miosiris/nfs-ganesha-ceph

NFS Ganesha

镜像概述

NFS Ganesha是一个用户态NFS服务器容器，针对CephFS导出场景优化，支持Kerberos认证和基于UMICH_LDAP后端的idmap配置。该镜像适配OSiRIS项目（由NSF资助），可通过环境变量覆盖默认设置，支持非Kerberos安全模式（未测试）。若LDAP服务器证书由非公共CA签名，需修改容器添加对应CA证书。

核心功能

• 提供CephFS或Ceph RGW共享服务
• 支持Kerberos安全认证
• 基于LDAP的NFSv4用户/组id映射
• 通过环境变量自定义配置（日志、协议版本、Ceph客户端信息等）

使用场景

适用于需要通过NFS协议共享Ceph存储资源的场景，如企业内部存储共享、科研项目数据访问等，尤其适合需要Kerberos安全认证和LDAP用户映射的环境。

配置说明

KRB5配置

需在Kerberos域中为服务器和客户端创建主体，并生成keytab文件：

bash
kadmin:  addprinc -randkey nfs/server.example.org
kadmin:  addprinc -randkey nfs/client.example.org
kadmin:  ktadd -k server.keytab nfs/server.example.org
kadmin:  ktadd -k client.keytab nfs/client.example.org

将server.keytab复制到服务器的/etc/krb5.keytab，client.keytab复制到客户端的对应路径，确保仅root可读。客户端和服务器需正确配置/etc/krb5.conf，用户可通过kinit获取Kerberos凭证。

LDAP配置

需在LDAP用户/组对象中设置对应属性（如uidNumber、gidNumber、NFSv4Name、GSSAuthName等）。示例用户条目：

dn: cn=nfs-user,ou=NFSPeople,dc=example,dc=edu
objectClass: NFSv4RemotePerson
objectClass: top
uidNumber: 2046
gidNumber: 2046
NFSv4Name: user_local@example.edu
GSSAuthName: user@EXAMPLE.EDU
GSSAuthName: user2@EXAMPLE2.EDU
cn: nfs-user

示例组条目：

dn: cn=nfs-group,ou=NFSGroups,dc=example,dc=edu
objectClass: NFSv4RemoteGroup
objectClass: top
gidNumber: 2046
NFSv4Name: group-local@example.edu
cn: nfs-group

环境变量说明

Ganesha环境变量

• GANESHA_LOGFILE: "/dev/stdout"
• GANESHA_LOGLEVEL: "INFO"（可选：DEBUG、INFO、WARN、ERROR）
• GANESHA_CONFIGFILE: "/etc/ganesha/ganesha.conf"
• GANESHA_OPTIONS: "-N NIV_EVENT"
• GANESHA_EXPORT_ID: "2046"
• GANESHA_EXPORT: "/"
• GANESHA_ROOT_ACCESS: "*"
• GANESHA_NFS_PROTOCOLS: "4"
• GANESHA_TRANSPORTS: "TCP"
• GANESHA_SECTYPE: "krb5"
• GANESHA_KRB5_PRINCIPAL: "nfs"
• GANESHA_CLIENT_LIST: "*"

Ceph环境变量

需提供Ceph客户端密钥（可通过ceph auth get-or-create创建）：

• CEPH_CLIENT_ID: "ganesha"
• CEPH_CLIENT_KEY: "None"
• CEPH_FS_PATH: "/"
• CEPH_MON: "mon"（可逗号分隔多个监控节点）

NFS IDMAP环境变量

• IDMAP_DOMAIN: "$(hostname -d)"
• IDMAP_LDAP_SERVER: "ldap.example.org"
• IDMAP_LDAP_SSL: "true"
• IDMAP_LDAP_SSL_CA: "/etc/ssl/certs/ca-certificates.crt"
• IDMAP_LDAP_BASE: dc=example,dc=org
• IDMAP_LDAP_PEOPLE_BASE: ou=NFSPeople,${IDMAP_LDAP_BASE}
• IDMAP_LDAP_GROUP_BASE: ou=NFSPeople,${IDMAP_LDAP_BASE}

部署示例

bash
docker run -P -p 2049:2049 --name ceph-nfs \
-e 'CEPH_CLIENT_ID=ganesha' \
-e 'CEPH_CLIENT_KEY=AbC123==' \
-v /etc/krb5.conf:/etc/krb5.conf:ro \
-v /etc/krb5.keytab:/etc/krb5.keytab:ro \
-v /etc/sssd/sssd.conf:/etc/sssd/sssd.conf:ro \
--hostname=nfs.example.edu --privileged docker.xuanyuan.run/miosiris/nfs-ganesha-ceph

版本与参考

• ganesha版本：2.5.5（来自[***]）
• 参考：https://github.com/nfs-ganesha/nfs-ganesha/blob/master/src/config_samples/config.txt
• 来源：fork自https://github.com/mitcdh/docker-nfs-ganesha，参考https://github.com/ehough/docker-nfs-server