如何为关联S3数据的AWS FSx Lustre配置只读挂载？

要实现FSx Lustre挂载S3数据且仅允许只读访问，需要从挂载参数和S3数据仓库权限配置两方面调整：

• 添加只读挂载参数
  在默认挂载命令的-o选项中加入ro（read-only）参数，这是Lustre文件系统的原生只读挂载标记，确保挂载后的本地目录无法执行写入操作。修改后的完整命令：

  sudo mount -t lustre -o noatime,flock,ro DNS_NAME@tcp:/MOUNT_POINT /fsx
  

• 配置S3数据仓库的只读模式

  • 若FSx Lustre文件系统已关联S3数据仓库，需确认数据仓库的同步模式为只读导入：禁止将FSx Lustre上的修改同步回S3，仅保持从S3到FSx的数据导入。
  • 限制FSx访问S3的IAM角色权限：该角色仅保留s3:GetObject、s3:ListBucket等只读权限，移除所有s3:PutObject、s3:DeleteObject等写入类权限，从根源上阻止对S3数据的修改。

• 可选强化配置
  若需要进一步降低写入风险，可添加noauto参数避免系统自动挂载，或添加nostat减少元数据操作，但核心只读控制仍依赖ro参数和S3端的权限设置。

内容的提问来源于stack exchange，提问作者Sash