Sdílet prostřednictvím

Konfigurace úložiště pro nástroj Aplikace Azure lication Consistent Snapshot

  • Článek

Tento článek obsahuje průvodce konfigurací úložiště Azure, který se má použít s nástrojem Aplikace Azure lication Consistent Snapshot (AzAcSnap).

Vyberte úložiště, které používáte s AzAcSnap.

Buď nastavte identitu spravovanou systémem (doporučeno) nebo vygenerujte ověřovací soubor instančního objektu.

Při ověřování komunikace se službou Azure NetApp Files může dojít k selhání komunikace nebo vypršení časového limitu. Zkontrolujte, jestli pravidla brány firewall neblokují odchozí provoz ze systému, na kterém běží AzAcSnap, na následujících adresách a portech TCP/IP:

  • (https://)management.azure.com:443
  • (https://)login.microsoftonline.com:443

Povolení komunikace s úložištěm

Tato část vysvětluje, jak povolit komunikaci s úložištěm. Pomocí následujících karet můžete správně vybrat back-end úložiště, který používáte.

Existují dva způsoby ověřování v Azure Resource Manageru pomocí identity spravované systémem nebo souboru instančního objektu. Tady jsou popsané možnosti.

Identita spravovaná systémem Azure

Z AzAcSnap 9 je možné použít identitu spravovanou systémem místo instančního objektu pro provoz. Použitím této funkce se vyhnete nutnosti ukládat přihlašovací údaje instančního objektu na virtuálním počítači. Pokud chcete nastavit spravovanou identitu Azure pomocí Azure Cloud Shellu, postupujte takto:

  1. V rámci relace Cloud Shellu s Bashem nastavte proměnné prostředí odpovídajícím způsobem pomocí následujícího příkladu a použijte je u předplatného, ve kterém chcete vytvořit spravovanou identitu Azure. VM_NAMENastavte SUBSCRIPTIONa RESOURCE_GROUP nastavte hodnoty specifické pro web.

    export SUBSCRIPTION="99z999zz-99z9-99zz-99zz-9z9zz999zz99"
export VM_NAME="MyVM"
export RESOURCE_GROUP="MyResourceGroup"
export ROLE="Contributor"
export SCOPE="/subscriptions/${SUBSCRIPTION}/resourceGroups/${RESOURCE_GROUP}"

  2. Nastavte Cloud Shell na správné předplatné:

    az account set -s "${SUBSCRIPTION}"

  3. Vytvořte spravovanou identitu pro virtuální počítač. Následující sady příkazů (nebo se zobrazí, jestli už je nastavená) spravovaná identita virtuálního počítače AzAcSnap:

    az vm identity assign --name "${VM_NAME}" --resource-group "${RESOURCE_GROUP}"

  4. Získejte ID objektu zabezpečení pro přiřazení role:

    PRINCIPAL_ID=$(az resource list -n ${VM_NAME} --query [*].identity.principalId --out tsv)

  5. Přiřaďte roli Přispěvatel k ID objektu zabezpečení:

    az role assignment create --assignee "${PRINCIPAL_ID}" --role "${ROLE}" --scope "${SCOPE}"

Volitelné řízení přístupu na základě role

Oprávnění pro spravovanou identitu je možné omezit pomocí vlastní definice role v řízení přístupu na základě role (RBAC). Vytvořte vhodnou definici role pro virtuální počítač, aby mohl spravovat snímky. Ukázková nastavení oprávnění najdete v tipech a trikech pro použití nástroje Aplikace Azure lication Consistent Snapshot.

Pak přiřaďte roli k ID objektu zabezpečení virtuálního počítače Azure (zobrazí se také takto SystemAssignedIdentity):

az role assignment create --assignee ${PRINCIPAL_ID} --role "AzAcSnap on ANF" --scope "${SCOPE}"

Vygenerování souboru instančního objektu

  1. V relaci Cloud Shellu se ujistěte, že jste přihlášeni k předplatnému, ke které chcete být ve výchozím nastavení přidruženi k instančnímu objektu:

    az account show

  2. Pokud předplatné není správné, použijte příkaz az account set :

    az account set -s <subscription name or id>

  3. Pomocí Azure CLI vytvořte instanční objekt, jak je znázorněno v tomto příkladu:

    az ad sp create-for-rbac --name "AzAcSnap" --role Contributor --scopes /subscriptions/{subscription-id} --sdk-auth

    Příkaz by měl vygenerovat výstup podobný tomuto příkladu:

    {
  "clientId": "00aa000a-aaaa-0000-00a0-00aa000aaa0a",
  "clientSecret": "00aa000a-aaaa-0000-00a0-00aa000aaa0a",
  "subscriptionId": "00aa000a-aaaa-0000-00a0-00aa000aaa0a",
  "tenantId": "00aa000a-aaaa-0000-00a0-00aa000aaa0a",
  "activeDirectoryEndpointUrl": "https://login.microsoftonline.com",
  "resourceManagerEndpointUrl": "https://management.azure.com/",
  "activeDirectoryGraphResourceId": "https://graph.windows.net/",
  "sqlManagementEndpointUrl": "https://management.core.windows.net:8443/",
  "galleryEndpointUrl": "https://gallery.azure.com/",
  "managementEndpointUrl": "https://management.core.windows.net/"
}

    Tento příkaz automaticky přiřadí roli Přispěvatel RBAC instančnímu objektu na úrovni předplatného. Rozsah můžete zúžit na konkrétní skupinu prostředků, ve které testy vytvoří prostředky.

  4. Vyjměte a vložte výstupní obsah do souboru, azureauth.json který je uložený ve stejném systému jako azacsnap příkaz. Zabezpečte soubor s odpovídajícími systémovými oprávněními.

    Ujistěte se, že formát souboru JSON je přesně popsaný v předchozím kroku s adresami URL uzavřenými v uvozovkách (").

Další kroky