ホワイト ペーパー EMC VNX シリーズ :SMB 3.0 のサポートの概要 要約 このホワイト ペーパーでは EMC VNX でサポートされた SMB(Server Message Block)3.0 の機能と以前のバージョンの SMB と比較した利点を紹介します VNX システムは Micr

Transcription

1 ホワイト ペーパー 要約 このホワイト ペーパーでは EMC VNX でサポートされた SMB(Server Message Block)3.0 の機能と以前のバージョンの SMB と比較した利点を紹介します VNX システムは Microsoft Windows 環境 (Microsoft Windows 8 および Windows Server 2012) に導入し SMB 3.0 プロトコルの機能拡張を活用することができます 2013 年 7 月

2 Copyright 2013 EMC Corporation. All rights reserved. ( 不許複製 禁無断転載 ) EMC Corporation は この資料に記載される情報が 発行日時点で正確であるとみなしています この情報は予告なく変更されることがあります この資料に記載される情報は 現状有姿 の条件で提供されています EMC Corporation は この資料に記載される情報に関する どのような内容についても表明保証条項を設けず 特に 商品性や特定の目的に対する適応性に対する黙示の保証はいたしません この資料に記載される いかなる EMC ソフトウェアの使用 複製 頒布も 当該ソフトウェア ライセンスが必要です 最新の EMC 製品名については EMC の Web サイトで EMC Corporation の商標を参照してください VMware は VMware, Inc. の登録商標です その他のすべての名称ならびに製品についての商標は それぞれの所有者の商標または登録商標です パーツ番号 H J 2

3 目次エグゼクティブ サマリー... 4 対象読者... 5 用語... 5 概念... 6 SMB のバージョンとネゴシエーション... 6 VNX の SMB 継続的な可用性 (CA)... 7 サーバのフェイルオーバー... 8 クライアント フェイルオーバー 継続的な可用性の有効化 マルチチャネル ディレクトリ リース オフロード コピー BranchCache V SMB 暗号化 暗号化設定 暗号化キー 暗号化の有効化 リモート ボリューム シャドウ コピー サービス 大きな IO サイズ 結論 参考資料

4 エグゼクティブ サマリー EMC VNX では SMB(Server Message Block) プロトコルがネットワーク ファイル サービスのオープン スタンダードとして組み込まれています SMB は インターネット向けに設計されたファイル アクセス プロトコルで CIFS(Common Internet File System) プロトコルをベースにしています CIFS プロトコルは サーバからネットワークを介してファイル共有 印刷 通信サービスを提供する手段として Microsoft Windows オペレーティング システムで使用されています SMB 3.0 は Microsoft Windows 8 と Microsoft Windows Server 2012 システムでサポートされ 以前のバージョンの SMB と比べて大幅な機能強化がなされています SMB 3.0 プロトコルは VNX File OE( オペレーティング環境 ) バージョン 以降の VNX でサポートされています VNX は SMB 1.0 SMB 2.x SMB 3.0 の各プロトコルを使ったクライアントとサーバ間の通信に対応しています SMB 3.0 で拡張された次の機能がサポートされます 継続的な可用性 (CA):Data Mover またはクラスタのフェイルオーバーが発生したときのアプリケーションへの影響を軽減します シェアに対して CA を有効にした場合 フェイルオーバー中にアプリケーションがタイムアウトしない限り フェイルオーバーの発生前に開いていたファイルへのアプリケーション アクセスがすべて再確立され エンド ユーザーに対して透過的にフェイルオーバーが実行されます マルチチャネル :1 つの SMB 3.0 セッションに複数の TCP 接続を関連づけることができるようになったため クライアント アプリケーションは 複数の接続を使用しながら CIFS 共有上の I/O を転送することができます 帯域幅が最適化され 複数の NIC を使用したフェイルオーバーとロード バランシングが可能となります ディレクトリ リース :SMB 2 では ディレクトリ キャッシュが導入されました クライアントは ディレクトリ リストをキャッシュすることでネットワーク帯域幅を節約することができますが 最新の更新内容が反映されないことがありました SMB 3 は ディレクトリ リースが導入されたことで キャッシュされたディレクトリに対する変更をクライアントが自動的に認識できるようになりました オフロード コピー : 同じ Data Mover 内で実行されるデータ コピーの負荷をストレージにオフロードすることで クライアントとネットワークのワークロードを軽減できるようになりました SMB 暗号化 :CIFS 共有に対するアクセスのセキュリティを高め 信頼できないネットワークに対してデータを保護するとともに 未了 (in-flight) のデータをエンド ツー エンドで暗号化します RVSS(Remote Volume Shadow Copy Service):RVSS により複数の CIFS 共有間でポイント イン タイム スナップショットを作成できるため バックアップとリストアのパフォーマンスが向上します 4

5 地理的に分散したサイトを運用している組織は セキュリティを犠牲にすることなくデータの可用性を維持する必要があります さらに 運用の対象が複数のリモート サイトに分散している場合は特に パフォーマンスへの影響を考慮する必要があります 社内の Windows 環境を担当する管理者は IT インフラストラクチャの導入にあたり VNX に新たにサポートされた SMB 3.0 を活用し こうした課題を効率よく克服することができます 対象読者 このホワイト ペーパーは VNX の SMB 3.0 プロトコル サポートについて情報をお探しの EMC の顧客 パートナー様 従業員を対象とするものです このドキュメントの読者は VNX CIFS 共有および Windows オペレーティング システムに精通している必要があります VNX CIFS 共有の詳細については EMC オンライン サポートの VNX CIFS の構成と管理 を参照してください 用語 BranchCache:WAN( ワイド エリア ネットワーク ) 上のファイル サーバから取得したコンテンツを支社のローカル コンピュータにキャッシュできる WAN 最適化プロトコル CIFS サーバ : ファイルの転送に CIFS プロトコルを使用する論理サーバ Data Mover は CIFS サーバの多数のインスタンスをホストできます 各インスタンスを CIFS サーバと呼びます CIFS(Common Internet File System):Microsoft SMB(Server Message Block) に基づくファイル共有プロトコル インターネットおよびイントラネットを介してファイル システムを共有できます DM(Data Mover):VNX for File のキャビネット コンポーネント ストレージ デバイスからデータを取得し そのデータをネットワーク上のクライアントが使用できるようにする独自のオペレーティング システムを実行します これは ブレード とも呼ばれます シャドウ コピー :Microsoft VSS( ボリューム シャドウ コピー サービス ) を使用して作成されたポイント イン タイム コピー VSS では 個々のシャドウ コピーが 16 バイトの GUID( グローバル一意識別子 ) で識別されます 共有 : ファイル システム上のディレクトリまたはネットワーク上の CIFS ユーザーに公開されたディレクトリ ネットワーク上の CIFS ユーザーがファイル システム ディレクトリ サービスを利用できるようにするプロセスも指します SP( ストレージ プロセッサ ):VNX for Block 上のストレージ プロセッサ ホストのファイバ チャネル アダプタとディスク モジュール間のシステム I/O を管理する制御ロジックおよびメモリ モジュールを搭載した VNX for Block 上の回路基板です 5

6 Unisphere : ストレージ リソースの作成 格納されているデータの保護の構成とスケジュール その他のストレージ操作の管理および監視を行うための Web ベースの管理環境 VSS( ボリューム シャドウ コピー サービス ): さまざまなコンポーネントを調整してシャドウ コピーと呼ばれるデータの整合性のとれたポイント イン タイム コピーを作成する Windows サービスおよびアーキテクチャ 概念 SMB のバージョンとネゴシエーション SMB プロトコルは クライアント / サーバ モデルに従います 新しい SMB 接続を確立するときに クライアントのリクエストとサーバのレスポンスによってプロトコルのレベルがネゴシエートされます CIFS:Windows NT 4.0 SMB 1.0:Windows 2000 Windows XP Windows Server 2003 Windows Server 2003 R2 SMB 2.0:Windows Vista(SP1 以降 ) および Windows Server 2008 SMB 2.1:Windows 7 および Windows Server 2008 R2 SMB 3.0:Windows 8 および Windows Server 2012 クライアントとサーバ間でセッションを確立する前に 共通の SMB ダイアレクトをネゴシエートする必要があります 表 1 に示したように クライアントと DM でサポートされる SMB のバージョンによって 共通のダイアレクトは異なります 表 1 クライアントと DM 間で使用される SMB ダイアレクト クライアント /DM SMB 3.0 SMB 2.1 SMB 2.0 SMB 3.0 SMB 3.0 SMB 2.1 SMB 2.0 SMB 2.1 SMB 2.1 SMB 2.1 SMB 2.0 SMB 2.0 SMB 2.0 SMB 2.0 SMB 2.0 SMB 1.0 SMB 1.0 SMB 1.0 SMB 1.0 注 :SMB 3.0 は SMB 2 プロトコルをベースにしており 同じ SMB 2 パケット形式が SMB 3.0 でも使用されます SMB 3.0 は当初 SMB 2.2 と呼ばれていました SMB 2.x のバージョンとネゴシエーションの詳細については Microsoft TechNet の Web サイト ( を参照してください 6

7 VNX の SMB 3.0 VNX File OE( オペレーティング環境 ) バージョン 以降の VNX では SMB 3.0 プロトコルがデフォルトで有効にされています ご使用の DM で SMB 3.0 が有効になっているかどうかを確認するには server_cifs コマンドを使用して Max Protocol を確認します ( 図 1) 図 1 SMB 3.0 の確認 ご使用の DM で SMB 3.0 が有効になっていない場合は server_cifs コマンドを使用して有効にできます ( 図 2) 図 2 SMB 3.0 の有効化 継続的な可用性 (CA) クライアントまたは CIFS サーバに障害が発生した場合 Windows ベースのクライアントは継続的な可用性 (CA) 機能によって CIFS 共有へのアクセスを維持し セッション状態の喪失を回避できます ストレージの可用性を視野にビジネス クリティカルなアプリケーション (Microsoft SQL Server IIS Hyper-V など ) をプランニングする際に この機能を活用できます Data Mover のフェイルオーバーで CA が機能するかどうかは アプリケーションのフェイルオーバー タイムアウトに依存する点に注意が必要です Data Mover のフェイルオーバー時間が アプリケーションのタイムアウトを超えないようにする必要があります 7

8 サーバのフェイルオーバー SMB 3.0 では Data Mover のフェイルオーバー中 CIFS サーバがクライアントのコンテンツをリカバリできるパーシステント ハンドルが導入されました シェアに対して CA が有効になっている場合 CIFS サーバは ディスク上で開いているファイル ハンドルについて そこに関連づけられている特定のメタデータをパーシステント ハンドルを通じて保存することができます Data Mover のフェイルオーバーが発生すると 新しいプライマリ Data Mover は そのメタデータをディスクから読み取ったうえで CIFS サービスを開始します クライアントが Data Mover とのセッションを再確立し そのファイルを再度開こうとしたとき Data Mover がパーシステント ハンドルをクライアントに返します フェイルオーバー時間がアプリケーションのタイムアウトを超えなければ その開いているファイルにアクセスしていたアプリケーションへの影響は一切ありません 図 3 サーバの継続的な可用性 8

9 図 3 は CA が有効にされているときの Data Mover のフェイルオーバーにおけるイベントの発生順序を示しています 1. クライアントが リースとロックが関連づけられている CIFS 共有上のファイルを開くことによってパーシステント ハンドルをリクエストする 2. このオープン状態とパーシステント ハンドルを CIFS サーバがディスクに保存する 3. プライマリ Data Mover がスタンバイ Data Mover にフェイルオーバーする 4. Data Mover が 維持されているオープン状態を CIFS サービスの開始前にディスクから読み取ってリストアする 5. クライアントが 同じ CIFS サーバへの接続をパーシステント ハンドルで再確立し フェイルオーバーの発生前に開いていたファイルの関連コンテキストをリカバリする SMB クライアントは CA の働きによって ピア Data Mover にリコネクトすることができます リコネクトは透過的に行われ シェア上のファイルにアクセスしていたクライアントにはその影響は及びません 開いている状態を維持するためには リクエストが完了する前に ファイルのメタデータがバックエンド ストレージにコミットされなければなりません メタデータの例を次に示します すべてのファイル データ すべてのネームスペースの変更 セキュリティ ディスクリプタ ファイルのサイズ ファイルの DOS 属性 ファイルの ( 明示的 setinfo または作成の ) タイムスタンプ Data Mover のフェイルオーバーが発生した場合 サーバは パーシステント ハンドルの状態を保存します 当然 その共有モードと競合する新しいオープン状態や新しい範囲ロック リクエストは拒否されます さらに リースの終了を伴う新しいオープン状態はサスペンドされます CA 機能を有効にする場合は あらかじめ次の点に留意してください CA を有効にして サーバのフェイルオーバーを透過的に実行するためには 実装環境のフェイルオーバー時間がアプリケーションのタイムアウトよりも短時間であることが必要 そのような実装環境では フェイルオーバー イベントの発生後もホストが引き続き CIFS リソースにアクセスでき CIFS のセッション状態が失われることはありません 9

10 CA を有効にすると そのシェアに対するすべての I/O が 同期 ( ライト スルー ) モードで実行される ファイル システムに対して uncached マウント オプションを有効にした場合と同様のパフォーマンスへの影響が考えられます CA は Microsoft Hyper-V や SQL Server など ファイルのオープン / クローズ操作が限られているアプリケーションを意図して設計されている ホーム ディレクトリなど オープン状態を保存することによる影響が無視できないほど大きいシナリオでの CA の使用はお勧めできません クライアント フェイルオーバー データの可用性に対する障害を軽減するためにクライアント レベルで講じられる対策としては Windows クライアントをクラスタ構成にするのが一般的です 以前の SMB 2.x の実装環境では ロックを関連づけたままクライアントのハンドルをサーバが維持してしまうという問題がこのシナリオにはありました ピア クラスタ ノード ( アプリケーションのフェイルオーバー先のノード ) が元のノードと異なるため アプリケーションが再度そのファイルを開いて同じロックを設定しようとすると競合が生じます そのファイルを再度開こうとしているのが同じアプリケーションであることをサーバは認識できません この問題を解決するために SMB 3.0 には インスタンス ID の概念が導入されました インスタンス ID は アプリケーション (SQL Server 2012 など ) がファイル ハンドルに割り当てる 16 バイトの一意の識別子であり そのハンドルが有効である間 維持されます アプリケーションをインスタンス ID で識別できるようになるため フェイルオーバーの前に確立されたセッションと競合することはありません これは 同時に複数のアプリケーションが同じインスタンス ID を使用することはできず いかなる時点においても 実行できるインスタンスはアプリケーションにつき 1 つである という Windows Server 2012 のクラスタのロジックを前提としています 10

11 図 4 クライアントの継続的な可用性 図 4 は Windows クラスタ内のノードがフェイルオーバーするときの基本的なイベントの発生順序を表しています 1. アプリケーションが CIFS 共有上のファイルを開いてロックを設定する 2. ノード 1 に障害が発生し Windows クラスタがアプリケーションをノード 1 からノード 2 に移す 3. アプリケーションが CIFS 共有上にあるそのコンテンツをノード 2 から再度開く CIFS 共有上に保存されているデータにアクセスしているアプリケーションは中断されません 11

12 継続的な可用性の有効化 継続的な可用性 (CA) の機能は デフォルトでは無効になっています CA を有効にするにはまず smbca マウント オプションでファイル システムをマウントする必要があります ( 図 5) この手順は CLI で行う必要があります 図 5 ファイル システムに対する CA の有効化 次に type=ca オプションで CIFS 共有をエクスポートします ( 図 6) この手順は CLI で行う必要があります 図 6 CIFS 共有に対する CA の有効化 マルチチャネル SMB 3.0 には 複数の TCP 接続を単一の SMB セッションに関連づけることのできるマルチチャネルが導入されています 以前のバージョンの SMB には TCP 接続を SMB セッションあたり 1 つしか確立できないという制限がありました 今後はいずれかの TCP 接続が切断されても 残りのアクティブな TCP 接続を使用して ユーザー セッションを続行することができます Data Mover 上の CIFS サーバへの接続は 最後の TCP 接続が切断されるまで 確立されたまま維持されます マルチチャネルには さまざまな利点があります そのいくつかを次に示します 帯域幅の拡大 透過的なネットワーク インタフェース フェイルオーバー ロード バランシング SMB セッションを確立する際 CIFS サーバは リクエストを受け取ったときと同じ TCP 接続でレスポンスを返す必要があります セッションの確立後 クライアントは リクエストを送信して使用可能なインタフェースのリストを DM から取得し 最適なインタフェースを使用して I/O を行います 使用できるインタフェースが複数ある場合 クライアントは 必要に応じて新しい接続を開きます たとえば 保留中の I/O キューが増えてきた場合 新しい接続を開いて帯域幅使用率を高めます 12

13 ネットワーク インタフェース コントローラ (NIC) が RSS(Receive Side Scaling) をサポートしている場合 同じ NIC で複数の TCP 接続を開き 複数の CPU コア間でロード バランシングを調整することができます RSS に対応した複数の NIC を使用することにより 各 NIC につき複数の TCP 接続を 1 つの SMB セッションで利用することができます 開いている TCP 接続の数は クライアントで netstat コマンドを実行して確認できます 図 7 では SMB セッションに関連づけられている 2 つの NIC にそれぞれ TCP 接続 ( 合わせて 2 つ ) が存在します 図 7 複数の TCP 接続 ディレクトリ リース Microsoft は SMB 2.0 で クライアント上に存在するディレクトリ コンテンツ キャッシュを開発しました これにより ネットワーク経由で転送されるディレクトリ リスト リクエストの量が減って パフォーマンスが向上します ところが この機能には短所もあります クライアントがファイルやフォルダに変更を加えたとき キャッシュ済みのリストを保持しているクライアントには 変更が認識されないことがありました ディレクトリ リストをユーザーが更新しても同様です SMB 3.0 では ディレクトリ リースの概念によってディレクトリ コンテンツ キャッシュが改善されています ディレクトリにリースを設定した場合 開いているディレクトリ内のコンテンツの変化を Windows クライアントが自動的に認識します ディレクトリ内でコンテンツの作成 変更 削除のいずれかが生じた場合 ディレクトリ リースが終了します 次回のディレクトリ リスト リクエストに対する応答は ディレクトリ キャッシュからではなく CIFS サーバから最新の変更内容とともに返されます 13

14 リースには 次の 3 種類があります リード キャッシュ リース (R): クライアントは読み取りをキャッシュできます このリースは複数のクライアントに付与することができます ライト キャッシュ リース (W): クライアントは書き込みをキャッシュできます ハンドル キャッシュ リース (H): クライアントは オープン中のハンドルをキャッシュできます このリースは 複数のクライアントに付与することができます クライアント B クライアント A 図 8 ディレクトリ リース 図 8 は ディレクトリ リースが終了するときに発生するイベントの順序を表しています 1. クライアント A がディレクトリを開いて リストをキャッシュする 2. クライアント B が同じディレクトリ内のファイルまたはフォルダを変更する この変更で ディレクトリ リースが終了します 3. クライアント A は そのキャッシュ済みディレクトリの内容が最新ではないことの通知を受け取り ディレクトリを更新するためのクエリーを送信する 14

15 オフロード コピー クライアント 図 9 SMB 3.0 未満のデータ コピー 図 9 は SMB 3.0 未満のコピー操作で発生するイベントの順序を示しています 1. クライアントがコピー対象のデータをリクエストする 2. そのデータを Data Mover がストレージ プロセッサにリクエストする 3. ストレージ プロセッサがデータを Data Mover に送信する 4. Data Mover がネットワーク経由でデータをクライアントに送信する 5. クライアントが再び同じデータをネットワーク経由で Data Mover に送信する 6. Data Mover が再び同じデータをストレージ プロセッサに送信してデータが書き込まれる 7. ストレージ プロセッサが Data Mover に確認応答する 8. Data Mover がクライアントに確認応答する データがクライアントとの間で往復しているために リソースの無駄が生じ 余計なオーバーヘッドが生じています 15

16 オフロード コピーは Data Mover がコピーを肩代わりすることで効率性を高めており データをホストとの間で往復させる必要がありません 512 バイトのトークンで最大 256 MB の実データを表現するトークン ベースのコピー方式が採用されています 図 10 オフロード コピー図 10 は オフロード コピーにおけるイベントの発生順序を表しています 1. クライアントが ファイルのコピー リクエストを送信する 2. Data Mover がトークンを構築してクライアントに送信する 3. クライアントが そのトークンを使用して書き込み要求を生成する 4. Data Mover がコピーを実行する 5. Data Mover がクライアントに確認応答する オフロード コピーの最大の特長は データの読み取りと書き込みをネットワーク経由で行う必要がない点です これにより ホストに要求される CPU 使用率とネットワーク帯域幅が軽減されます オフロード コピーは 512 KB を超えるファイルにのみ使用されます それよりも小さなファイルでは トークンのオーバーヘッドの方が大きくなる可能性があるためです 16

17 トークンによって表されるデータに変更が加えられた場合 そのトークンは無効となりエラーが返されます するとクライアントは 標準的な読み取りと書き込みを使用した従来のコピー方式を採用します BranchCache V2 BranchCache は もともとは Microsoft の Windows 7 および Windows Server 2008 R2 オペレーティング システムに導入された機能です その目的は 遠隔地の支社 ( 場合によっては複数 ) から本社に接続してデータを取得する必要があるケースで WAN( ワイド エリア ネットワーク ) の帯域幅を最適化することです このケースには アプリケーションの応答性が低下したり WAN リンクの使用率が上昇したり WAN の帯域幅のコストが高いなど さまざまなデメリットが存在します BranchCache が有効になっていると DM のコンテンツのキャッシュが支店内にローカルに作成されます 同じネットワークにあるクライアントは ファイルをワイド エリア ネットワークからダウンロードする代わりに これをローカル キャッシュにリクエストし そこからダウンロードできます BranchCache はローカル リンクの使用率とアプリケーションの即応性を最適化し WAN 帯域幅の消費を軽減します 本社に置かれているファイルを DM に対して要求すると ファイルそのものではなくファイルのハッシュがクライアントに送信されます ハッシュはシグネチャとも呼ばれ ファイル本体と比べてはるかに小さく クライアントはそのハッシュを使用して 支店内から該当するファイルを検索することができます 該当するファイルが支社に見つかった場合 クライアントは LAN 経由でそのファイルを取得します 該当するファイルが見つからなかった場合 クライアントは WAN 経由でファイルを取得します そのファイルはキャッシュされて 同じ支社に存在する他のクライアントが利用できるようになります Windows 8 および Windows Server 2012 では BranchCache V2 と呼ばれる最新の BranchCache がリリースされました 最初の BranchCache では ファイルが 32 MB のセグメントに分割され 各セグメントが 65 KB のブロックに分割されていました 個々のブロックが SHA256 でハッシュ化されてシグネチャが生成されます BranchCache V2 は それよりもシンプルな形式を採用し シグネチャが一致する確率を高めています ブロックの概念は廃止されました ファイルはセグメント単位に分割され それぞれのセグメントが SHA256 でハッシュ化されてシグネチャが生成されます VNX では 固定セグメント サイズ 128 KB が使用されています 17

18 SMB 暗号化 SMB 暗号化は 信頼できないネットワーク上でクライアントと VNX 間をエンド ツー エンドで暗号化することによって データを安全に利用できるようにする機能です 特別なハードウェアや IPSec WAN アクセラレータは必要ありません SMB 暗号化は WAN ネットワークを介した ROBO(Remote Office Branch Office) やセキュリティの低いネットワークを介したアプリケーション ワークロードなどのシナリオで有効に活用できます シェア レベルの暗号化は 特定のシェアに対して有効化されるもので そのシェアにアクセスすると強制的に暗号化が適用されます 必要に応じて システム レベルで暗号化を適用することもでき (CIFS サーバのレジストリで暗号化を設定 ) その場合 すべてのシェアのアクセスが暗号化の対象となります クライアント レベルでの構成は必要ありません SMB 暗号化は 静止データ暗号化 (DARE) とは異なり ディスク上のデータは暗号化されません SMB 暗号化では ネットワーク経由で転送されている間だけデータが暗号化されます データは宛先に到着すると 復号化されてディスクに保存されます 暗号化設定 SMB 3.0 プロトコルをサポートするために VNX には CIFS サーバのレジストリの値が 2 つ追加されました EncryptData と RejectUnencryptedAccess です EncryptData 値を設定すると CIFS サーバ上のすべてのシェアで暗号化が有効になります デフォルトでは EncryptData 値が無効にされています RejectUnencryptedAccess 値を設定すると 暗号化をサポートしていないクライアントは シェアへのセッションを確立できなくなります セッションの確立に失敗したクライアントには ACCESS_DENIED メッセージが返されます RejectUnencryptedAccess 値を無効にすると SMB 3.0 未満のクライアントが 暗号化されたシェアにアクセスできます デフォルトでは RejectUnencryptedAccess 値が有効にされています CIFS サーバのレジストリに対して以上のパラメータを構成するには 次の手順を実行します 1. コンピュータ上でレジストリ エディタ (regedit.exe) を開きます 2. [ ファイル ]>[ ネットワークレジストリへの接続 ] を選択します 3. CIFS サーバのホスト名または IP アドレスを入力し [ 名前の確認 ] をクリックします サーバが認識されたら [OK] をクリックしてウィンドウを閉じます 4. HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\ Parameters でパラメータを編集できます ( 図 11) 18

19 図 11 SMB 暗号化のレジストリ値の場所 VNX で type=encrypted エクスポート オプションを使用して シェア レベルで暗号化を有効にすることもできます 暗号化を有効にすると その暗号化されたシェアの利用時にのみ SMB のペイロードが暗号化されます また RejectUnencryptedAccess 値と type=encrypted エクスポート オプションを組み合わせて SMB 3.0 未満のクライアントからアクセスが試行されたときの動作を制御することもできます 暗号化キー 受信トラフィックと送信トラフィックは 2 種類の秘密キーで暗号化されます どちらも ユーザーが正常に認証されたときに計算されます 暗号化と復号化に使用される 16 バイトのキーは KDF アルゴリズムを Counter Mode で使用して生成されます クライアントとサーバがネットワークを介してやり取りする SMB メッセージの暗号化には RFC4309 および RFC3610 で規定された AES128-CCM 暗号形式のアルゴリズムが使用されます 暗号化されたメッセージは SMB 2 TRANSFORM_HEADER ヘッダに続けてペイロードが格納される形式になっています SMB 2_NEGOTIATE と SMB 2_SESSION_SETUP を除くすべての SMB 2 メッセージは暗号化できます 19

20 暗号化の有効化 シェアに対して暗号化を有効にするには エクスポート時に type=encrypted エクスポート オプションを使用します ( 図 12) この手順は CLI で行う必要があります 図 12 シェアに対する暗号化の有効化 暗号化にはパフォーマンス インパクトが伴うので注意して有効にする必要があります データは ネットワークに送信される前にクライアントまたは VNX で暗号化され 宛先に到着したときに復号化されます これらの操作には クライアントと VNX の両方の CPU リソースが消費されます リモート ボリューム シャドウ コピー サービス ボリューム シャドウ コピー サービス (VSS) インフラストラクチャでは アプリケーションがファイル システム ボリュームに書き込みを行っている間もファイル システムをバックアップし スナップショット (Microsoft VSS ではシャドウ コピーと呼ばれる ) を作成することができます SMB 3.0 未満では VSS で作成および管理できるスナップショットが ローカル ボリュームに格納されたデータに限られていました Windows Server 2012 では この機能が RVSS(Remote Volume Shadow Copy Service) によって拡張されています RVSS は 複数のファイル サーバや複数のシェアに対するアプリケーション バックアップをサポートします VSS 対応のバックアップ アプリケーションは VNX CIFS 共有上にデータを格納するサーバ アプリケーションのスナップショットを実行できるようになります Hyper-V は 仮想マシン ファイルを CIFS 共有上に格納する機能を備えています RVSS を活用すれば シェアのコンテンツのポイント イン タイム コピーを作成することが可能です RVSS を活用する書き込み可能なスナップショットを作成し その後 再同期操作を実行したうえで バックアップを開始することができます 20

21 図 13 は 単一の Hyper-V サーバから成る単純な環境を示しています 仮想マシンとユーザー データを保存するために VNX が利用されています 図 13 CIFS 共有への Hyper-V VM のバックアップ VNX には 2 つの Hyper-V CIFS 共有がプロビジョニングされています 1 つは Marketing チーム用 もう 1 つは Sales チーム用です これらのチームの各メンバーには仮想マシンが割り当てられ 所属するグループのシェアを介してファイルにアクセスします 21

22 Marketing VM は 仮想マシン ファイルを Marketing シェアに格納し Sales VM は 仮想マシン ファイルを Marketing と Sales の両方のシェアに格納します バックアップ アプリケーションが Marketing VM のスナップショットを実行すると Marketing ファイル システムのスナップショットが VNX によって作成されます Marketing シェアを使用するのは Marketing VM だけであるため Sales ファイル システムのスナップショットは作成されません これでスナップショット データがバックアップ アプリケーションに公開されて データのバックアップを実行できるようになります Sales VM のスナップショットを作成した場合は VNX によって作成されるスナップショットに Marketing と Sales の両方のファイル システムが追加されます 大きな IO サイズ SMB 3.0 プロトコルでは 読み取りと書き込みに対する大きな IO サイズがデフォルトで有効になっています 最大 I/O サイズが 1 MB となり ネットワークで送信される SMB コマンドの数が減ったことで 大きなデータのコピーに伴うパフォーマンスが向上しています 結論 データの可用性 パフォーマンス セキュリティは 組織の IT インフラストラクチャの一要素として検討する必要があります 世界各地にリモート オフィスを構える組織にとってはこのことが特に重要です VNX は Microsoft Windows 8 や Windows Server 2012 との組み合わせで SMB 3.0 プロトコルをサポートしており それをいくつかの一般的な問題の解決に活かすことができます 継続的な可用性とマルチチャネルは クライアント サーバ ネットワークのいずれかのレベルで障害が発生した場合にデータの可用性を維持する機能です CIFS 共有に格納されたコンテンツの移行またはデータの統合は オフロード コピーによって効率よく実行できます BranchCache V2 はローカル リンクの使用率とアプリケーションの即応性を最適化し WAN 帯域幅の消費を軽減します セキュリティの点では SMB 暗号化が挙げられます 信頼できないネットワークを介して Windows クライアントと VNX 間でデータをやり取りする際 SMB 暗号化によって保護機構が強制的に適用され また そのデータへのアクセス権をどの Windows クライアントに許可するかも管理者が決定できます RVSS を活用しながら シェアの境界を越えて CIFS 共有のポイント イン タイム スナップショットを作成することにより バックアップとリストアのパフォーマンスを高めることができます 22

23 参考資料 VNX CIFSの構成と管理 VNXでのBranchCacheの構成 Microsoft TechNet( 23