EFS: archiviazione condivisa dei file per Linux

Amazon Elastic File System (EFS) è un file system POSIX elastico, condiviso e completamente gestito, che può essere montato contemporaneamente da migliaia di istanze EC2, funzioni Lambda e container ECS/EKS. A differenza di EBS, che si collega a una singola istanza, EFS fornisce un file system condiviso in cui tutti i client connessi visualizzano gli stessi file in tempo reale. La capacità aumenta e diminuisce automaticamente: non è mai necessario allocare lo storage in anticipo. EFS è ideale per la gestione dei contenuti, i repository di codice condivisi, le directory home e l'analisi dei dati.

EFS offre due classi di storage: EFS Standard (multi-AZ, massima disponibilità, latenza inferiore al millisecondo) e EFS One Zone (una singola AZ, costo inferiore del 47%, resilienza leggermente minore). All'interno di ciascun livello è inoltre disponibile la variante Infrequent Access (IA), che archivia i dati a un costo inferiore del 92% rispetto a Standard per i file a cui non si accede regolarmente. La differenza rispetto a S3 è che EFS è un file system POSIX completo che le applicazioni possono montare: non è uno storage a oggetti.

EFS supporta due modalità di prestazioni: General Purpose (predefinita, consigliata per la maggior parte dei carichi di lavoro — latenza minima, ideale per la distribuzione web, la gestione dei contenuti e le directory home) e Max I/O (progettata per carichi di lavoro massicciamente paralleli con migliaia di connessioni simultanee, a fronte di una latenza leggermente maggiore; ideale per big data ed elaborazione multimediale). La modalità di prestazioni viene impostata durante la creazione e non può essere modificata dopo la creazione del file system. Per l'esame SAA-C03, scelga Max I/O solo quando sono esplicitamente necessarie migliaia di connessioni parallele.

EFS supporta tre modalità di throughput: Elastic (aumenta e riduce automaticamente il throughput in base al carico di lavoro — consigliata per la maggior parte dei casi d'uso, con addebito per GB trasferito), Bursting (il throughput varia in base alle dimensioni dello storage, accumula e consuma crediti burst come le istanze EC2 della serie T — baseline gratuita) e Provisioned (consente di specificare un throughput fisso indipendentemente dalle dimensioni dello storage — utile quando è necessario un throughput costante superiore a quello fornito da Bursting). La modalità Elastic è l'impostazione predefinita moderna ed elimina la necessità di pianificare la capacità di throughput.

Per accedere a un file system EFS da un'istanza EC2, crei un mount target in ogni subnet (AZ) in cui sono in esecuzione le istanze. Per EFS Standard, dovrebbe creare un mount target in ogni AZ del proprio VPC: le istanze EC2 si connettono al mount target della propria AZ per ottenere la latenza minima. I mount target dispongono di security group che devono consentire il traffico NFS (porta 2049 TCP) dal security group dell'istanza. Senza questa regola in ingresso, le operazioni di mount andranno in timeout.

Il metodo consigliato per montare EFS su EC2 consiste nell'utilizzare Amazon EFS Mount Helper (il pacchetto amazon-efs-utils), che supporta la crittografia TLS in transito e la riconnessione automatica. Il mount viene eseguito utilizzando l'ID del file system anziché l'indirizzo IP, così il DNS risolve automaticamente il mount target della AZ più vicina. Per i mount persistenti che devono sopravvivere ai riavvii, aggiunga la voce di mount a /etc/fstab utilizzando l'opzione _netdev, per assicurarsi che la rete sia disponibile prima del mount.

Gli EFS Access Points sono punti di ingresso specifici per le applicazioni in un file system EFS, che impongono un utente POSIX, un gruppo e una directory root specifici per tutte le connessioni che utilizzano tale access point. Ciò consente di isolare tra loro più applicazioni nello stesso file system: l'applicazione A esegue il mount tramite l'Access Point A e vede solo /data/app-a/, mentre l'applicazione B, utilizzando l'Access Point B, vede solo /data/app-b/. Gli Access Point sono il metodo consigliato per concedere a funzioni Lambda, task ECS e pod EKS un accesso isolato ai file system EFS condivisi.

Intelligent-Tiering di EFS sposta automaticamente i file tra le classi di storage Standard e Standard-IA (Infrequent Access) in base ai modelli di accesso. Lei configura una policy del ciclo di vita, ad esempio per spostare i file in IA dopo 30 giorni senza accessi. Quando un file in IA viene nuovamente utilizzato, viene automaticamente spostato in Standard. Il recupero da IA comporta un costo per GB recuperato, ma lo storage ha un costo significativamente inferiore. È simile a S3 Intelligent-Tiering ed elimina la necessità di gestire manualmente la posizione dei file.

Le funzioni Lambda possono montare file system EFS per condividere file di modelli di grandi dimensioni, dati persistenti o configurazioni tra le invocazioni, superando il limite di /tmp compreso tra 512 MB e 10 GB. I task ECS ed EKS montano EFS tramite persistent volume claim utilizzando il EFS CSI driver. La funzione Lambda o il container devono trovarsi in un VPC che dispone di un mount target, e il security group di EFS deve consentire il traffico NFS in ingresso dal security group del VPC di Lambda o dei container. EFS + Lambda è un pattern comune per condividere modelli ML addestrati tra istanze di funzioni.

L'esame SAA-C03 chiede spesso di scegliere tra EFS ed EBS. EFS: file system POSIX condiviso, montabile simultaneamente su più istanze EC2, capacità elastica, solo Linux (NFS), accessibile da Lambda e dai container, costo per GB maggiore. EBS: dispositivo a blocchi, collegato a una singola istanza EC2 (ad eccezione di io1/io2 Multi-Attach), dimensioni assegnate fisse, supporto per Linux e Windows, non accessibile nativamente da Lambda, costo per GB inferiore. Se lo scenario afferma che «più istanze devono condividere gli stessi file», la risposta è EFS.

EFS supporta la crittografia a riposo (abilitata durante la creazione del file system utilizzando una chiave KMS — non modificabile dopo la creazione) e la crittografia in transito (crittografia TLS quando si utilizza EFS Mount Helper con l'opzione tls). AWS consiglia di abilitarle entrambe. È possibile imporre la crittografia in transito utilizzando una policy basata sulle risorse di EFS che neghi il mount senza TLS, richiedendo le condizioni elasticfilesystem:ClientRootAccess e elasticfilesystem:ClientWrite.

Verifichi la propria comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha imparato che: EFS è un file system POSIX condiviso che può essere montato simultaneamente su migliaia di istanze e funzioni Lambda con capacità elastica; gli Access Point forniscono l'isolamento per applicazione, imponendo l'utente POSIX e la directory root; e Intelligent-Tiering sposta automaticamente i file utilizzati raramente in una classe di storage IA a costo inferiore. Ora esamineremo FSx for Windows File Server e Lustre per i carichi di lavoro specializzati.