Créer une instance

Cette page explique comment créer une instance Filestore à l'aide de la console Google Cloud ou de la Google Cloud CLI.

Instructions pour créer une instance

Console Google Cloud

Avant de commencer

  • Activez l'API Filestore. L'API Filestore peut mettre quelques minutes à s'afficher dans la liste Service sous Quotas et limites du système.

  • Le quota pour une instance zonale ou régionale commence à 0. Pour utiliser ces capacités, vous devez d'abord créer une demande d'augmentation de quota et obtenir son approbation avant de pouvoir créer une instance.

  • Si vous devez créer une instance à l'aide d'un niveau SSD Enterprise ou SSD grande capacité, vous devez exécuter vos opérations directement via l'API Filestore ou à l'aide de gcloud. Ces opérations create ne sont pas prises en charge dans la console Google Cloud .

    Pour en savoir plus, consultez Niveaux de service.

Google Cloud instructions

  1. Dans la console Google Cloud , accédez à la page Instances de Filestore.

    Accéder à la page "Instances"

  2. Cliquez sur Créer une instance.

  3. Saisissez tous les champs obligatoires et facultatifs selon les instructions des sections suivantes de cette page.

  4. Cliquez sur Créer.

gcloud

Avant de commencer

Commande gcloud pour créer une instance Filestore

Vous pouvez créer une instance Filestore en exécutant la commande filestore instances create. Le quota d'instances varie selon le projet, la région et le niveau. Pour en savoir plus, consultez Quotas ou Demander une augmentation de quota.

gcloud filestore instances create INSTANCE_ID \
    [--project=PROJECT_ID] \
    [--location=LOCATION] \
    [--description=DESCRIPTION] \
    [--performance=PERFORMANCE] \
    --tier=TIER \
    --file-share=name="FILE_SHARE_NAME",capacity=FILE_SHARE_SIZE \
    --network=name="VPC-NETWORK",[connect-mode=CONNECT_MODE],[reserved-ip-range="RESERVED_IP_ADDRESS"] \
    [--labels=KEY=VALUE,[KEY=VALUE,…]] \
    [--kms-key=KMS_KEY] \
    [--deletion-protection] \
    [--deletion-protection-reason="PROTECTION_REASON"]

Où :

  • INSTANCE_ID par l'ID de l'instance Filestore que vous souhaitez créer. Consultez Nommer votre instance.

  • PROJECT_ID par l'ID du projet Google Cloud contenant l'instance Filestore. Vous pouvez ignorer cette option si l'instance Filestore se trouve dans le projet gcloud par défaut. Vous pouvez définir le projet par défaut en exécutant la commande config set project :

      gcloud config set project PROJECT_ID

  • LOCATION par l'emplacement où vous souhaitez que l'instance Filestore réside. Consultez Sélectionner un emplacement. Vous pouvez ignorer cette option si l'instance Filestore se trouve dans l'emplacement par défaut gcloud. Vous pouvez définir l'emplacement par défaut en exécutant la commande config set filestore/zone :

      gcloud config set filestore/zone zone

    Pour le niveau régional ou d'entreprise, utilisez la commande config set filestore/region :

      gcloud config set filestore/region region

  • DESCRIPTION Description de l'instance Filestore.

  • PERFORMANCE Si vous souhaitez utiliser l'option --performance pour configurer des performances personnalisées, utilisez l'une des options suivantes :

    • max-iops-per-tb spécifie un taux d'IOPS par Tio qui fait évoluer les IOPS de manière linéaire en fonction de la capacité de l'instance.
    • max-iops spécifie un taux d'IOPS qui n'évolue pas en fonction de la capacité de l'instance.

    Le format est le suivant :

    --performance=max-iops-per-tb=17000

    Le flag --performance est obligatoire lorsque vous créez des instances régionales dont la capacité est inférieure à 1 024 Gio. Pour en savoir plus, consultez Instances Filestore de petite capacité.

  • TIER par le niveau de service que vous souhaitez utiliser.

  • FILE_SHARE_NAME est le nom que vous spécifiez pour le partage de fichiers NFS qui est diffusé à partir de l'instance. Consultez Nommer le partage de fichiers.

  • FILE_SHARE_SIZE correspond à la taille souhaitée pour le partage de fichiers. Consultez Allouer de la capacité.

  • VPC_NETWORK avec le nom du réseau de cloud privé virtuel (VPC) que vous souhaitez que l'instance utilise. Consultez Sélectionner le réseau VPC. Si vous souhaitez spécifier un VPC partagé à partir d'un projet de service, vous devez spécifier le nom de réseau complet, au format projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME, et spécifier connect-mode=PRIVATE_SERVICE_ACCESS. Exemple :

    --network=name=projects/host/global/networks/shared-vpc-1,connect-mode=PRIVATE_SERVICE_ACCESS

    Vous ne pouvez pas spécifier un ancien réseau pour la valeur VPC_NETWORK. Si nécessaire, créez le réseau VPC à utiliser en suivant les instructions de la section Créer un réseau VPC en mode automatique.

  • CONNECT_MODE avec DIRECT_PEERING ou PRIVATE_SERVICE_ACCESS. Si vous spécifiez un VPC partagé comme réseau, vous devez également spécifier PRIVATE_SERVICE_ACCESS comme mode de connexion.

  • RESERVED_IP_ADDRESS par la plage d'adresses IP de l'instance Filestore. Si vous spécifiez connect-mode=PRIVATE_SERVICE_ACCESS et que vous souhaitez utiliser une plage d'adresses IP réservée, vous devez spécifier le nom d'une plage d'adresses allouée au lieu d'une plage CIDR. Consultez Configurer une adresse IP réservée. Nous vous recommandons d'ignorer cette option pour permettre à Filestore d'identifier automatiquement une plage d'adresses IP libre et de l'attribuer à l'instance.

  • KEY par le libellé que vous souhaitez ajouter. Il n'est pas nécessaire d'ajouter des libellés lors de la création d'une instance Filestore. Vous pouvez également ajouter, supprimer ou mettre à jour des libellés après avoir créé une instance. Pour plus d'informations, consultez la section Gérer les libellés.

  • VALUE par la valeur d'un libellé.

  • KMS_KEY est le nom complet de la clé de chiffrement Cloud Key Management Service que vous souhaitez utiliser lorsque vous souhaitez gérer votre propre chiffrement de données. Le format est semblable à ce qui suit:

    projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

  • PROTECTION_REASON Si vous choisissez d'utiliser l'option --deletion-protection, vous pouvez ajouter une note concernant le paramètre. Pour ajouter la note, utilisez l'option facultative --deletion-protection-reason et incluez une description de la justification du paramètre que vous avez choisi. Par exemple : "Toutes les données génomiques doivent respecter les règles d'administration actuelles de l'organisation." Pour en savoir plus, consultez Protection contre la suppression.

Nommer l'instance

La commande ci-après crée une instance présentant les caractéristiques suivantes :

  • ID : render1
  • Projet : myproject
  • La région est us-central1.
  • Niveau : REGIONAL
  • Les performances utilisent le paramètre max-iops-per-tb avec la valeur 17000.
  • Nom du partage de fichiers : my_vol
  • Taille du partage de fichiers : 2 Tio
  • Réseau VPC : default
  • Plage d'adresses IP réservée : 10.0.7.0/29
  • Accorde un accès en lecture et en écriture avec la racine compressée au client avec l'adresse IP 10.0.2.0.
  • La protection contre la suppression est activée.
  • Une justification du paramètre de protection contre la suppression est fournie.
gcloud filestore instances create render1 \
  --project=myproject \
  --region=us-central1 \
  --tier=REGIONAL \
  --performance=max-iops-per-tb=17000 \
  --network=name="default",reserved-ip-range="10.0.7.0/29" \
  --flags-file=nfs-export-options.json \
  --deletion-protection \
  --deletion-protection-reason="All genomics data must adhere to current
  organization policies."

Le fichier nfs-export-options.json contient les éléments suivants :

 {
"--file-share":
  {
    "capacity": "2048",
    "name": "my_vol",
    "nfs-export-options": [
      {
        "access-mode": "READ_WRITE",
        "ip-ranges": [
          "10.0.0.0/29",
          "10.2.0.0/29"
        ],
        "squash-mode": "ROOT_SQUASH",
        "anon_uid": 1003,
        "anon_gid": 1003
      },
      {
        "access-mode": "READ_ONLY",
        "ip-ranges": [
          "192.168.0.0/26"
        ],
        "squash-mode": "NO_ROOT_SQUASH"
      }
    ]
  }
}

API REST

  1. Vous devez installer et initialiser la gcloud CLI afin de générer un jeton d'accès pour l'en-tête Authorization.

  2. Utilisez cURL pour appeler l'API Filestore :

    curl --request POST \
    'https://file.googleapis.com/v1/projects/PROJECT/locations/LOCATION/instances?instanceId=NAME' \
    --header "Authorization: Bearer $(gcloud auth print-access-token)" \
    --header 'Accept: application/json' \
    --header 'Content-Type: application/json' \
    --data '{
            "tier":"TIER",
            "networks":[
                {
                "network":"NETWORK"
                }
              ],
            "performanceConfig": {"PERFORMANCE"}
            "fileShares":[
              {"capacityGb":CAPACITY,"name":"SHARE_NAME"}
              ],
            "deletionProtectionEnabled": true,
            "deletionProtectionReason": "PROTECTION_REASON"}' \
    --compressed

    Où :

    • PROJECT est le nom du projet dans lequel votre instance résidera. Exemple :my-genomics-project
    • LOCATION correspond à l'emplacement où résidera l'instance. Par exemple, us-east1 ou us-central1-a.
    • NAME est le nom de l'instance que vous souhaitez créer. Exemple :my-genomics-instance
    • TIER est le nom du niveau de service que vous souhaitez utiliser. Exemple :REGIONAL

    • PERFORMANCE est la configuration des performances utilisée pour spécifier des paramètres de performances personnalisés.

      Vous ne pouvez utiliser qu'une seule des options fournies.

      • PerformanceConfig.iopsPerTb.maxIopsPerTb spécifie un taux d'IOPS par Tio qui fait évoluer les IOPS de manière linéaire avec la capacité de l'instance.
      • PerformanceConfig.fixedIops.maxIops spécifie un taux d'IOPS fixe qui n'ajuste pas les IOPS en fonction de la capacité de l'instance.

      Le format est le suivant :

         "performanceConfig": {
      "iopsPerTb" : {
          "maxIopsPerTb":17000
      }
    }

    • NETWORK correspond au nom du réseau que vous souhaitez utiliser. Exemple :default

    • CAPACITY est la taille, en Gio, que vous souhaitez allouer à l'instance. Exemple :1024

    • SHARE_NAME est le nom du partage de fichiers. Exemple : vol1.

    • PROTECTION_REASON Si vous choisissez d'utiliser l'option deletionProtectionEnabled, vous pouvez ajouter une note concernant le paramètre. Pour ajouter la note, utilisez l'option facultative deletionProtectionReason et incluez une description de la justification du paramètre que vous avez choisi. Par exemple : "Toutes les données génomiques doivent respecter les règles actuelles de l'organisation." Pour en savoir plus, consultez Protection contre la suppression.

Comprendre les instances et les partages

Une instance Filestore représente une capacité de stockage physique.

Un partage représente une partie allouée de cet espace de stockage avec un point d'accès individuel et unique.

Tous les niveaux de service proposent des options de stockage avec un ratio partage/instance de 1:1. Les multipartages Filestore pour Google Kubernetes Engine (GKE), disponibles uniquement pour les instances de niveau Enterprise, permettent d'accéder à plusieurs partages sur une seule instance.

Les noms ou ID d'instance sont utilisés par les administrateurs pour gérer les instances. Les noms de partage de fichiers sont utilisés par les clients pour se connecter aux partages exportés à partir de ces instances.

Nommer l'instance

Le nom de votre instance Filestore, ou ID d'instance, permet d'identifier l'instance, et est utilisé dans les commandes gcloud. Les ID d'instance doivent être conformes à l'élément <label> de la RFC 1035. Plus précisément, ils doivent :

  • comporter entre 1 et 63 caractères ;
  • commencer par une lettre minuscule ;
  • se composer de tirets, de lettres minuscules ou de chiffres ;
  • terminer par des lettres minuscules ou des chiffres.

L'ID d'instance doit être unique dans le projet Google Cloud et la zone où elle se trouve. Une fois l'instance créée, son ID ne peut plus être modifié.

Configurer le niveau de service

Sélectionnez le niveau de service qui correspond le mieux à vos besoins. Une fois l'instance créée, son niveau de service ne peut plus être modifié. Pour obtenir une description détaillée des fonctionnalités disponibles par niveau de service, consultez Niveaux de service.

Les opérations Create pour les instances zonales, régionales et Enterprise peuvent prendre entre 15 minutes et une heure, selon la taille de l'instance.

Le quota Filestore est utilisé au démarrage de la création de l'instance, mais l'instance ne vous est pas facturée pendant cette période.

Allocation de la capacité

Allouez de la capacité au volume dont vous avez besoin lorsque vous créez l'instance. Lorsque vous approchez de votre limite de capacité, vous pouvez augmenter la capacité selon vos besoins sans affecter l'environnement d'exécution. Pour savoir comment surveiller la capacité de vos instances, consultez la page Surveiller les instances.

Dans la gcloud CLI, vous pouvez spécifier la capacité en nombres entiers à l'aide de GiB ou TiB. L'unité par défaut est GiB.

Le tableau suivant indique les tailles d'instance disponibles pour chaque niveau :

Niveau Taille minimale Taille maximale Taille de pas incrémentielle
Zonal 1 Tio 9,75 Tio 256 Gio
Zonal 10 Tio 100 Tio 2,5 Tio
Régional 100 Gio 10 239 Gio 1 Gio
Régional 10 Tio 100 Tio 2,5 Tio
HDD de base 1 Tio 63,9 Tio 1 Gio
SSD de base 2,5 Tio 63,9 Tio 1 Gio
Entreprise 1 Tio 10 Tio 256 Gio

La taille des instances peut être n'importe quelle valeur entière en gibioctets ou son équivalent en tébioctets, comprise entre la taille minimale et maximale des instances, et divisible par sa taille d'incrément. Par exemple, les tailles valides pour les instances de niveau zonal avec une plage de capacité supérieure incluent 10 Tio, 12, 5 Tio et 15 Tio.

Une fois créées, les instances HDD de base et SSD de base ne peuvent qu'augmenter en taille. Tous les autres niveaux de service peuvent augmenter ou réduire leur capacité. Pour en savoir plus, consultez Modifier les instances et Faire évoluer la capacité.

Quota de la capacité totale

Chaque projet se voit attribuer un quota de capacité distinct, défini par région et niveau de service. Les limites de quota varient selon le niveau de service.

Une fois que vous avez atteint votre limite de quota, vous ne pouvez plus créer d'instances Filestore ni augmenter la capacité de vos instances existantes. Pour consulter votre quota disponible, accédez à la page Quotas de la console Google Cloud  :

Accéder à la section "Quotas"

Pour savoir comment demander un quota plus élevé, consultez Demander une augmentation de quota.

Configurer les performances

Les performances de l'instance dépendent du niveau de service que vous choisissez.

Niveaux régional et zonal

  • Pour les niveaux régional et zonal, les performances personnalisées sont activées par défaut lorsque vous utilisez la console Google Cloud , ce qui vous permet de configurer les performances en fonction de la charge de travail et de l'échelle. Vous pouvez définir un ratio d'IOPS par TiB, qui permet aux IOPS de l'instance d'évoluer en fonction de la capacité, ou une valeur d'IOPS constante qui n'évolue pas en fonction de la capacité, mais qui peut être ajustée à tout moment si la capacité change. Pour en savoir plus sur les limites, consultez Limites de performances personnalisées.

  • Pour créer des instances régionales d'une capacité inférieure à 1 024 Gio, vous devez activer les performances personnalisées. La valeur minimale d'IOPS pour ces instances est de 2 000. Pour en savoir plus, consultez Instances Filestore à faible capacité.

Niveaux SSD de base et HDD de base

  • Pour les niveaux SSD de base, le nombre d'IOPS est constant et ne change pas lorsque vous modifiez les paramètres de capacité.
  • Pour les niveaux HDD de base, les limites de performances varient selon que la capacité se situe dans la plage de 1 Tio à 10 Tio ou de 10 Tio à 63,9 Tio.

Pour en savoir plus sur les limites et les paramètres de performances, consultez Performances.

Spécifier le ratio IOPS par Tio

Les performances personnalisées vous permettent de spécifier le ratio dans le champ IOPS par Tio, où les performances évoluent en fonction de la capacité.

Si vous souhaitez utiliser des IOPS fixes, décochez la case Ajuster les performances en fonction de la capacité.

Supposons que vous ayez spécifié les valeurs de performances initiales suivantes :

  • Capacité : 1 Tio
  • IOPS par Tio : 6 000
  • Performances (lorsque la case Faire évoluer les performances en fonction de la capacité est cochée) : 6 000 IOPS

Les exemples suivants montrent comment les performances évoluent en fonction des paramètres modifiés :

  • Si vous augmentez le nombre d'IOPS par Tio à 7 000, les performances sont ajustées à 7 000 IOPS.
  • Si vous augmentez la capacité à 2 Tio,les performances passent à 14 000 IOPS.
  • Si vous réduisez la performance à 8 000 IOPS, les IOPS par Tio passent à 4 000.

Spécifier un nombre fixe d'IOPS

Si vous décochez la case Ajuster les performances en fonction de la capacité, le champ Performances spécifie le nombre d'IOPS que vous souhaitez utiliser. Ce nombre doit être compris dans la plage de performances et être un multiple de 1 000.

La définition d'un nombre fixe d'IOPS indépendamment de la capacité permet d'ajuster les performances. Toutefois, cette option empêche le scaling automatique des performances en fonction des changements de capacité. La modification de la capacité peut nécessiter l'ajustement de la valeur de performance, et inversement.

Par exemple, vous avez spécifié les valeurs suivantes :

  • Capacité : 4 Tio
  • Performances : 40 000 IOPS

À ce stade, vous pouvez augmenter les performances jusqu'à 68 000 IOPS, ce qui correspond à la limite pour une capacité de 4 Tio. Vous souhaitez augmenter les performances à 70 000 IOPS,ce qui dépasse la plage de performances pour la capacité de 4 Tio. Pour maintenir la compatibilité, vous devez augmenter la capacité à 4,25 Tio ou plus pour qu'elle se situe dans la plage de performances.

Sélectionner un emplacement

L'emplacement fait référence à la région et à la zone où se trouve l'instance Filestore. Pour optimiser les performances et éviter les frais de mise en réseau interrégional, assurez-vous que l'instance Filestore se trouve dans la même région que les VM Compute Engine qui doivent y accéder.

Pour en savoir plus sur les régions et les zones, consultez la section Zones géographiques et régions.

Sélectionnez le protocole du système de fichiers.

Sélectionnez le protocole du système de fichiers qui répond à vos besoins. Filestore est compatible avec les protocoles NFSv3 et NFSv4.1.

Configurer des connexions

Sélectionnez le type de pile d'adresses IP du réseau et le réseau VPC.

Choisir le type de pile d'adresses IP du réseau

Sélectionnez IPv4 ou IPv6 comme type de pile d'adresses IP de votre réseau.

Choisir un réseau VPC

Le réseau que vous sélectionnez pour l'utiliser avec Filestore peut être un réseau VPC standard ou un réseau VPC partagé.

Réseau VPC

Si vous utilisez la console Google Cloud , vous devez utiliser Private Service Connect, qui permet aux clients d'accéder à des services gérés en mode privé depuis leur réseau VPC. Private Service Connect nécessite que le client provisionne une seule adresse IP interne dans son propre VPC pour créer un point de terminaison Private Service Connect, au lieu d'allouer une plage d'adresses IP entière pour faciliter la connexion.

Pour créer un point de terminaison Private Service Connect sur le réseau cible du consommateur, vous devez créer une règle de connexion de service dans votre projet.

Pour en savoir plus sur l'utilisation de Private Service Connect, consultez Créer une instance Filestore avec Private Service Connect.

Le réseau que vous choisissez doit disposer de suffisamment de ressources IP disponibles à dédier à l'instance Filestore. Sinon, la création de l'instance échoue en raison de l'épuisement des adresses IP. Pour en savoir plus, consultez Exigences concernant les ressources réseau et IP.

Les clients doivent se trouver sur le même réseau que l'instance Filestore pour accéder aux fichiers stockés sur cette instance. Une fois l'instance créée, vous ne pouvez plus modifier la sélection du réseau.

Réseau VPC partagé

Avant de pouvoir créer une instance sur un réseau VPC partagé dans un projet de service, l'administrateur réseau doit d'abord activer l'accès aux services privés pour le réseau VPC partagé. Si vous créez l'instance dans le projet hôte, l'accès aux services privés n'est pas requis.

Les réseaux VPC partagés s'affichent dans la console Google Cloud au format suivant :

projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME

Pour connaître les procédures détaillées, consultez la section Créer une instance sur un réseau VPC partagé.

Verrouillage des fichiers NFS

Si les applications que vous prévoyez d'utiliser avec une instance Filestore nécessitent le verrouillage de fichiers NFS, vous devrez peut-être ouvrir les ports utilisés par Filestore dans le réseau de votre choix, si l'une des options suivantes s'applique à votre cas d'utilisation :

  • Réseau VPC autre que le réseau par défaut.
  • Réseau VPC par défaut avec des règles de pare-feu modifiées.

Cette considération ne s'applique qu'aux instances Filestore qui utilisent l'accès aux services privés ou les méthodes de connexion par appairage direct.

Pour en savoir plus, consultez Configurer les règles de pare-feu.

Configurer le partage de fichiers

Un partage de fichiers est le répertoire d'une instance Filestore où sont stockés tous les fichiers partagés. C'est également l'élément que vous installez ou mappez sur la VM cliente.

Le nom du partage de fichiers doit respecter les conditions suivantes :

  • comporter entre 1 et 32 caractères pour les niveaux zonal, régional et Enterprise, et entre 1 et 16 caractères pour les niveaux de base.
  • Commencer par une lettre
  • Comporter des lettres majuscules ou minuscules, des chiffres et des traits de soulignement
  • Il doit se terminer par une lettre ou un chiffre.

Configurer le contrôle des accès basé sur l'adresse IP

Par défaut, une instance Filestore accorde un accès en lecture et en écriture au niveau racine à tous les clients, y compris les VM Compute Engine et les clusters GKE, qui partagent le même projet et le même réseau VPC Google Cloud . Si vous souhaitez limiter l'accès, vous pouvez créer des règles qui accordent des niveaux d'accès spécifiques aux clients en fonction de leur adresse IP. Une fois les règles ajoutées, toutes les adresses IP et plages non spécifiées dans une règle sont révoquées. Les instances zonales, régionales et d'entreprise sont compatibles avec les paramètres de configuration des plages d'adresses IP qui se chevauchent. Pour en savoir plus, consultez Autorisations qui se chevauchent.

Le tableau suivant décrit les droits de chaque niveau d'accès. Ces niveaux d'accès ne sont utilisés que dans la console Google Cloud . Dans gcloud CLI et dans l'API, vous devez spécifier directement les configurations de règles.

Niveau d'accès Configuration de la règle Description
admin
  • lecture-écriture
  • no-root-squash
 Le client peut afficher et modifier tous les fichiers, dossiers et métadonnées en tant qu'utilisateur racine. Il peut également accorder la propriété de fichiers ou de dossiers en définissant ses uid et gid, et ainsi accorder l'accès aux clients qui n'ont pas d'accès au niveau racine au partage de fichiers.
admin-viewer
  • lecture seule
  • no-root-squash
 Le client peut afficher tous les fichiers, dossiers et métadonnées en tant qu'utilisateur racine, mais ne peut pas les modifier.
editor
  • lecture-écriture
  • root-squash
 Le client peut afficher et modifier les fichiers, dossiers et métadonnées en fonction des éléments uid et gid qui lui sont attribués.
viewer
  • lecture seule
  • root-squash
 Le client peut afficher les fichiers, dossiers et métadonnées en fonction des éléments uid et gid qui lui sont attribués.

root-squash mappe toutes les requêtes de uid 0 et gid 0 à anon_uid et anon_gid, respectivement. Cela supprime l'accès au niveau racine des clients qui tentent d'accéder au partage de fichiers en tant qu'utilisateur racine.

Lorsque vous créez des règles d'accès basées sur l'adresse IP :

  • Vous devez spécifier une adresse ou une plage d'adresses IP internes, ainsi que le niveau d'accès accordé.
  • Au moins une règle doit accorder l'accès admin au moment de la création de l'instance. Cette règle peut être supprimée une fois l'instance créée.
  • Les instances zonales, régionales et Enterprise sont compatibles avec les paramètres de configuration pour les plages d'adresses IP qui se chevauchent. Les instances de niveau de base ne sont pas acceptées. Pour en savoir plus, consultez Autorisations qui se chevauchent.

Dans la console Google Cloud , vous pouvez créer jusqu'à quatre règles différentes (admin, admin-viewer, editor, viewer) impliquant jusqu'à 64 adresses ou plages d'adresses IP différentes.

Dans la gcloud CLI, vous pouvez configurer jusqu'à 64 adresses IP ou blocs CIDR différents par instance Filestore, sur un maximum de 10 règles différentes. Une règle est définie comme la combinaison des configurations access-mode, squash-mode et anon_uid/anon_gid. Les champs anon_uid et anon_gid ont des valeurs par défaut de 65534 et ne peuvent être configurés que via l'API et la gcloud CLI.

Exemple

Voici un exemple de trois règles d'accès basées sur les adresses IP différentes :

  • access-mode=READ_ONLY, squash-mode=ROOT_SQUASH, anon_uid=10000.
  • access-mode=READ_WRITE, squash-mode=ROOT_SQUASH, anon_gid=150.
  • access-mode=READ_WRITE, squash-mode=NO_ROOT_SQUASH.

Pour créer des règles de contrôle des accès basées sur l'adresse IP à l'aide de la gcloud CLI, utilisez l'option --flags-file avec les commandes instances create ou instances update et faites-la pointer vers un fichier de configuration JSON. Par exemple, si le fichier de configuration JSON est nommé nfs-export-options.json, l'option est la suivante :

--flags-file=nfs-export-options.json

Exemple de fichier de configuration JSON :

   {
  "--file-share":
    {
      "capacity": "2048",
      "name": "my_vol",
      "nfs-export-options": [
        {
          "access-mode": "READ_WRITE",
          "ip-ranges": [
            "10.0.0.0/29",
            "10.2.0.0/29"
          ],
          "squash-mode": "ROOT_SQUASH",
          "anon_uid": 1003,
          "anon_gid": 1003
        },
         {
          "access-mode": "READ_ONLY",
          "ip-ranges": [
            "192.168.0.0/26"
          ],
          "squash-mode": "NO_ROOT_SQUASH"
        }
      ]
    }
}
  • ip-ranges est l'adresse IP ou la plage à laquelle accorder l'accès. Vous pouvez spécifier plusieurs adresses ou plages d'adresses IP en les séparant par une virgule. Seules les instances zonales, régionales et d'entreprise sont compatibles avec les paramètres de configuration des plages d'adresses IP qui se chevauchent. Pour en savoir plus, consultez Autorisations qui se chevauchent.
  • access-mode est le niveau d'accès à accorder au(x) client(s) dont l'adresse IP est comprise dans la plage d'adresses IP (ip-range). Il peut correspondre aux valeurs READ_WRITE ou READ_ONLY. La valeur par défaut est READ_WRITE.
  • Les valeurs ROOT_SQUASH ou NO_ROOT_SQUASH peuvent être définies pour squash-mode. ROOT_SQUASH supprime l'accès au niveau racine pour le(s) client(s) dont l'adresse IP appartient à la plage ip-range, tandis que NO_ROOT_SQUASH active l'accès root. La valeur par défaut est NO_ROOT_SQUASH.
  • anon_uid est la valeur de l'ID utilisateur que vous souhaitez mapper sur anon_uid. La valeur par défaut est 65534.
  • anon_gid est la valeur de l'ID de groupe que vous souhaitez mapper sur anon_gid. La valeur par défaut est 65534.

Clients sur des plages non-RFC 1918

Si vous prévoyez de connecter des clients non-RFC 1918 à votre instance Filestore, vous devez leur accorder explicitement l'accès à l'instance Filestore à l'aide du contrôle des accès basé sur les adresses IP.

Champs facultatifs

Les sections suivantes décrivent les champs facultatifs.

Ajouter une description de l'instance

Une description d'instance vous permet d'écrire des descriptions, des notes ou des instructions pour vous-même et d'autres utilisateurs. Par exemple, vous pouvez inclure des informations sur :

  • Types de fichiers stockés dans l'instance.
  • Personnes ayant accès à l'instance.
  • Instructions concernant l'accès à l'instance
  • Utilisation de l'instance.

Les descriptions d'instances sont limitées à 2 048 caractères. Aucune restriction n'est imposée sur les caractères autorisés. Une fois qu'une instance Filestore est créée, vous pouvez mettre à jour sa description à tout moment. Pour en savoir plus sur la mise à jour des descriptions d'instances, consultez la page Modifier des instances.

Ajouter des étiquettes

Les étiquettes sont des paires valeur/clé que vous pouvez utiliser pour regrouper des instances associées et stocker des métadonnées sur une instance. Vous pouvez ajouter, supprimer ou modifier des libellés à tout moment. Pour en savoir plus, consultez Gérer les libellés.

Configurer une plage d'adresses IP réservées

Chaque instance Filestore doit avoir une plage d'adresses IP associée. Les plages d'adresses IP RFC 1918 et non-RFC 1918 (GA) sont acceptées.

Une fois spécifiée, la plage d'adresses IP d'une instance est immuable.

Nous encourageons les utilisateurs à laisser Filestore déterminer automatiquement une plage d'adresses IP libre et à l'attribuer à l'instance. Lorsque vous sélectionnez votre propre plage, tenez compte des exigences suivantes concernant les ressources IP Filestore :

  • Vous devez utiliser le format CIDR.

  • Il doit s'agir d'une plage de sous-réseaux VPC valide.

  • Les instances de base nécessitent une taille de bloc de 29. Par exemple, 10.123.123.0/29.

  • Les instances zonales, régionales et d'entreprise nécessitent une taille de bloc de 26. (par exemple, 172.16.123.0/26)

  • La plage d'adresses IP ne doit pas chevaucher les éléments suivants :

    • Sous-réseaux existants du réseau VPC utilisés par l'instance Filestore.

    • Sous-réseaux existants d'un réseau VPC appairé à celui utilisé par l'instance Filestore. Pour en savoir plus, consultez la section Chevauchement de sous-réseaux au moment de l'appairage.

    • Plages d'adresses IP attribuées à toutes les autres instances Filestore existantes de ce réseau.

    • La plage d'adresses 172.17.0.0/16 est réservée aux composants Filestore internes. Par conséquent, les limites suivantes s'appliquent :

      • Les clients de cette plage ne peuvent pas être connectés aux instances Filestore.

      • Impossible de créer des instances Filestore dans cette plage d'adresses IP. Pour en savoir plus, consultez la section Problèmes connus.

  • Il doit y avoir au moins une connexion d'appairage de réseaux VPC ou d'accès aux services privés par VPC.

Pour afficher les plages d'adresses IP des sous-réseaux de votre réseau, accédez à la page "Réseaux VPC" de la console Google Cloud  :

Accéder aux réseaux VPC

Vous pouvez obtenir la plage d'adresses IP réservée pour n'importe quelle instance Filestore sur la page "Instances Filestore" de la consoleGoogle Cloud  :

Accéder aux instances Filestore

Si vous souhaitez utiliser l'accès aux services privés et spécifier une plage d'adresses IP réservée, vous devez spécifier le nom d'une plage d'adresses allouée pour la connexion. Si vous ne spécifiez pas de nom de plage, Filestore utilise automatiquement l'une des plages allouées associées à la connexion d'accès privé aux services.

Utiliser une clé de chiffrement gérée par le client

Par défaut, Google Cloud chiffre automatiquement les données au repos à l'aide de clés de chiffrement gérées par Google. Si vous avez besoin de davantage de contrôle sur les clés qui protègent vos données, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK) pour Filestore. Pour en savoir plus, consultez Chiffrer des données avec des clés de chiffrement gérées par le client.

Activer la protection contre la suppression

Définissez le paramètre de protection contre la suppression de l'instance. Par défaut, ce paramètre est désactivé. Pour en savoir plus, consultez Protection contre la suppression.

Ajouter une description du paramètre de protection contre la suppression

Ajoutez une description de la justification du paramètre de protection contre la suppression que vous avez choisi. Pour en savoir plus, consultez Protection contre la suppression.

Étapes suivantes