PowerScale：OneFS：クラスターでSMB1を有効または無効にする方法

セキュリティ上の懸念があるため、デル・テクノロジーズでは、OneFSでSMBv1プロトコル方言を有効にすることはお勧めしません。長期的な互換性を確保するには、このプロトコルからの移行を検討してください。

注：SMBv1はMicrosoftでサポートされなくなりました。Microsoft では、SMBv1 ダイアレクトを使用するワークフローを SMBv2 以降を使用するように移行することをお勧めします。SMBダイアレクトの新しいサポートバージョンは、セキュリティとパフォーマンスを向上させるように設計されています。ワークフローでSMBv1ダイアレクトから離れる必要がある理由の詳細については、このリンクを参照してください。ダイアレクトの上位バージョンが使用できる状況では、SMBv1を使用することはお勧めしません。

SMB1プロトコルのサポートが有効か無効かを確認するには、ノードへのSSH接続を確立してから、次のコマンドを実行します。

isi_gconfig registry.Services.lwio.Parameters.Drivers.srv.SupportSmb1

報告された値が ゼロの場合は、無効になります。報告された値が 1 の場合は、有効になっています。
 

SMBv1のサポートを無効にするには、次の手順を実行します。

isi_gconfig registry.Services.lwio.Parameters.Drivers.srv.SupportSmb1=0

SMBv1のサポートを有効にするには、次の手順を実行します。

isi_gconfig registry.Services.lwio.Parameters.Drivers.srv.SupportSmb1=1

SMBv1のサポートの変更を実装するには、クラスター上のSRVサービスの更新(または再起動)が必要です。

SMB1プロトコルのサポートを無効にすると、新しいSMB1接続が確立されなくなります。この機能を無効にした後でも、既存のSMB1接続は切断されません。

警告:
ノードでSRVサービスを再起動すると、ノードへのすべてのSMB接続が切断される可能性があります。SMBクライアント接続が別のノードにフェールオーバーしない場合、クライアントはクラスターへの接続を再確立する必要があります。LWIOを再起動すると、すべてのSMB接続 が終了 し、クライアント接続の再確立が必要になります。

SRVの強制更新は、SSH経由で接続し、次の手順を実行することで、単一ノードで実行できます。

/usr/likewise/bin/lwsm refresh srv

まれに、SRVサービスの再起動が必要になることがあります。次の手順を実行します。

/usr/likewise/bin/lwsm restart srv

管理者は、コマンドの前に「isi_for_array-sX」を使用して、クラスター全体でSRVを更新または再起動できます。ネストされたコマンドが引用符で囲まれていることを確認します。SRVの更新による影響はありませんが、再起動すると影響する可能性があります。クライアントの中断を軽減するために、メンテナンス ウィンドウでこれらのアクションを計画します。管理者がこれらのアクションに関する問題に気付いた場合は、サポートに連絡して支援を受けることをお勧めします。

OneFS 9.6以降では、SMBv1プロトコルはデフォルトで無効になっています。Microsoftはプロトコルのサポートを終了しており、新しい方言で対処されている多くのセキュリティ上の懸念があります。その結果、SMBv1を使用しているクラスターでは、アップグレード後のワークフローが中断されます。管理者は、古いデフォルト構成に厳密に依存するのではなく、SMBv1を手動で有効にすることで、この問題を回避できます。SMBv1を有効に設定すると、設定が「デフォルトから継承されていない」としてマークされ、アップグレード後に構成のその部分が変更されないようにします。

OneFS 9.5以前で値を手動で有効化するには、前の手順に従ってgconfigを使用してSMBv1を手動で有効化します。管理者は、SMBv1クライアントの停止を最小限に抑えるために、メンテナンス ウィンドウでこれを行う必要があります。OneFS 9.5以前でgconfigを使用してSMBv1を有効にするコマンドは次のとおりです。

isi_gconfig registry.Services.lwio.Parameters.Drivers.srv.SupportSmb1=1

値が値 1 を報告していることを必ず検証してください。管理者は、SMBv1のサポートをいったん無効化してから有効にして、値の変更が有効であることを確認できます。有効にした後のアップグレードの前にSMBv1を使用する予定がある場合は、すべてのノードでSRVの更新または再起動が必要です。これは、使用されている方言に関係なく、SMBプロトコルを使用するクライアントに影響します。

管理者がアップグレード前にクラスター構成でSMBv1を明示的に有効にし忘れた場合、アップグレードによって無効に設定されます。次のコマンドを使用して、アップグレード後にSMBv1のサポートを再度有効にします。

isi smb settings global modify --support-smb1=true

これらの変更を有効にするには、サービスの強制的な更新/再起動が必要になる場合があります。影響を最小限に抑えるために、クラスター構成の大幅な変更はメンテナンス期間中に行うことをお勧めします。管理者は、環境におけるSMBv1の完全な廃止を計画していない場合は、計画を開始する必要があります。