Como configurar um target iSCSI e a proteção por senha CHAP
Quando usar este procedimento
Quando chegar a hora de exportar volumes do VDC para hosts externos. Um armazenamento com volumes pode existir sem iSCSI, mas um host não consegue se conectar a ele: é necessário um ponto de acesso — um target. Este procedimento cria o target do VDC, protege-o com autenticação por senha CHAP e mostra como ler o estado dele.
O CHAP é opcional. Um target pode ser criado sem ele, e a proteção pode ser adicionada depois. Mas adicioná-lo é mais fácil do que removê-lo: o controlador não oferece suporte à remoção do CHAP; por isso, é melhor decidir antecipadamente se a proteção será usada.
Este procedimento não mapeia volumes — ele apenas prepara o acesso. O mapeamento é descrito em "Conexão de volumes via iSCSI".
Pré-requisitos
- A funcionalidade Unified Storage está ativada nas opções do cluster.
- O armazenamento do VDC está ativado — consulte "Como criar um VDC com Unified Storage".
- Existe um grupo de portais no pool de armazenamento: sem ele, o formulário de configuração do iSCSI não permite prosseguir — consulte "Grupos de iniciadores e de portais".
- O privilégio
Configure vDC Storage iSCSI(13009) — concedido apenas ao papel Cluster master. - O privilégio
View vDC Storage iSCSI Detail(13026) para ler a página do target — também disponível para um administrador de VDC dentro dos seus VDCs. - O nome do armazenamento do VDC é diferente do nome do armazenamento de todos os outros VDCs: o IQN é derivado do nome, e o IQN deve ser único no cluster.
- Versão do vStack Center — 3.0.4.
Etapa 1. Criar um target
Você pode criar o target em um destes dois lugares.
No assistente de ativação do armazenamento. A etapa iSCSI readiness mostra a prontidão do pool e cria o target quando o armazenamento é ativado. O botão Skip nessa etapa ativa o armazenamento sem iSCSI.
Depois, a partir do resumo do armazenamento. Abra o cartão do VDC → aba Storage → subaba Overview. Um cartão Protocol Status com o selo Not configured significa que não há target.
- Clique em Configure — a janela Configure iSCSI é aberta.
- Verifique o bloco Portal Group attached to pool: os endereços e as portas são mostrados em uma tabela somente leitura IP address / Port. Você não seleciona um grupo de portais aqui — é usado o grupo vinculado ao pool de armazenamento.
- No bloco Auth (CHAP), selecione No authentication ou Create Auth Group. No segundo caso, insira o nome do conjunto e o primeiro usuário — os campos são os mesmos da etapa 2.
- Clique em Configure.
O IQN do target não é definido manualmente: a plataforma o deriva do nome do
armazenamento — o segmento de nome do dataset raiz após a / é acrescentado ao
prefixo iqn.2024-01.io.vstack:.
Depois que o controlador confirma, o selo muda para Configured, e o cartão mostra Target IQN, Portal Group e o número de LUNs. O target não tem identificador: o próprio Configured significa que ele está pronto. O grupo de portais e o grupo de iniciadores são associados ao target quando o primeiro volume é mapeado, e não neste momento.
Etapa 2. Criar um conjunto de credenciais CHAP
Se No authentication foi selecionado quando o target foi criado, crie o conjunto na página do target.
- Abra a aba Storage → subaba iSCSI.
- Clique no cartão Target — a página do target é aberta.
- Na seção Auth Group, clique em Create Auth Group.
- Preencha o formulário:
| Campo | O que especificar |
|---|---|
| Name | Nome do conjunto: de 1 a 63 caracteres — letras latinas minúsculas, dígitos, pontos e hifens; único no VDC |
| User | Nome de usuário do CHAP unidirecional, de 1 a 255 caracteres |
| Secret | Segredo do CHAP unidirecional, de 1 a 255 caracteres |
| Mutual CHAP | Chave de autenticação mútua; habilita o par de campos abaixo. A plataforma rejeita um conjunto sem credenciais mútuas; por isso, a chave deve estar ativada |
| Mutual user, Mutual secret | Nome de usuário e segredo do CHAP mútuo, de 1 a 255 caracteres; ambos devem ser preenchidos |
- Confirme a criação.
O CHAP mútuo é obrigatório. O controlador SAN rejeita um conjunto de credenciais unidirecional; por isso, o vStack Center exige que Mutual user e Mutual secret sejam preenchidos tanto na criação do conjunto quanto em qualquer edição dele.
Tenha duas restrições em mente desde o início. Primeiro, a plataforma permite um conjunto de credenciais por grupo — uma tentativa de adicionar uma segunda entrada é rejeitada. Segundo, os segredos são somente de gravação. Nem a interface nem a API os retornam: a tabela mostra o nome de usuário e o indicador de autenticação mútua, mas não o próprio segredo.
Etapa 3. Atribuir a proteção ao target
Um conjunto criado na página do target é atribuído ao target imediatamente — não há uma etapa de associação separada. O bloco Auth (CHAP) na janela Configure iSCSI e na etapa iSCSI readiness do assistente faz o mesmo.
A relação é de um para um: um target tem um grupo de autenticação, e atribuir um novo substitui o anterior. A página do target não oferece a escolha de um conjunto existente — essa substituição é feita pela API (consulte "Métodos da API").
O CHAP não pode ser removido de um target: o controlador não oferece suporte a essa operação; por isso, a interface não tem um botão para limpá-lo. Para alterar a proteção, atribua outro conjunto ao target.
Etapa 4. Ver o conjunto e seus membros
A seção Auth Group na página do target mostra o nome do conjunto atribuído e uma tabela dos seus usuários.
| Coluna | O que mostra |
|---|---|
| User | Nome de usuário do CHAP unidirecional |
| Mutual CHAP | Se a entrada tem credenciais mútuas |
Cada linha tem um menu com as ações Edit e Delete; um botão Add aparece acima da tabela.
Se o nome de usuário for conhecido, mas o segredo tiver sido perdido, ele não pode ser recuperado — defina um novo, conforme descrito na etapa 5.
Etapa 5. Alterar o segredo
- Abra o menu na linha do usuário e selecione Edit.
- Defina um novo Secret. Deixar o campo vazio mantém o segredo anterior — use isso para alterar apenas as credenciais mútuas.
- Salve as alterações.
Isso também funciona para um conjunto já atribuído a um target: o controlador altera o segredo sem recriar o target. No entanto, a alteração afeta todos os targets aos quais esse conjunto está atribuído — eles o compartilham.
Etapa 6. Excluir uma entrada ou um conjunto
Exclua uma entrada CHAP na linha correspondente da tabela: menu da linha → Delete.
A interface não oferece suporte à exclusão de um grupo de autenticação inteiro. A plataforma não permite de forma alguma excluir um grupo atribuído a um target — primeiro atribua outro conjunto ao target e, em seguida, exclua o conjunto liberado pela API.
Verificar o resultado
Abra a página do target: aba Storage → subaba iSCSI → cartão Target.
Esperado após a etapa 1: o selo no cartão Protocol Status é Configured, Target IQN está preenchido em Properties (o valor pode ser copiado) e Portal Group está especificado. Esperado após a etapa 3: a seção Auth Group mostra o nome do conjunto, e a tabela mostra o usuário dele.
Os valores vazios na página seguem uma regra: um estado vazio, e não um erro.
| O que você vê | O que significa |
|---|---|
| Selo Not configured | O VDC não tem target; os outros campos ficam vazios, e isso não é um erro |
| Target IQN está vazio | O iSCSI não está configurado |
| Portal Group está vazio | O grupo de portais ainda não está associado ao target — a associação é criada quando o primeiro volume é mapeado |
| A seção Auth Group oferece Create Auth Group | O CHAP não está atribuído ao target |
Active sessions é 0 | Não há conexões, ou o iSCSI não está configurado |
| Active sessions está vazio | O controlador do pool está indisponível; o restante da página é exibido |
Active sessions conta as sessões TCP com o target: os endereços a partir dos quais os iniciadores se conectaram.
Outra forma de verificar é o resumo do armazenamento: subaba Overview, cartão Properties. Ele mostra o nome do armazenamento, o pool, o dataset raiz, a capacidade, a lista de protocolos e o número de volumes. A configuração real de mapeamento não é exibida ali — para essas informações, vá para a página do target e para a lista Volumes.
Solução de problemas
| O que você vê | Por quê | O que fazer |
|---|---|---|
"Storage is not enabled for VDC" (-45013) | O armazenamento do VDC não está ativado, portanto não há para que configurar o iSCSI | Ative o armazenamento na aba Storage e, em seguida, configure o iSCSI |
"iSCSI is already configured for VDC" (-45014) | O VDC já tem um target, e a invariante é um target por VDC | Não é necessário configurá-lo novamente: veja o estado dele na página do target |
"Target already exists" (-45015) | O IQN está em uso: o nome do armazenamento deste VDC coincide com o nome do armazenamento de outro VDC, e o IQN é derivado do nome | Não há alternativa do lado do iSCSI — o nome do dataset raiz é definido quando o armazenamento é ativado e não pode ser alterado depois |
"iSCSI is not configured for VDC" (-45032) | Não há target no VDC ao qual atribuir o CHAP | Conclua a etapa 1 |
"Unknown auth group" (-45033) | Não existe um conjunto com esse identificador, ou ele pertence a outro VDC | Verifique o conjunto na página do target; a mesma resposta abrange os dois casos — o conjunto de outro VDC não é revelado |
"Auth group already exists" (-45034) | O nome do conjunto já está em uso neste VDC | Especifique outro Name — os nomes são únicos no VDC |
"Invalid auth group parameters" (-45035) | O conjunto não passou na validação | Mantenha uma entrada, preencha User, Secret, Mutual user e Mutual secret e mantenha os campos com menos de 255 caracteres; sem credenciais mútuas, o conjunto é rejeitado tanto na criação quanto na edição |
"Auth group is in use by a target" (-45036) | O conjunto está atribuído a um target, e o controlador não consegue remover o CHAP | Atribua outro conjunto ao target e, em seguida, exclua o conjunto liberado |
O controlador do pool não respondeu ou rejeitou a operação (-45020, -45021) | O pool está indisponível ou rejeitou a alteração do segredo; o conjunto permanece inalterado | Verifique a disponibilidade do pool e tente a operação novamente |
"Unified Storage feature is disabled" (-45001) | A funcionalidade Unified Storage está desativada nas opções do cluster | O administrador do cluster deve ativá-la; enquanto a funcionalidade estiver desativada, as operações de armazenamento são rejeitadas |
"Access denied" (-403) | A configuração de um target exige o privilégio Configure vDC Storage iSCSI (somente papel Cluster master); a leitura da página exige View vDC Storage iSCSI Detail | Entre com um papel adequado; a mesma resposta é retornada para uma requisição a outro VDC — a existência dele não é revelada |
Veja também
- Grupos de iniciadores e de portais — os endereços nos quais o target escuta e quem está autorizado a se conectar.
- Conexão de volumes via iSCSI — como exportar um volume para um iniciador.
- Armazenamento do VDC — modelo e arquitetura — de onde vem o IQN e por que há um target por VDC.
Métodos da API
Operações de API abordadas nesta página: vdc-storage-iscsi-configure,
vdc-storage-iscsi-get, vdc-storage-get, iscsi-auth-group-create,
iscsi-auth-group-list, iscsi-auth-group-get, iscsi-auth-group-set,
iscsi-auth-group-delete, iscsi-target-set-auth — consulte a
referência da API.