阿里云文件存储nas如何让他无法访问

1、首先需要建立一个单独的文件存储区域，在FileStation文件总管中选定卷进行创建共享文件夹。

2、建立他人的账号密码，并分配文件夹的权限。首先打开控制台，选择用户。

3、共享文件夹权限：可以将NAS里面的文件夹对于成员A大侠设置为只读、读写、禁止访问。咱们可以将专属文件夹A和公共文件夹Public设为读写，其他的设置为禁止读写。

4、最后，点击创建即可。

5、进入NAS登录页面，选择咱们刚才创建的A用户的账号密码进行登录。

6、进入文件管理器，可以看到咱们只能看到3个文件夹，一个是home，这个是家用户目录自动打开的，一个是公共文件夹Public，还有一个就是专属的文件夹了。

由于阿里云线上有NAS存储，又不能公网访问，所以本地通过软件构建一个NAS以供测试。

NFS的挂载原理

NFS分为客户端与服务器端，一般设置为一个Server端，多个客户端，也可设置为多对多，当服务器端设置好共享目录/data后，客户端通过相应的访问权限，将共享目录挂载到本地系统的某个目录下，就可以透明的看到共享目录里的文件了，依据服务器制定的相应权限做 *** 作

NFS服务器与客户端的通信原理

客户端NFS和服务端NFS通讯过程

1）首先服务器端启动RPC服务，并开启111端口

2）启动NFS服务，并向RPC注册端口信息

3）客户端启动RPC（portmap服务），向服务端的RPC(portmap)服务请求服务端的NFS端口

4）服务端的RPC(portmap)服务反馈NFS端口信息给客户端。

5）客户端通过获取的NFS端口来建立和服务端的NFS连接并进行数据的传输。

NFS系统守护进程

nfsd：它是基本的NFS守护进程，主要功能是管理客户端是否能够登录服务器；

mountd：它是RPC安装守护进程，主要功能是管理NFS的文件系统。

当客户端顺利通过nfsd登录NFS服务器后，在使用NFS服务所提供的文件前，还必须通过文件使用权限的验证。它会读取NFS的配置文件/etc/exports来对比客户端权限。

portmap：主要功能是进行端口映射工作。当客户端尝试连接并使用RPC服务器提供的服务（如NFS服务）时，portmap会将所管理的与服务对应的端口提供给客户端，从而使客户可以通过该端口向服务器请求服务。

环境：

新建一个虚拟机，系统安装使用最小化安装，可参照我前面的文章，有详细介绍。一般情况是系统盘是和数据盘分开。系统盘在线上我一般情况是分配20G，如果是容器等应用系盘我会分配50G，当然如果是有很多镜像的容器环境，那么我会系统将/var/lib/docker等用单独的数据盘来挂载。

安装配置NAS文件共享存储

1、服务端安装

2、关闭防火墙

3、配置nas

配置文件：/etc/exports

共享目录创建：

4. 本地NAS存储目录 192.168.230.0/24（授权访问客户端的地址段）

5. 重新加载NFS配置

参数说明：

rw：可读写的权限

ro：只读的权限 anonuid：可以自行设定这个UID的值，这个UID必需要存在于你的/etc/passwd当中anongid：同anonuid，但是变成groupID就是了 sync：资料同步写入到内存与硬盘当中 async：资料会先暂存于内存当中，而非直接写入硬盘 insecure：允许从这台机器过来的非授权访问

no_root_squash：登入NFS主机，使用该共享目录时相当于该目录的拥有者，如果是root的话，那么对于这个共享的目录来说，他就具有root的权限，这个参数『极不安全』，不建议使用

root_squash：登入NFS主机，使用该共享目录时相当于该目录的拥有者。但是如果是以root身份使用这个共享目录的时候，那么这个使用者（root）的权限将被压缩成为匿名使用者，即通常他的UID与GID都会变成nobody那个身份

all_squash：不论登入NFS的使用者身份为何，他的身份都会被压缩成为匿名使用者，通常也就是nobody

6. 启动服务

7. 设置开机启动

8. 查看端口占用，以便开着防火墙的时候设置，如果闲麻烦，可以通过限制访问IP

Linux nfs客户端安装

vi /ettc/hosts

在末尾加入

开机自动挂载

vi /etc/fstab

##尾行下面新增加一行写入

注：_netdev表示设备需要网络

k8s的存储常用的就是上面几种模式，分为临时存储，半持久化存储，与持久化存储这三类，本章我们着重讲解emptydir与hostpath与pvc跟pv等

当pod的存储方案设定为emptydir的时候，pod启动时，就会在pod所在节点的磁盘空间开辟出一块空卷，最开始里面是什么都没有的，pod启动后容器产生的数据会存放到那个空卷中。空卷变成了一个临时卷

供pod内的容器读取和写入数据，一旦pod容器消失，节点上开辟出的这个临时卷就会随着pod的销毁而销毁

一般来说emptydir的用途都是用来充当临时存储空间，例如一些不需要数据持久化的微服务，我们都可以用emptydir来当做微服务pod的存储方案

k8s存储emptdir实战例子：以之前的myapp应用为例

创建应用

观察是否生产data目录，并在/data目录创建文件test.txt

手动删除容器模拟容器销毁，用于是pod是被控制器管理的，删除后会被重建新的pod

这时候在看我们之前创建的data.txt已经不见了

hostPath类型则是映射node文件系统中的文件或者目录到pod里。在使用hostPath类型的存储卷时，也可以设置type字段，支持的类型有文件、目录、File、Socket、CharDevice和BlockDevice（我只映射过文件与目录）。

其实这个功能就相当于docker中的-v 目录映射，只不过在k8s中的时候，pod会漂移，当pod漂移到其他node节点的时候，pod不会跨节点的去读取目录。所以说hostpath只能算一种半持久化的存储方式

实战例子

创建应用

在node节点可以看到生成了/data/volume目录，在里面创建测试文件

检验pod里面的/data是否存在这个映射目录的文件

可以看到刚才创建的文件已经映射到我们的目录里边了

为了验证是否映射到容器里面的目录也会随着pod生命周期的消失而消失，我们手动删除pod模拟容器终止

可以看到容器被删除后，新建的pod也可以看到我们映射的目录，而且里面数据test.txt还在。

这有个缺点就是不能够跨容器去读取数据，如果删除后的pod被调度到其他节点的话，原来的数据也就没有了，如果能不受节点的影响，并且挂载的数据不会随生命周期的结束而结束，我们应该怎么解决呢？就是我们后面讲到的持久化存储了

上面介绍了俩种临时存储于半持久化存储的方案。在k8s实际生产环境中，一般会选用私有云持久化存储方案还有公有云持久化存储方案，私有云存储方案包括nfs，ceph，glusterfs等方案。公有云存储会用到AWS等方案

存储方案各有各的优缺点，可参考 https://www.cnblogs.com/yswenli/p/7234579.html 这篇文章。今天我们主要讲解pvc，pv，nfs之间的关系。

简单来说，要使用持久化存储，就需要使用pvc去跟pv去申请，然后pv查看自己有没有合适的存储空间卷，有合适的就与pvc进行绑定。pv与pvc是一一对应绑定的。现在我们用一幅图来说明pvc，pv，nfs的关系

实战例子

准备存储服务安装nfs

接下来创建pv与nfs绑定

创建pvc与pv关联

创建并查看结果

注意：STATUS为Bound说明该pvc已经与pv绑定了

接下来创建pod来引用pvc

创建pod

接下来验证一下在nfs创建一个测试文件，看是否被映射到容器中

可以看到容器里面也可以看到创建的文件

手动删除容器，或者调度到其他节点原来的文件还是不会被删除的，这里就省略验证了，这就是nfs的好处，不过企业一般不会选用nfs，磁盘IO,性能读取方面不太理想，毕竟是本地存储，还是有一定的风险。推荐用用云存储。

文件存储提供无限扩展的文件系统来给云服务器存取数据实际上相当于nfs

1、已注册阿里云账号，并完成实名认证。

如果没有，请先注册阿里云账号，详情请参见阿里云账号注册流程。

2、已开通NAS服务。

首次登录NAS控制台时，根据页面提示开通NAS服务。

3、在需要创建文件系统的地域，已有可用的云服务器ECS。

k8s应用NAS实战例子

1、打开阿里云NAS控制台确认已创建好文件系统

2、把复制挂载参数把它挂载到服务器中创建测试目录，前提是服务器需要安装nfs客户端。

安装完成挂载到本地目录并创建test目录作为测试目录

并在里面创建一个测试文件1.txt

接下来可以创建pvc和pv了

创建并查看

接下来创建pod去引用pvc

创建pod

检验刚才的1.txt是否挂到容器的/data/nas下

云存储适合于生产环境k8s的存储解决方案

---