンシーよりも高くなることがあります。その後、IA ストレージクラスのファイルを読み取る際のレイテンシーは、標準ストレージクラスのファイルからデータを読み取る際のレイテンシーとほぼ同じです。

IA ストレージクラスのファイルにデータを書き込む際のレイテンシーは、標準ストレージクラスのファイルにデータを書き込む際のレイテンシーとほぼ同じです。さまざまなストレージクラスのパフォーマンスの詳細については、「汎用型 NAS ファイルシステムのストレージクラス」をご参照ください。

アーカイブストレージクラスのファイルへの読み書きのレイテンシーは、標準ストレージクラスのファイルへの読み書きのレイテンシーよりも高いですか。

場合によります。汎用型 NAS ファイルシステム (パフォーマンス、プレミアム、またはキャパシティ) の場合、アーカイブストレージクラスのファイルを初めて読み取る際のレイテンシーは、標準ストレージクラスのファイルからデータを読み取る際のレイテンシーよりも高くなることがあります。その後、アーカイブストレージクラスのファイルを読み取る際のレイテンシーは、標準ストレージクラスのファイルからデータを読み取る際のレイテンシーとほぼ同じです。

アーカイブストレージクラスのファイルにデータを書き込む際のレイテンシーは、標準ストレージクラスのファイルにデータを書き込む際のレイテンシーとほぼ同じです。さまざまなストレージクラスのパフォーマンスの詳細については、「汎用型 NAS ファイルシステムのストレージクラス」をご参照ください。

ファイルが IA ストレージクラスにダンプされた場合、どのように課金されますか。

ファイルが IA ストレージクラスにダンプされた場合、IA ストレージクラスの課金項目に基づいて課金されます。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

ファイルがアーカイブストレージクラスにダンプされた場合、どのように課金されますか。

ファイルがアーカイブストレージクラスにダンプされた場合、アーカイブストレージクラスの課金項目に基づいて課金されます。アーカイブストレージクラスに必要な最小ストレージ期間は 60 日です。ファイルが 60 日 (1,440 時間) 保存される前に削除、取得、またはサイズが縮小された場合、残りのストレージ期間 (1440 - 実際のストレージ期間) に対してストレージ料金が発生し、その料金はアーカイブされたファイルの元のサイズに基づいて計算されます。

ファイルの最小ストレージ期間は、ファイルがダンプされた時刻とファイルが変更された時刻 (mtime) のうち、遅い方のタイムスタンプから開始されます。違約金は 24 時間以内に一度だけ課金されます。ファイルを変更すると、アーカイブストレージクラスでのファイルのストレージ期間はリセットされます。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

IA ストレージクラスのコールドデータは、アクセス後に自動的にホットデータに変換されますか。

いいえ、コールドデータはアクセス後に自動的にホットデータに変換されません。データが IA ストレージクラスにダンプされた後、データは永続的に IA ストレージクラスに保存されます。IA ストレージクラスのコールドデータにアクセスすると、読み取りおよび書き込みトラフィックに対して課金されます。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

IA ストレージクラスのデータに頻繁にアクセスする必要がある場合は、データ取得タスクを作成して、特定のファイルまたはディレクトリから標準ストレージクラスにデータを取得します。データ取得タスクを実行して必要なデータを読み取ると、読み取りトラフィックに対して課金されます。詳細については、「データ取得タスクの作成」をご参照ください。

IA ストレージクラスからファイルを取得するためにデータ取得タスクを作成するにはどうすればよいですか。

データ取得タスクを作成するには、NAS コンソールを使用するか、CreateLifecycleRetrieveJob 操作を呼び出します。詳細については、「データ取得タスクの作成」または「CreateLifecycleRetrieveJob」をご参照ください。

データ取得タスクの実行中にファイルシステムの読み取りまたは書き込みパフォーマンスに影響はありますか。

いいえ、ファイルシステムの読み取りまたは書き込みパフォーマンスに影響はありません。データ取得タスクの実行中も、通常どおりデータの読み書きができます。

データ取得タスクは課金されますか。

はい、データ取得タスクは課金されます。データ取得タスクを実行すると、システムは指定されたファイルからデータを読み取ります。ファイルのサイズとストレージクラスに基づいて、IA またはアーカイブストレージクラスからのファイルの読み取りに対して課金されます。データ取得タスクが完了すると、ファイルは標準ストレージクラスに移動されます。ファイルが占有するストレージスペースに対して課金されます。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

IA またはアーカイブストレージクラスに保存されているファイルをバックアップする場合、どのように課金されますか。

Cloud Backup を使用して汎用型 NAS ファイルシステムの IA またはアーカイブストレージクラスに保存されているファイルをバックアップする場合、Cloud Backup の課金項目に基づいて課金されます。詳細については、「課金方法と課金項目」をご参照ください。

IA またはアーカイブストレージクラスからファイルをバックアップするには、Cloud Backup がファイルからデータを読み取ります。そのため、読み取りトラフィックに対して課金されます。トラフィック料金は NAS の請求書に含まれます。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

セキュリティサービスを使用して IA またはアーカイブストレージクラスのファイルをスキャンする場合、どのように課金されますか。

Security Center のランサムウェア対策サービスなどのセキュリティサービスが、汎用型 NAS ファイルシステムの IA またはアーカイブストレージクラスのファイルをスキャンすると、サービスはファイルからデータを読み取ります。File Storage NAS は、IA またはアーカイブストレージクラスのアクセストラフィック料金を請求します。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

クラシックネットワークでマウントポイントを作成する際に、RAM を使用して必要な権限を付与する必要があるのはなぜですか。

ファイルシステムにアクセスする ECS インスタンスを認証するために、NAS に権限を付与する必要があります。ファイルシステムのデータセキュリティを確保するため、NAS は、ご利用の Alibaba Cloud アカウントの ECS インスタンスのみがクラシックネットワークのマウントポイントを使用してファイルシステムにアクセスすることを許可します。ファイルシステムと ECS インスタンスは、同じ Alibaba Cloud アカウントに属している必要があります。ファイルシステムにアクセスする ECS インスタンスを認証するには、Resource Access Management (RAM) の権限付与を使用して、ECS インスタンスのリストを取得する権限を NAS に付与する必要があります。

重要

権限付与を完了すると、NAS は DescribeInstances 操作のみを呼び出すことができます。NAS は ECS インスタンスの情報を認証にのみ使用します。
権限付与を完了した後は、RAM の AliyunNASDefaultRole ロールを削除または編集しないでください。そうしないと、マウントの失敗やファイルシステムのエラーなどの例外が発生する可能性があります。

ファイルシステムに対する完全な制御権限を持つ RAM ユーザーとして NAS コンソールにログインした後、ファイルシステムを表示できないのはなぜですか。

問題：
ファイルシステムに対する完全な制御権限を持つ Resource Access Management (RAM) ユーザーとして NAS コンソールにログインした後、[ファイルシステムリスト] ページに移動するとエラーメッセージが表示されます。
原因：
RAM ユーザーにタグに対する権限が付与されていません。tag:ListTagKeys 権限も付与する必要があります。

ソリューション：

カスタムポリシーで、アクセスしたいファイルシステムのタグに対する権限を RAM ユーザーに付与します。詳細については、「RAM ポリシーを使用した NAS リソースへのアクセスの制御」をご参照ください。

{
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "nas:*",
            "Resource": "acs:nas:*:*:filesystem/0ddaf487b2"
        },
        {
            "Effect": "Allow",
            "Action": "nas:CreateMountTarget",
            "Resource": "acs:vpc:*:*:vswitch/*"
        },
        {
            "Effect": "Allow",

            "Action": "cms:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "nas:DescribeFileSystems",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "tag:ListTagKeys",
            "Resource": "*"
        }
    ],
    "Version": "1"
}

Windows AD ドメインの新しいユーザーに SMB マウントディレクトリの権限を付与するのに時間がかかる場合はどうすればよいですか。

SMB マウントディレクトリの権限を新しいユーザーに付与する際、Windows は必要な権限を付与する前にディレクトリ内のすべてのファイルを走査します。この問題は、ネットワーク遅延が原因で発生する可能性があります。この問題を解決するには、icacls コマンドや PowerShell コマンド Set-Acl などの同時実行用のコマンドラインスクリプトを実行します。詳細については、「icacls」または「Set-Acl」をご参照ください。

keytab ファイルを検証するにはどうすればよいですか。

開始する前に、keytab ファイルを再生成し、-mapuser パラメーターを有効にします。

重要

-mapuser オプションを有効にすると、他のファイルシステムのマウントポイントとユーザー間の既存のマッピングは無効になります。たとえば、mapuser パラメーターがユーザー someone をマウントポイント 1 にマップし、次にユーザー someone をマウントポイント 2 にマップした場合、ユーザー someone はマウントポイント 2 にのみアクセスできます。このため、検証を実行する際には、mapuser パラメーターを使用してマウントポイントを異なるユーザーにマップしてください。

例

ktpass -princ cifs/file-system-id.region.nas.aliyuncs.com@EXAMPLE.com -ptype KRB5_NT_PRINCIPAL -mapuser alinas@example.com -crypto All -out c:\nas-mount-target.keytab -pass tHeP****d123

example.com: 構築したい AD ドメインの名前です。小文字のドメイン名に置き換えてください。
EXAMPLE.com: 構築したい AD ドメインの名前です。大文字のドメイン名に置き換えてください。

手順

kinit ツールがインストールされている Linux クライアントにログインします。
説明
クライアントは AD ドメインにアクセスできる必要があります。または、DNS を AD サーバーとして設定する必要があります。Linux クライアントの設定方法の詳細については、「AD ドメインユーザーとして Linux クライアントで SMB ファイルシステムをマウントして使用する」をご参照ください。

/etc/krb5.conf ファイルに次の内容を追加します。

 [realms]
 EXAMPLE.COM = {
     kdc = iZisovkei9i*****.example.com
     admin_server = iZisovkei9i****.example.com
 }
[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

上記の内容で、iZisovkei9i*****.example は AD サーバーです。実際の値に置き換えてください。

説明

クライアントが CentOS を実行している場合は、次の内容も追加する必要があります。

    default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
    default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
    permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5

クライアントが AD サーバーに接続できることを確認します。
```
kinit aliyun.nas@example.com
```
- コマンドの出力にアカウント情報が含まれている場合、クライアントの Kerberos 設定は正しいです。
- エラー KDC replay did not match expectations while getting initial credentials が返された場合は、/etc/krb5.conf ファイル内のすべての AD ドメイン名を大文字のドメイン名に置き換えてください。
(オプション)keytab ファイル内のマウントポイントが、ご利用のファイルシステムのマウントポイントであることを確認します。
```
klist -k -t <keytab_file_name>.keytab
```
keytab ファイルを検証できます。
```
kinit -k -t <keytab file name>.keytab cifs/file-system-id.region.nas.aliyuncs.com@EXAMPLE.COM
```
上記のコマンドで、file-system-id.region.nas.aliyuncs.com はファイルシステムのマウントポイントです。実際の値に置き換えてください。EXAMPLE.COM は AD ドメインです。実際の大文字のドメイン名に置き換えてください。
エラーが発生しなければ、keytab ファイルは正しいです。

AccessKey ペアを取得するにはどうすればよいですか。

ご利用の Alibaba Cloud アカウントを使用してコンソールにログインします。
右上隅のプロファイルアイコンにポインターを移動し、[AccessKey] をクリックします。
[メインアカウントの AccessKey は推奨されません] ダイアログボックスで、[メインアカウントの AccessKey を使用] または [RAM ユーザーの AccessKey を使用] を選択します。
- Alibaba Cloud アカウントの AccessKey ペアを使用する
  1. [メインアカウントの AccessKey を使用する際のセキュリティリスクを認識しています] を選択し、[メインアカウントの AccessKey を使用] をクリックします。
  2. [AccessKey の作成] をクリックします。
  3. [メインアカウントの AccessKey の作成] ダイアログボックスで、セキュリティリスクと制限を再度確認します。 AccessKey ペアを作成するには、[メインアカウントの AccessKey を使用する際のセキュリティリスクを理解しています] を選択し、[メインアカウントの AccessKey を使用] をクリックします。
  4. [AccessKey の作成] ダイアログボックスで、 AccessKey ID と AccessKey Secret を保存し、[AccessKey Secret を保存しました] を選択し、[OK] をクリックします。
    (オプション) AccessKey ネットワークアクセス制御の設定：AccessKey ペアを使用する API リクエストのソース IP アドレスを制限できます。これにより、AccessKey ペアへのアクセスを信頼できるネットワーク環境に制限することで、セキュリティが向上します。AccessKey ペアが使用されるネットワーク環境を特定し、[設定に移動] をクリックすることをお勧めします。詳細については、「RAM ユーザーの AccessKey レベルのネットワークアクセス制限ポリシーの設定」をご参照ください。
    重要
    漏洩のリスクを減らすため、Alibaba Cloud アカウントの AccessKey Secret は作成時にのみ表示されます。後で取得することはできません。安全に保管してください。
- RAM ユーザーの AccessKey ペアを使用する
  1. [RAM ユーザーの AccessKey を使用] をクリックします。
  2. Resource Access Management (RAM) コンソールにリダイレクトされます。[ユーザー] ページで、AccessKey ペアを取得したい RAM ユーザーを見つけます。
    説明
    RAM ユーザーが存在しない場合は、RAM ユーザーを作成します。詳細については、「RAM ユーザーの作成」をご参照ください。
    RAM ユーザーの AccessKey Secret は、AccessKey ペアが作成されたときにのみ表示され、後で取得することはできません。AccessKey Secret は機密情報として保管してください。
    AccessKey ペアが漏洩または紛失した場合は、新しいものを作成してください。各 RAM ユーザーに対して最大 2 つの AccessKey ペアを作成できます。
  3. ユーザーのログイン名をクリックします。
  4. [認証]タブの [AccessKey] セクションで、[AccessKey を作成] をクリックします。
  5. 各シナリオの提案を読み、ビジネス要件に基づいて資格情報ソリューションを選択します。AccessKey ペアを作成する必要がある場合は、シナリオを選択し、[AccessKey の作成が必要であることを確認します] を選択して、[続行] をクリックします。作成された AccessKey ペアは、すべてのシナリオで使用できます。
  6. [AccessKey の作成] ダイアログボックスで、 AccessKey ID と AccessKey Secret を保存し、 [OK] をクリックします。

NAS のサーバ側暗号化機能を使用するにはどうすればよいですか。

ファイルシステムを作成する際に、必要に応じて暗号化方法を [NAS マネージドキー] または [カスタムキー (KMS)] に設定します。詳細については、「コンソールで汎用型 NAS ファイルシステムを作成する」および「コンソールで超高速型 NAS ファイルシステムを作成する」をご参照ください。

ファイルシステムがまだ有効になっていない場合、サーバ側暗号化を使用できますか。

いいえ。サーバ側暗号化機能は、ファイルシステムを作成するときにのみ有効にできます。

ファイルシステムのサーバ側暗号化機能を無効にできますか。

いいえ。サーバ側暗号化機能は有効になるとすぐに有効になり、無効にすることはできません。

ファイルシステムの暗号化に使用するキーを変更できますか。

いいえ。ファイルシステムの暗号化に使用するキーは作成時にバインドされ、変更することはできません。

NAS マネージドキーとカスタムキーのどちらを選択すればよいですか。

どちらのキー管理方法も、Key Management Service (KMS) を使用してキーをホストし、エンベロープ暗号化メカニズムを使用して不正なデータアクセスを防ぎます。

Bring-Your-Own-Key (BYOK) を使用するための特定のセキュリティ要件がある場合は、カスタムキーを選択します。その他のシナリオでは、NAS マネージドキーを使用します。

重要

カスタムキーを使用する場合、キーが無効化または削除されると、そのキーで暗号化された NAS ファイルシステムにアクセスできなくなります。

NAS のサーバ側暗号化機能は SM4 アルゴリズムをサポートしていますか。

いいえ、サポートしていません。NAS のサーバ側暗号化機能は、業界標準の AES-256 暗号化アルゴリズムを使用してファイルシステム内の静的データを保護し、エンベロープ暗号化メカニズムを使用して不正なデータアクセスを防ぎます。サーバ側暗号化キーは、Key Management Service (KMS) によって生成および管理されます。KMS は、キーの機密性、完全性、可用性を確保するのに役立ちます。暗号化の詳細については、「エンベロープ暗号化を使用してデータをローカルで暗号化および復号する」をご参照ください。

CMK が誤って無効化または削除された場合、NAS ファイルシステム内のデータへのアクセスを復元するにはどうすればよいですか。

カスタマーマスターキー (CMK) が無効になっている場合は、CMK を再度有効にします。
キーを削除するタスクをスケジュールしている場合は、キーの削除リクエストをキャンセルします。詳細については、「キー削除のスケジュール」をご参照ください。
Bring-Your-Own-Key (BYOK) キーのキーマテリアルが削除された場合は、元のキーマテリアルを再アップロードします。詳細については、「キーマテリアルのインポート」をご参照ください。
CMK が削除された場合、復元することはできず、ファイルシステム内のデータにアクセスできなくなります。

サーバ側暗号化機能を有効にした後、アプリケーションはアクセスごとにデータを復号する必要がありますか。

いいえ、必要ありません。データの暗号化と復号のプロセスは NAS によって自動的に処理されます。アプリケーションを変更する必要はありません。

サーバ側暗号化を有効にすると、ファイルシステムのパフォーマンスに影響しますか。

サーバ側暗号化を有効にすると、NAS はデータがファイルシステムに書き込まれるときにデータを暗号化し、ファイルシステムから読み取られるときにデータを自動的に復号します。ファイルシステムの読み取りおよび書き込みパフォーマンスは、主に各読み取りおよび書き込み操作における読み取りおよび書き込みブロックのサイズに影響されます。サーバ側暗号化が無効になっている同じ仕様のファイルシステムと比較して、サーバ側暗号化が有効になっているファイルシステムのパフォーマンスは約 5% から 25% 低下します。詳細については、「ファイルシステムの読み取りおよび書き込みパフォーマンスに影響を与える要因」をご参照ください。

ファイルシステムの保管時のサーバ側暗号化が有効になっている場合、有効ストレージ容量は減少しますか。

ファイルシステムの有効容量は減少しません。保管時の暗号化では、データを自動的にパディングするブロック暗号である高度暗号化標準 (AES) を使用します。このパディングデータは、ファイルシステムインスタンスの有効ストレージ容量にはカウントされません。

File Storage NAS は inotify をサポートしていますか。

rsync で inotify を使用することは、リアルタイムのデータバックアップと同期のための一般的なソリューションです。ただし、inotify の実装メカニズムのため、inotifywait は NAS ファイルシステムで期待どおりに機能しません。

inotifywait の仕組み
inotifywait は、Linux カーネルサブモジュール inotify のユーザーモードインターフェイス実装です。inotify は仮想ファイルシステム (VFS) レイヤーで実装されています。ファイル操作が VFS レイヤーに到達すると、inotify モジュールは操作タイプ (作成、削除、プロパティ変更など) と操作オブジェクト (ファイル名) に関するフィードバックをユーザーモードに送信します。その後、ユーザーモードの inotifywait は操作情報をユーザーに出力できます。
NAS で inotifywait を使用する際の問題
inotify はカーネルの VFS レイヤーで実装されているため、リモートクライアントがネットワークファイルシステム (NFS) ファイルシステムに対して実行する操作は、ローカルカーネルでは検出できません。したがって、inotify はリモートクライアントからのファイル変更操作を検出できません。このため、NAS で inotifywait を使用する場合、たとえば、NAS ファイルシステムをクライアント A とクライアント B に同時にマウントし、クライアント A で inotifywait を開始してマウントディレクトリを監視すると、次の現象が発生します。
- クライアント A のマウントディレクトリ内のファイルに対する操作は、inotifywait で検出できます。
- クライアント B のマウントディレクトリ内のファイルに対する操作は、inotifywait で検出できません。
代替ソリューション
代替ソリューションとして File Alteration Monitor (FAM) を使用します。FAM は、ファイルまたはディレクトリの変更を監視するために使用されるライブラリです。これはユーザーモードで実装されています。原理は、バックグラウンドでデーモンを実行してディレクトリを定期的にスキャンし、ファイルの変更情報を取得することです。ただし、FAM を使用するには次の欠点があります。
- 機能を実装するには、クライアントで FAM インターフェイスを呼び出すプログラムを作成する必要があります。
- ファイルが多いシナリオでは、このソリューションはパフォーマンスが低く、大量のリソースを消費する可能性があり、良好なリアルタイム性を実現できません。

ファイルバックアップジョブをキャンセルした場合、バックアップされたファイルは保持されますか。

実行中のバックアップジョブをキャンセルすると、そのジョブでバックアップされたすべてのファイルがクリアされ、バックアップボールトには保持されません。ファイルをバックアップするには、バックアップジョブを再度実行してください。

完了したジョブでバックアップされたファイルは影響を受けません。

ファイルバックアップ機能を使用しているときに、ファイル復元ジョブをキャンセルした場合、復元されたファイルは保持されますか。

ファイル復元ジョブをキャンセルすると、そのジョブで復元されたファイルは指定されたディレクトリに保存されます。ジョブ内の他のファイルは復元されません。

NAS ファイルバックアップの無料トライアル期間はどのように計算されますか。

どの NAS ファイルシステムでも、最初のバックアッププランを作成してから 30 日以内は、ファイルバックアップ機能を無料で試すことができます。

たとえば、2021 年 5 月 1 日に、ファイルシステム A のために backup01 という名前のバックアッププランを作成したとします。2021 年 5 月 30 日まで、ファイルバックアップ機能を無料で試すことができます。試用期間が終了した後、有料モードに切り替えてバックアッププランを引き続き使用するか、バックアッププランを削除することができます。詳細については、「Cloud Backup の課金」をご参照ください。

削除されたファイルはすべて一時的にゴミ箱に保存されますか。

ゴミ箱を有効にすると、削除されたファイルやディレクトリは一時的にゴミ箱に保存されます。これには、以下が含まれますが、これらに限定されません。

ECS インスタンスやコンテナーなどの計算ノードで手動で削除した NAS 内のファイル。たとえば、rm -f test01.text コマンドを手動で実行して test01.text ファイルを削除した場合、test01.text ファイルはゴミ箱に移動されます。
計算ノード上のアプリケーションによって自動的に削除された NAS 内のファイルまたはディレクトリ。たとえば、Python が os.remove("test02.text") を使用して test02.text ファイルを削除した場合、test02.text ファイルはゴミ箱に移動されます。
POSIX の rename 操作によって削除されたファイルまたはディレクトリ。たとえば、同じディレクトリに test_a.txt と test_b.txt ファイルが存在し、mv test_a.txt test_b.txt を実行した場合、test_b.txt ファイルはゴミ箱に移動されます。
NAS ファイルを使用するアプリケーションによって生成された一時ファイル。たとえば、vim コマンドを実行してファイルを編集すると、生成された .swp および .swpx ファイルはゴミ箱に移動されます。
アプリケーションによって自動的にローテーションされるログファイル。たとえば、Nginx を使用して自動ログローテーションを設定し、最大 20 個のログファイルを保持する場合、ログファイル test.log.19 がログファイル test.log.20 にローテーションされると、元のログファイル test.log.20 はゴミ箱に移動されます。

説明

ファイルの内容を上書きするだけで削除しない場合、ファイルはゴミ箱に移動されません。たとえば、open() 関数を呼び出して w+ モードでファイルを開いて書き込む場合、元のファイルはゴミ箱に移動されません。

ファイルシステムのディレクトリ名が変更された場合、ゴミ箱からのファイル復元操作でファイルを元のディレクトリに復元できますか。

はい、できます。ゴミ箱からファイルを元のディレクトリに復元する場合、復元操作は元のディレクトリの FileId を識別子として使用します。元のディレクトリは名前が変更された後も正しく識別され、ファイルは新しいパスに復元されます。たとえば、ゴミ箱機能を有効にし、ディレクトリ dir1 からファイル file1.txt を削除し、その後ディレクトリ dir1 を dir2 に名前変更したとします。NAS コンソールのゴミ箱で、ファイル file1.txt がディレクトリ dir2 にあることがわかります。ファイル復元タスクを実行した後、計算ノードでファイル file1.txt がディレクトリ dir2 にあることがわかります。

ファイルの復元は、ゴミ箱からと Cloud Backup からのどちらが速いですか。

ゴミ箱からのファイルの復元の方が速いです。ゴミ箱からファイルを復元する場合、File Storage NAS はデータのコピーではなく、ファイルメタデータの移行のみを行う必要があります。そのため、ゴミ箱からのファイルの復元は、Cloud Backup からのファイルの復元よりも大幅に高速です。

ゴミ箱の使用には料金がかかりますか。

ゴミ箱機能は無料ですが、ゴミ箱に一時的に保存されているファイルは、元のストレージクラスに基づいてストレージ料金が課金されます。たとえば、ストレージ最適化ファイルシステムからファイルを削除した場合、そのファイルはストレージ最適化容量の単価に基づいて課金されます。IA ストレージクラスからファイルを削除した場合、そのファイルは IA ストレージ容量の単価に基づいて課金されます。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

ゴミ箱内のファイルを照会するにはどうすればよいですか。

NAS コンソールを使用して、削除された時刻など、ゴミ箱に一時的に保存されているファイルに関する情報を照会します。詳細については、「ゴミ箱内のファイルの照会」をご参照ください。

ゴミ箱内のファイルを読み書きできますか。

いいえ。削除されたファイルやディレクトリを照会することしかできません。ゴミ箱機能が有効になっている場合、削除されたファイルは一時的にゴミ箱に保存されます。ゴミ箱内のファイルを読み書きするには、ファイル復元操作を実行する必要があります。ファイルが復元された後、読み書きできます。詳細については、「ゴミ箱からファイルを復元する」をご参照ください。

汎用型 NAS ファイルシステム内のファイルが削除された後、ゴミ箱にある間も NAS ファイルシステムのファイル数や容量を占有し、NAS の制限に早く達する原因になりますか。

いいえ、なりません。ゴミ箱に一時的に保存されているファイルは、NAS のファイル数にカウントされたり、容量を占有したりしません。また、インスタンスが NAS ファイルシステムインスタンスのストレージ容量やファイル数の制限に早く達する原因にもなりません。各 NAS ストレージクラスでサポートされているストレージ容量とファイル数の詳細については、「制限事項」をご参照ください。

説明

ゴミ箱に一時的に保存されているファイルは、元のストレージクラスに基づいて課金されます。詳細については、「汎用型 NAS ファイルシステムの課金」をご参照ください。

CloudMonitor API を使用して NAS のモニタリングデータを表示する際にエラーが発生するのはなぜですか。

設定した MetricName パラメーターが正しくないためにエラーが発生する可能性があります。NAS は、CloudMonitor サービスを通じてファイルシステムインスタンスのパフォーマンスと容量のリアルタイムモニタリングをサポートしています。サポートされているメトリックは次の表にリストされています。CloudMonitor API を使用して NAS のモニタリングデータを表示する方法については、「CloudMonitor API を使用したモニタリングデータの表示」をご参照ください。

容量モニタリング

ファイルシステムタイプ	MetricName	メトリック	単位	説明
汎用型 NAS ファイルシステム	AlignedSize	汎用型 NAS ファイルシステムのデータ量 (IA ストレージクラスを除く)	バイト	指定された期間内にファイルシステムに保存されているデータの量。IA ストレージクラスに保存されているデータの量は含まれません。
	SecondaryAlignedSize	IA ストレージクラスのデータ量	バイト	ファイルシステムのライフサイクル管理機能が有効になった後、指定された期間内に IA ストレージクラスに保存されているデータの量。
	FileCount	ファイル数	N/A	指定された期間内のファイルシステム内のファイル数。ディレクトリは除きます。
	OfflineReadQuantity	IA ストレージクラスの読み取りトラフィック	バイト	ライフサイクル管理機能が有効になった後、IA ストレージクラスのデータにアクセスする際に生成される読み取りトラフィック。
	OfflineWriteQuantity	IA ストレージクラスの書き込みトラフィック	バイト	ライフサイクル管理機能が有効になった後、IA ストレージクラスのデータにアクセスする際に生成される書き込みトラフィック。
	ArReadQuantity	アーカイブストレージクラスの読み取りトラフィック	バイト	ライフサイクル管理機能が有効になった後、アーカイブストレージクラスのデータにアクセスする際に生成される読み取りトラフィック。
	ArWriteQuantity	アーカイブストレージクラスの書き込みトラフィック	バイト	ライフサイクル管理機能が有効になった後、アーカイブストレージクラスのデータにアクセスする際に生成される書き込みトラフィック。
	ArDeletePenaltyOpCount	違約金が発生するアーカイブ済みファイルの削除操作数	N/A	アーカイブストレージクラスに 60 日未満保存されたファイルが削除された回数。ライフサイクル管理機能が有効になった後、ファイルがアーカイブストレージクラスに 60 日未満保存された場合、残りのストレージ期間に対して課金されます。
	ArTruncatePenaltyOpCount	違約金が発生するアーカイブ済みファイルの切り捨て操作数	N/A	アーカイブストレージクラスに 60 日未満保存されたファイルが切り捨てられた回数。ライフサイクル管理機能が有効になった後、ファイルがアーカイブストレージクラスに 60 日未満保存された場合、残りのストレージ期間に対して課金されます。
	ArRetrievePenaltyOpCount	違約金が発生するアーカイブ済みファイルの取得操作数	N/A	アーカイブストレージクラスに 60 日未満保存されたファイルが取得された回数。ライフサイクル管理機能が有効になった後、ファイルがアーカイブストレージクラスに 60 日未満保存された場合、残りのストレージ期間に対して課金されます。
超高速型 NAS ファイルシステム	ExtremeCapacity	超高速型 NAS ファイルシステムの総ストレージ容量	バイト	指定された期間内の超高速型 NAS ファイルシステムの総容量。
	ExtremeCapacityUsed	超高速型 NAS ファイルシステムのデータ量	バイト	指定された期間内に超高速型 NAS ファイルシステムに保存されているデータの量。
	ExtremeInodeLimit	超高速型 NAS ファイルシステムの最大ファイル数	N/A	指定された期間内に超高速型 NAS ファイルシステムで作成できるファイルの最大数。
	ExtremeInodeUsed	超高速型 NAS ファイルシステムの使用済みファイル数	N/A	指定された期間内に超高速型 NAS ファイルシステムで作成されたファイルの数。

パフォーマンスモニタリング

MetricName	メトリック	単位	説明
IopsRead	読み取り IOPS	requests/s	指定された期間内のファイルシステムの平均読み取り IOPS。
IopsWrite	書き込み IOPS	requests/s	指定された期間内のファイルシステムの平均書き込み IOPS。
ThruputRead	読み取りスループット	bytes/s	指定された期間内のファイルシステムの 1 秒あたりの平均読み取りスループット。
ThruputWrite	書き込みスループット	bytes/s	指定された期間内のファイルシステムの 1 秒あたりの平均書き込みスループット。
LatencyRead	読み取りレイテンシー	ms	指定された期間内のファイルシステムの 1 ミリ秒あたりの平均読み取りレイテンシー。
LatencyWrite	書き込みレイテンシー	ms	指定された期間内のファイルシステムの 1 ミリ秒あたりの平均書き込みレイテンシー。
QpsMeta	メタデータ QPS	requests/s	指定された期間内にファイルシステムが 1 秒あたりにメタデータを要求する平均回数。

アクセスポイントポリシーとシステムポリシー AliyunNASFullAccess および AliyunNASReadOnlyAccess の関係は何ですか。

ポリシー	説明
アクセスポイントポリシー	アクセスポイントポリシーは、Alibaba Cloud NAS がアクセスポイントクライアントに提供する権限付与ポリシーです。AliyunNASReadOnlyAccess および AliyunNASFullAccess システムポリシーを必要とせず、異なる RAM ユーザーまたは RAM ロールに直接付与できます。これにより、よりきめ細かい要件を満たし、より柔軟な権限管理が可能になります。アクセスポイントクライアントがサポートするアクセス権限： nas:ClientMount: ファイルシステムをマウントし、データを読み取る権限。 nas:ClientWrite: データを書き込む権限。この権限は、ファイルシステムをマウントし、ファイルシステムからデータを読み取り、ファイルシステムにデータを書き込むために、nas:ClientMount 権限と一緒に設定する必要があります。 nas:ClientRootAccess: root ユーザーとしてファイルシステムにアクセスする権限。この権限が付与されていない場合、root ユーザーとしてファイルシステムにアクセスすると、nobody ユーザーとして最小限の権限が付与されます。 POSIX ユーザーがアクセスポイントにバインドされている場合、POSIX ユーザーも nas:ClientRootAccess 権限の影響を受けます。たとえば、POSIX ユーザーが root ユーザーとしてバインドされているが、nas:ClientRootAccess 権限が付与されていない場合、アクセスポイント経由でファイルシステムがマウントされた後に I/O 操作を実行するすべての POSIX ユーザーは、最終的に nobody ユーザーとして最小限の権限が付与されます。 nobody ユーザーは Linux 上で最小限の権限を持ち、ファイルシステムのパブリックコンテンツにのみアクセスできます。これにより、ファイルシステムのセキュリティが確保されます。
AliyunNASReadOnlyAccess	NAS ファイルシステムへの読み取り専用アクセスを許可するシステムポリシーです。この権限を持つ RAM ユーザーまたは RAM ロールは、ファイルシステム情報のみを表示でき、アクセスポイントクライアントに対する実行権限やアクセス権限はありません。
AliyunNASFullAccess	NAS ファイルシステムに対する完全な管理権限を許可するシステムポリシーです。この権限はリスクが高いため、使用は推奨されません。この権限を持つ RAM ユーザーまたは RAM ロールは、NAS ファイルシステムインスタンスリソースの削除、変更、ゴミ箱の有効化などの操作を実行できます。さらに、アクセスポイントポリシーが有効になった後、RAM ユーザーまたは RAM ロールはデフォルトでアクセスポイントクライアントへのアクセス権限を持ちます。

Java/Tomcat が NAS SMB にアクセスできない問題の解決方法

原因：
デフォルトでは、Tomcat などの Windows サービスは Local System アカウントで起動します。このアカウントは、現在のユーザーがマウントした NAS SMB ネットワークパスにアクセスできないため、アプリケーションのアクセスが失敗します。
ソリューション：
1. 管理者としてサービスマネージャーを開きます。
2. サービスの一覧で、ご利用の Tomcat サービス (名前は Apache Tomcat またはカスタム名の場合があります) を見つけます。
3. サービスを右クリックし、[プロパティ] を選択します。
4. [ログオン] タブに切り替えます。
5. [このアカウント] オプションを選択し、現在の管理者アカウントを入力します。
6. [適用] をクリックし、次に [OK] をクリックします。
7. サービスの一覧で、Tomcat サービスを右クリックし、[再起動] を選択して新しい ID を適用します。