Comment utiliser les identités gérées avec Azure File Sync

La prise en charge de l’identité gérée élimine le besoin de clés partagées comme méthode d’authentification en utilisant une identité gérée attribuée par le système fournie par Microsoft Entra ID.

Quand vous activez cette configuration, les identités managées affectées par le système sont utilisées pour les scénarios suivants :

• Authentification du service de synchronisation du stockage auprès du partage de fichiers Azure
• Authentification du serveur inscrit auprès du partage de fichiers Azure
• Authentification du serveur inscrit auprès du service de synchronisation du stockage

Pour en savoir plus sur les avantages de l’utilisation d’identités gérées, consultez Identités gérées pour les ressources Azure.

Pour configurer votre déploiement Azure File Sync afin d’utiliser les identités managées affectées par le système, suivez les instructions des sections suivantes.

Prérequis

portail

• L’agent Azure File Sync version 20.0.0.0 ou ultérieure doit être installé sur le serveur inscrit.

• Sur vos comptes de stockage utilisés par Azure File Sync, vous devez être membre du rôle de gestion propriétaire ou disposer Microsoft.Authorization/roleassignments/write d’autorisations.

PowerShell

• L’agent Azure File Sync version 20.0.0.0 ou ultérieure doit être installé sur le serveur inscrit.

• Sur vos comptes de stockage utilisés par Azure File Sync, vous devez être membre du rôle de gestion propriétaire ou disposer Microsoft.Authorization/roleassignments/write d’autorisations.

• Le module PowerShell Az.StorageSync version 2.5.0 ou ultérieure doit être installé sur l’ordinateur qui sera utilisé pour configurer Azure File Sync pour utiliser des identités managées. Pour installer le dernier module PowerShell Az.StorageSync, exécutez la commande suivante à partir d'une fenêtre PowerShell avec privilèges élevés :

  Install-Module Az.StorageSync -Force
  

Disponibilité régionale

La prise en charge d’Azure File Sync pour les identités managées affectées par le système est disponible dans toutes les régions Azure Public et Gov qui prennent en charge Azure File Sync.

Activez une identité gérée attribuée par le système sur vos serveurs enregistrés

Avant de pouvoir configurer Azure File Sync pour utiliser des identités gérées, vos serveurs enregistrés doivent disposer d’une identité gérée attribuée par le système qui sera utilisée pour s’authentifier auprès du service Azure File Sync et des partages de fichiers Azure.

Pour activer une identité managée affectée par le système sur un serveur inscrit sur lequel l’agent Azure File Sync v20 est installé, procédez comme suit :

• Si le serveur est hébergé en dehors d’Azure, il doit s’agir d’un serveur compatible Azure Arc pour disposer d’une identité managée attribuée par le système. Pour plus d’informations sur les serveurs compatibles Azure Arc et sur l’installation de l’agent Azure Connected Machine, consultez : Présentation des serveurs compatibles Azure Arc.
• Si le serveur est une machine virtuelle Azure, activez le paramètre d’identité gérée attribuée par le système sur la machine virtuelle. Pour plus d’informations, consultez : Configurez les identités gérées sur les machines virtuelles Azure.

Remarque

Une fois le service de synchronisation de stockage configuré pour utiliser des identités managées, les serveurs inscrits qui n’ont pas d’identité managée affectée par le système continueront d’utiliser une clé partagée pour s’authentifier auprès de vos partages de fichiers Azure.

Comment vérifier si vos serveurs enregistrés disposent d'une identité gérée attribuée par le système

portail

Pour vérifier si vos serveurs inscrits ont une identité managée affectée par le système, effectuez les étapes suivantes à l’aide du portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres et sélectionnez Identité managée.

2. Dans la section Serveurs inscrits , sélectionnez la vignette Prêt à utiliser l’ID managé . Cette vignette affiche la liste des serveurs qui ont une identité managée affectée par le système. Si votre serveur n’est pas répertorié, procédez comme suit pour activer une identité managée affectée par le système sur vos serveurs inscrits.

PowerShell

Pour vérifier si vos serveurs enregistrés disposent d’une identité gérée attribuée par le système, exécutez la commande PowerShell suivante :

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Vérifiez que la propriété LatestApplicationId a un GUID qui indique que le serveur a une identité managée affectée par le système, mais n’est pas actuellement configuré pour utiliser l’identité managée.

Si la valeur de la propriété ActiveAuthType est Certificate et que LatestApplicationId n’a pas de GUID, le serveur n’a pas d’identité managée affectée par le système et utilise des clés partagées pour s’authentifier auprès du partage de fichiers Azure.

Remarque

Une fois qu'un serveur est configuré pour utiliser l'identité gérée attribuée par le système en suivant les étapes de la section suivante, la propriété LatestApplicationId n'est plus utilisée (sera vide), la valeur de la propriété ActiveAuthType sera modifiée en ManagedIdentity et la propriété ApplicationId aura un GUID qui est l'identité gérée attribuée par le système.

Configurez votre déploiement Azure File Sync pour utiliser des identités gérées attribuées par le système

portail

Pour configurer le service de synchronisation de stockage et les serveurs inscrits pour utiliser des identités managées affectées par le système, procédez comme suit dans le portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres et sélectionnez Identité managée.

2. Sélectionnez Activer l’identité managée pour commencer la configuration.

Les étapes suivantes sont effectuées et prendront plusieurs minutes (ou plus longtemps pour les topologies volumineuses) :

• Active une identité gérée attribuée par le système pour la ressource du service de synchronisation de stockage.

• Accorde au système de service de synchronisation de stockage l'accès à l'identité gérée attribuée à vos comptes de stockage (rôle de contributeur de compte de stockage).

• Accorde au système Storage Sync Service l’accès à l’identité gérée attribuée à vos partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).

• Accorde aux serveurs enregistrés l’accès à l’identité gérée attribuée par le système aux partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).

• Configure le service de synchronisation de stockage pour utiliser l’identité gérée attribuée par le système.

• Configure les serveurs enregistrés pour utiliser l'identité gérée attribuée par le système.

Remarque

Une fois que le ou les serveurs inscrits sont configurés pour utiliser une identité managée affectée par le système, cela peut prendre jusqu’à 15 minutes avant que le serveur utilise l’identité managée affectée par le système pour s’authentifier auprès du service de synchronisation de stockage et des partages de fichiers.

PowerShell

Pour configurer le service de synchronisation de stockage et les serveurs enregistrés afin d’utiliser des identités gérées attribuées par le système, exécutez la commande suivante à partir d’une fenêtre PowerShell avec privilèges élevés :

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

L'applet de commande Set-AzStorageSyncServiceIdentity exécute les étapes suivantes pour vous et prendra plusieurs minutes (ou plus pour les topologies volumineuses) :

• Active une identité gérée attribuée par le système pour la ressource du service de synchronisation de stockage.
• Accorde au système de service de synchronisation de stockage l'accès à l'identité gérée attribuée à vos comptes de stockage (rôle de contributeur de compte de stockage).
• Accorde au système Storage Sync Service l’accès à l’identité gérée attribuée à vos partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).
• Accorde aux serveurs enregistrés l’accès à l’identité gérée attribuée par le système aux partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).
• Configure le service de synchronisation de stockage pour utiliser l’identité gérée attribuée par le système.
• Configure les serveurs enregistrés pour utiliser l'identité gérée attribuée par le système.

Utilisez l’applet de commande Set-AzStorageSyncServiceIdentity chaque fois que vous devez configurer des serveurs enregistrés supplémentaires pour utiliser des identités gérées.

Remarque

Une fois que le ou les serveurs inscrits sont configurés pour utiliser une identité managée affectée par le système, cela peut prendre jusqu’à 15 minutes avant que le serveur utilise l’identité managée affectée par le système pour s’authentifier auprès du service de synchronisation de stockage et des partages de fichiers.

Comment vérifier si le service de synchronisation de stockage utilise une identité gérée attribuée par le système

portail

Pour vérifier si le service de synchronisation de stockage utilise une identité managée affectée par le système, procédez comme suit dans le portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres, puis sélectionnez Identité managée.

2. Dans la section Serveurs inscrits , si vous avez au moins un serveur répertorié dans la vignette Utilisation de l’ID managé , votre service est configuré pour utiliser des identités managées.

PowerShell

Pour vérifier si le service de synchronisation de stockage utilise une identité gérée attribuée par le système, exécutez la commande suivante à partir d'une fenêtre PowerShell avec privilèges élevés :

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Vérifiez que la valeur de la propriété UseIdentity est True. Si la valeur est False, le service de synchronisation de stockage utilise des clés partagées pour s’authentifier auprès des partages de fichiers Azure.

Comment vérifier si un serveur enregistré est configuré pour utiliser une identité gérée attribuée par le système

portail

Pour vérifier si un serveur inscrit est configuré pour utiliser une identité managée affectée par le système, procédez comme suit dans le portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres, puis sélectionnez Identité managée.

2. Dans la section Serveurs inscrits , sélectionnez la vignette Using Managed ID et vérifiez que le serveur est répertorié.

PowerShell

Pour vérifier si un serveur enregistré est configuré pour utiliser une identité gérée attribuée par le système, exécutez la commande suivante à partir d'une fenêtre PowerShell avec privilèges élevés :

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Vérifiez que la propriété ApplicationId possède un GUID qui indique que le serveur est configuré pour utiliser l’identité gérée. La valeur de la propriété ActiveAuthType sera mise à jour sur ManagedIdentity une fois que le serveur utilisera l'identité gérée attribuée par le système.

Remarque

Une fois que le ou les serveurs inscrits sont configurés pour utiliser une identité managée affectée par le système, cela peut prendre jusqu’à 15 minutes avant que le serveur utilise l’identité managée affectée par le système pour s’authentifier auprès du service de synchronisation de stockage et des partages de fichiers Azure.

Plus d’informations

Une fois que le service de synchronisation de stockage et les serveurs enregistrés sont configurés pour utiliser une identité gérée attribuée par le système :

• Les nouveaux points de terminaison (cloud ou serveur) créés utiliseront une identité gérée attribuée par le système pour s’authentifier auprès du partage de fichiers Azure.
• Lorsque vous devez configurer des serveurs inscrits supplémentaires pour utiliser des identités managées, accédez au panneau Identité managée dans le portail, puis sélectionnez Activer l’identité managée ou utilisez l’applet Set-AzStorageSyncServiceIdentity de commande PowerShell.

Si vous rencontrez des problèmes, consultez : Résoudre les problèmes concernant les identités managées Azure File Sync.