適用対象: ✔️ SMB ファイル共有
ストレージ アカウントで ID ベースの認証 を選択する ID ソースに関係なく、承認とアクセス制御を構成する必要があります。 Azure Files では、共有レベル、ディレクトリ レベル、およびファイル レベルでユーザー アクセスに対する承認が適用されます。
Azure RBAC で管理されている Microsoft Entra ユーザーまたはグループに共有レベルのアクセス許可を割り当てることができます。 Azure RBACでは、ファイルアクセスに使う認証情報がMicrosoft Entra IDに利用可能または同期されている必要があります。 ストレージファイル、データ、SMBシェアリーダーなどの組み込みロールをユーザーやグループに割り当てAzure Microsoft Entra IDファイル共有へのアクセスを許可できます。
ディレクトリレベルとファイル レベルでは、Azure Files では Windows ACL の保持、継承、および適用がサポートされています。 既存のファイル共有と Azure ファイル共有の間で SMB 経由でデータをコピーするときに、Windows ACL を保持することを選択できます。 承認の適用を計画しているかどうかにかかわらず、Azure Files を使用して、データと共に ACL をバックアップできます。
共有レベルのアクセス許可を構成する
ストレージ アカウントで ID ソースを有効にした後、ファイル共有にアクセスするには、次のいずれかのタスクを実行する必要があります。
- 認証されたすべてのユーザーとグループに適用される 既定の共有レベルのアクセス許可 を設定します。
- 組み込みの Azure RBAC ロールをユーザーとグループに割り当てます。
- Microsoft Entraのアイデンティティにカスタムロールを設定し、ストレージアカウント内のファイル共有にアクセス権を割り当てます。
割り当てられた共有レベルのアクセス許可は、ID に共有へのアクセス権のみを付与し、ルート ディレクトリにさえアクセスすることはできません。 ディレクトリ レベルのアクセス許可とファイル レベルのアクセス許可を個別に構成する必要があります。
詳細については、「 共有レベルのアクセス許可を割り当てる」を参照してください。
注
コンピューター アカウントは Microsoft Entra ID の ID と同期できないため、Azure RBAC を使用してコンピューター アカウント (マシン アカウント) に共有レベルのアクセス許可を割り当てることはできません。 コンピューター アカウントが ID ベースの認証を使用して Azure ファイル共有にアクセスできるようにする場合は、既定の 共有レベルのアクセス許可を使用 するか、代わりにサービス ログオン アカウントの使用を検討してください。
ディレクトリ レベルとファイル レベルのアクセス許可を構成する
Azure Files では、ルート ディレクトリを含め、ディレクトリレベルとファイル レベルの両方で標準の Windows ACL が適用されます。 SMB と REST の両方に対してディレクトリ レベルまたはファイル レベルのアクセス許可を構成できます。
詳細については、「 ディレクトリ レベルおよびファイル レベルのアクセス許可を構成する」を参照してください。
データの移行やコピー時にディレクトリおよびファイルのACLを保持する
Azure Files では、Azure ファイル共有にデータをコピーするときのディレクトリ レベルまたはファイル レベルの ACL の保持がサポートされています。 Azure File Syncや一般的なファイル移動ツールを使って、ディレクトリやファイルのACLをAzureのファイル共有にコピーできます。 たとえば、 robocopy と /copy:s フラグを使用して、データと ACL を Azure ファイル共有にコピーできます。 ACL は既定で保持されるので、ACL を保持するために、ストレージ アカウントで ID ベースの認証を有効にする必要はありません。