ハイブリッドファイルサービス

Microsoft Entra ID

Azure ExpressRoute

Azure Files

Azure Storage アカウント

この記事では、Azure File SyncとAzure Filesを使用して、クラウドとオンプレミスのファイル共有リソース間でファイルサービスホスティング機能を拡張する方法について説明します。

アーキテクチャ

Azure ハイブリッドファイルサービスのトポロジダイアグラム。

このアーキテクチャの Visio ファイルをダウンロードします。

Workflow

アーキテクチャは、次のコンポーネントで構成されています。

ファイルサーバーは、Azure Storage同期サービスと通信して、登録と正常性の状態を確認します。 Azure Storage同期サービスは、Azureファイル共有と 1 つ以上のファイルサーバーで構成される同期グループも管理します。
ファイルサーバーは Azure ファイル共有と直接通信して、ファイルとフォルダー、および NTFS ACL を含むメタデータを同期します。注: Active Directoryを Entra に同期することは、複数のサイトおよびファイルサーバー間でのファイル同期には必要ありません。 Azure ファイル共有への直接アクセスにのみ必要です。
オンプレミスのクライアントは、オンプレミスのファイルサーバーと直接通信します。変更は、Azureファイル共有と同期グループ内の他のファイルサーバーの両方に自動的にレプリケートされます。
クラウドベースの仮想マシンまたは仮想デスクトップは、認証に Entra または Active Directory を使用して、Azure ファイル共有と直接通信できます。

コンポーネント

Azure Filesは、クラウドのスケーラビリティ、セキュリティ、柔軟性を備えた SMB またはネットワークファイルシステム (NFS) プロトコルを介してアクセスできるファイル共有を作成するために使用できる、Microsoft Azureのフルマネージドクラウドファイル共有サービスです。このアーキテクチャでは、アプリケーションとユーザーに対してスケーラブルで安全なファイルストレージを実現し、リフトアンドシフトシナリオとハイブリッドアクセスをサポートします。
Azure Storage アカウントは、すべてのクラウドストレージデータを保持し、BLOB、ファイル、キュー、テーブル、ディスクを格納するための統合された名前空間を提供する、Microsoft Azure の基本コンテナーです。このアーキテクチャでは、これらは基本的なストレージ層として機能し、ワークロード全体の高可用性、持続性、パフォーマンスを確保します。
Microsoft Entra ID はクラウドベースの ID およびアクセス管理サービスです。このアーキテクチャでは、環境全体のユーザー、アプリ、およびサービスの認証、承認、および条件付きアクセスを制御します。

シナリオの詳細

このアーキテクチャの一般的な用途は次のとおりです。

クラウド環境とオンプレミス環境からアクセスできる必要があるファイル共有のホスト。
1 つのクラウドベースのソースと、複数のオンプレミスデータストア間でのデータの同期。

推奨事項

ほとんどのシナリオに次の推奨事項が適用されます。優先すべき要件がない限り、これらの推奨事項に従ってください。

Azure Files の使用とデプロイ

ファイルはクラウドのサーバーレス Azure ファイル共有に格納します。これらの使用方法は 2 つあり、直接マウント (SMB) するか、Azure File Sync を使用してオンプレミスにキャッシュします。デプロイの計画時に考慮する必要がある内容は、2 つの方法のどちらを選択するかによって異なります。

Azure ファイル共有の直接マウント。 Azure Filesは SMB アクセスを提供するため、Windows、macOS、Linux オペレーティングシステムで使用できる標準の SMB クライアントを使用して、オンプレミスまたはクラウドでAzureファイル共有をマウントできます。 Azure ファイル共有はサーバーレスであるため、それらを運用環境にデプロイするシナリオでは、ファイルサーバーやネットワーク接続ストレージ (NAS) デバイスを管理する必要がありません。つまり、ソフトウェアの修正プログラムを適用したり、物理ディスクを交換したりする必要はありません。
Azure File Sync を使用したオンプレミスでの Azure ファイル共有のキャッシュ。Azure File Sync を使用すると、オンプレミスのファイルサーバーの柔軟性、パフォーマンス、互換性を維持しながら、Azure Files で組織のファイル共有を一元化できます。 Azure File Sync によって、オンプレミス (またはクラウド) の Windows Server が Azure ファイル共有の高速キャッシュに変換されます。

ストレージ同期サービスのデプロイ

Azure File Sync のデプロイを開始するには、選択したサブスクリプションのリソースグループにストレージ同期サービスリソースをデプロイします。可能な限り少ない数のストレージ同期サービスオブジェクトをプロビジョニングすることが推奨されます。サーバーとこのリソースの間に信頼関係を作成します。サーバーは、1 つのストレージ同期サービスにのみ登録できます。そのため、サーバーのグループを分離するために必要な数だけのストレージ同期サービスをデプロイすることが推奨されます。異なるストレージ同期サービスを使用するサーバー間では同期できないことに注意してください。

Azure File Sync エージェントへの Windows Server マシンの登録

Windows Server で同期機能を有効にするには、Azure File Sync のダウンロード可能なエージェントをインストールする必要があります。 Azure File Sync エージェントには、2 つの主要コンポーネントがあります。

FileSyncSvc.exe: サーバーエンドポイントの変更を監視し、同期セッションを開始するバックグラウンド Windows サービス。
StorageSync.sys: クラウドの階層化とディザスターリカバリーの高速化を可能にするファイルシステムフィルター。

エージェントは、Microsoft ダウンロードセンターの Azure File Sync エージェントのダウンロードページからダウンロードできます。

オペレーティングシステムの要件

Azure File Sync は、次の表の一覧にある Windows Server バージョンでサポートされています。

Version	サポートされている SKU	サポートされているデプロイオプション
Windows Server 2025	Azure、Datacenter、Standard、IoT	フルとコア
Windows Server 2022	Azure、データセンター、Essentials、Standard、IoT	完全およびコア
Windows Server 2019	Datacenter、Standard、および IoT	フルとコア
Windows Server 2016	データセンター、標準、ストレージサーバー	フル版とコア

詳細については、「Windows ファイルサーバーに関する考慮事項」を参照してください。

同期グループとクラウドエンドポイントの構成

同期グループは、一連のファイルの同期トポロジを定義します。同期グループ内のエンドポイントは、相互に同期を維持されます。同期グループには、Azure ファイル共有と 1 つ以上のサーバーエンドポイントを表す、1 つのクラウドエンドポイントが含まれている必要があります。 サーバーエンドポイントは、登録されているサーバー上のパスを表します。 1 つのサーバーが、複数の同期グループにサーバーエンドポイントを持つことができます。目的の同期トポロジを適切に記述するために必要なだけいくつでも同期グループを作成できます。

クラウドエンドポイントは、Azure ファイル共有へのポインターです。すべてのサーバーエンドポイントがクラウドエンドポイントと同期され、クラウドエンドポイントがハブになります。 Azure ファイル共有のストレージアカウントは、ストレージ同期サービスと同じリージョンに存在する必要があります。 Azure ファイル共有の全体が同期されますが、1 つ例外があり、NT ファイルシステム (NTFS) ボリューム上の非表示のシステムボリューム情報フォルダーに相当する特別なフォルダーがプロビジョニングされます。このディレクトリは .SystemShareInformation と呼ばれ、他のエンドポイントと同期しない重要な同期メタデータが格納されています。

サーバーエンドポイントの構成

サーバーエンドポイントは、登録済みサーバー上の特定の場所を表します。たとえば、サーバーボリュームのフォルダーなどです。

サーバーエンドポイントの詳細については、「Azure File Sync サーバーエンドポイントの作成」を参照してください。

可能な限り、Azure ファイル共有と Windows ファイル共有を 1 対 1 でデプロイする必要があります。サーバーエンドポイントオブジェクトを使用すると、同期関係のサーバー側で同期トポロジを設定する方法において、高い柔軟性を発揮します。管理を簡略化するには、サーバーエンドポイントのパスを Windows ファイル共有のパスと一致させます。

使用するストレージ同期サービスは、出来る限り最小限に抑えます。これにより、Windows Server は一度に 1 つのストレージ同期サービスにしか登録できないため、複数のサーバーエンドポイントを含む同期グループがある場合の管理が簡単になります。

Azure ファイル共有をデプロイする際は、ストレージアカウントでの IOPS (秒あたりの I/O 操作) 制限に注意してください。できる限り、ファイル共有をストレージアカウントと 1 対 1 でマップしてください。組織やAzureからのさまざまな制限や制限があるため、これを行うことができるとは限りません。 1 つのストレージアカウントにファイル共有を 1 つだけデプロイすることが不可能な場合は、最もアクティブなファイル共有を同じストレージアカウントに入れないでください。

トポロジに関するレコメンデーション: ファイアウォール、エッジネットワーク、プロキシ接続

ソリューショントポロジに関する次のレコメンデーションを考慮してください。

ファイアウォールとトラフィックのフィルター処理

組織のポリシーまたは固有の規制要件に応じて、Azure との通信を制限することが必要になる場合があります。そのため、Azure File Sync には、ネットワークを構成するためのメカニズムがいくつか用意されています。要件に応じて、次のことができます。

Azure ExpressRoute または Azure 仮想プライベートネットワーク (VPN) 経由での同期とファイルのアップロードとダウンロードのトラフィックのトンネリング。
Azure Files と Azure のネットワーク機能 (サービスエンドポイント、プライベートエンドポイントなど) の使用。
お使いの環境でプロキシをサポートするよう Azure File Sync を構成。
Azure File Sync からネットワークアクティビティを調整。

Azure File Sync とネットワークの詳細については、「Azure File Sync のネットワークに関する考慮事項」を参照してください。

プロキシサーバーの構成

多くの組織では、オンプレミスネットワーク内のリソースと、Azure 内などのネットワーク外部のリソース間の仲介役としてプロキシサーバーを使用しています。プロキシサーバーは、ネットワークの分離とセキュリティ、監視、ログ記録などのさまざまな用途で役立ちます。 Azure File Sync はプロキシサーバーと完全に相互運用できますが、Azure File Sync を使用する実際の環境に合わせてプロキシエンドポイントの設定を手動で構成する必要があります。これは、Azure PowerShell で Azure File Sync のサーバーコマンドレットを使用して行います。

プロキシサーバーを使用した Azure File Sync の構成方法の詳細については、「Azure File Sync のプロキシとファイアウォールの設定」を参照してください。

考慮事項

これらの考慮事項では、Azure Well-Architected Framework の柱を実装します。これは、ワークロードの品質を向上させるために使用できる一連の基本原則です。詳細については、「 Well-Architected Framework」を参照してください。

[信頼性]

信頼性は、アプリケーションが顧客に対して行ったコミットメントを確実に満たすことができるのに役立ちます。詳細については、「信頼性設計レビューチェックリスト」を参照してください。

Azure Files のデプロイには、主に次の 2 種類のストレージアカウントがあります。
- 汎用バージョン 2 (GPv2) ストレージアカウント。 GPv2 ストレージアカウントを使うと、Standard のハードディスクベース (HDD ベース) のハードウェアに Azure ファイル共有をデプロイできます。 GPv2 ストレージアカウントでは、Azure ファイル共有を格納するだけでなく、BLOB コンテナー、キュー、テーブルなどの他のストレージリソースも格納できます。
- Premium ファイル共有: ファイル共有のみの Premium ストレージアカウントの種類。エンタープライズまたはハイパフォーマンススケールアプリケーションにお勧めします。サーバーメッセージブロック (SMB) ファイル共有と NFS ファイル共有の両方をサポートするストレージアカウントが必要な場合は、このタイプのアカウントを使用します。
ソリューションをデプロイするリージョンで Azure File Sync がサポートされていることを確認する必要があります。詳細については、「Azure File Sync の利用可能なリージョン」を参照してください。
「アーキテクチャ」セクションで参照されているサービスが、ハイブリッドファイルサービスアーキテクチャをデプロイするリージョンでサポートされていることを確認する必要があります。
Azure ファイル共有内のデータを、一時的なハードウェア障害、ネットワーク障害、停電、自然災害などの計画されたイベントや計画外のイベントから保護するために、Azure Filesは常にデータの複数のコピーを格納して、ローカル冗長ストレージ (LRS)、ゾーン冗長ストレージ (ZRS)、geo 冗長ストレージ (GRS)、または geo ゾーン冗長ストレージ (GZRS) を使用して保護されるようにします。詳細については、データ冗長性Azure Files参照してください。
ファイル共有内のデータをさらに保護するには、Azure Files バックアップを使用します。これは、データを保護し、オンプレミスのメンテナンスオーバーヘッドを排除するネイティブクラウドソリューションです。 Azure Backup は Azure File Sync とシームレスに統合され、ファイル共有のデータとバックアップが一元化されます。シンプルで信頼性の高いセキュリティで保護されたソリューションを使用すると、スナップショットとコンテナー化されたバックアップを使用してエンタープライズファイル共有を保護し、偶発的または悪意のある削除のためにデータを確実に回復できます。詳細については、「Azure Filesのバックアップ」を参照してください。
Azure File Syncは、ストレージ同期サービスもフェールオーバーされた場合に、ストレージアカウントのフェールオーバーをサポートします。このサポートは、Azure File Syncストレージアカウントとストレージ同期サービスが同じAzure リージョンに存在する必要があるために存在します。 Azure File Syncでクラウドエンドポイントとして使用されるAzureファイル共有を含むストレージアカウントをフェールオーバーする場合は、Azure File Syncディザスターリカバリーのベストプラクティスとサーバーの復旧Azure File Sync参照してください。詳細については、「Azure Filesのディザスターリカバリーとフェールオーバー」を参照してください。
"以前のバージョン" とは、ボリュームのサーバー側ボリュームシャドウコピーサービス (VSS) スナップショットを使用して、ファイルの復元可能なバージョンを SMB クライアントに提供する、Windows の機能です。 VSS スナップショットと以前のバージョンは、Azure File Sync からは独立して機能します。ただし、クラウドを使った階層化を互換モードに設定する必要があります。多くの Azure File Sync サーバーエンドポイントが、同じボリューム上に存在できます。クラウドを使った階層化を使用しているか使用する予定のサーバーエンドポイントが 1 つでもあるボリュームでは、次の PowerShell 呼び出しを実行する必要があります。以前のバージョンと VSS の詳細については、「以前のバージョンおよび VSS (ボリュームシャドウコピーサービス) を使用するセルフサービス復元」を参照してください。

セキュリティ

セキュリティは、意図的な攻撃や貴重なデータとシステムの誤用に対する保証を提供します。詳細については、セキュリティの設計レビューチェックリストを参照してください。

Azure File Sync は、Azure File Sync のセットアップ以外に特別な設定を行わなくても、標準の Active Directory Domain Services (AD DS) ID で動作します。Azure File Sync を使用する場合、ファイルアクセスは一般に Azure ファイル共有経由ではなく、Azure File Sync キャッシュサーバーを経由します。サーバーエンドポイントは Windows Server マシン上にあるため、ID 統合の唯一の要件は、ドメインに参加している Windows ファイルサーバーを使用してストレージ同期サービスに登録することです。 Azure File Sync では、Azure ファイル共有にファイルのアクセス制御リスト (ACL) を格納し、それらをすべてのサーバーエンドポイントにレプリケートします。
Azure ファイル共有に直接加えられた変更は、同期グループ内のサーバーエンドポイントに同期するのに時間がかかりますが、ファイル共有に対する AD DS アクセス許可をクラウドでも直接適用できることを確認する必要があります。これを行うには、Windows ファイルサーバーがドメイン参加しているのと同じように、ストレージアカウントをオンプレミスの AD DS にドメイン参加させる必要があります。顧客所有の AD DS インスタンスにストレージアカウントをドメイン参加させることの詳細については、「SMB アクセスの Azure Files ID ベース認証オプションの概要」を参照してください。
Azure File Syncを使用する場合は、次の 3 つの異なる暗号化レイヤーを考慮する必要があります。
- Windows Server に格納されているデータの保存時の暗号化。一般的に Azure File Sync で機能する Windows Server 上のデータを暗号化する方法には、ファイルシステムとそれに書き込まれたすべてのデータが暗号化されるファイルシステムにおける暗号化と、ファイル形式自体での暗号化という、2 つの方法があります。これらの方法はそれぞれ目的が異なるため、必要に応じて同時に使用できます。
- Azure File Sync エージェントと Azure 間の転送中の暗号化。 Azure File Sync エージェントは、Azure File Sync REST プロトコルと FileREST プロトコルを使用して、ストレージ同期サービスと Azure ファイル共有と通信します。どちらも、常にポート 443 経由で HTTPS を使用します。 Azure File Sync では、暗号化されていない要求が HTTP 経由で送信されることはありません。
- Azure ファイル共有に格納されているデータの保存時の暗号化。 Azure Files に格納されるすべてのデータは、Azure Storage Service Encryption (SSE) を使用して保存時に暗号化されます。 Storage Service Encryption は Windows の BitLocker と同様に機能し、データはファイルシステムレベルで暗号化されます。データは Azure ファイル共有のファイルシステムで暗号化されるため、データがディスクにエンコードされるときに、Azure ファイル共有を読み書きするために、基になるクライアント上のキーにアクセスできる必要はありません。

コストの最適化

コストの最適化では、不要な経費を削減し、運用効率を向上させる方法に重点を置いています。詳細については、「コストの最適化設計レビューチェックリスト」を参照してください。

アカウントの種類、ストレージ容量、レプリケーション、およびトランザクションに基づく詳細な料金情報については、「 Azure Storage 料金」ページを参照してください。
データエグレスの価格の詳細については、データ転送の価格の詳細に関する記事を参照してください。
コストの見積もりには、Azure Storage Pricing Calculator を使用できます。

オペレーショナルエクセレンス

オペレーショナルエクセレンスは、アプリケーションをデプロイし、運用環境で実行し続ける運用プロセスを対象としています。詳細については、「オペレーショナルエクセレンス設計レビューチェックリスト」を参照してください。

Azure File Sync エージェントは、新機能の追加や問題の解決を目的として定期的に更新されます。 Microsoft では、取得可能になった Azure File Sync エージェントの更新プログラムが提供されるように、Microsoft Update を構成することをお勧めしています。詳細については、「Azure ファイル同期エージェントの更新ポリシー」を参照してください。
Azure Storage には、アプリケーションまたは他のストレージアカウントユーザーによって誤って削除されたデータを復旧できるように、ファイル共有での論理的な削除が用意されています。論理的な削除の詳細については、「Azure ファイル共有で論理的な削除を有効にする」を参照してください。
クラウドの階層化は Azure File Sync のオプション機能です。これにより、頻繁にアクセスされるファイルがサーバー上にローカルにキャッシュされ、その他はポリシー設定に基づいて Azure Files に階層化されます。ファイルが階層化されていると、Azure File Sync ファイルシステムフィルター (StorageSync.sys) によって、ファイルがローカルで、Azure Files 内のファイルへのポインターに置き換えられます。階層化されたファイルをサードパーティアプリケーションで安全に識別できるように、階層化されたファイルにはオフライン属性と FILE_ATTRIBUTE_RECALL_ON_DATA_ACCESS 属性の両方が NTFS 内で設定されます。詳細については、「クラウドの階層化の概要」を参照してください。

パフォーマンス効率

パフォーマンス効率とは、ユーザーの要求を効率的に満たすためにスケーリングするワークロードの能力を指します。詳細については、「パフォーマンス効率の設計レビューチェックリスト」を参照してください。

Azure ファイル共有をホストするために使用するストレージアカウントの種類とパフォーマンスを考慮する必要があります。ストレージアカウントにデプロイされているすべてのストレージリソースにより、そのストレージアカウントに適用される制限が共有されます。ストレージアカウントの現在の制限の決定に関する詳細を確認するには、「Azure Files のスケーラビリティおよびパフォーマンスのターゲット」をご覧ください。

次のステップ

関連するハイブリッドガイダンス:

フィードバック

このページはお役に立ちましたか?