Beheerde identiteiten gebruiken met Azure File Sync

Dit artikel legt uit hoe je je Azure File Sync-implementatie configureert om systeem-toegewezen beheerde identiteiten te gebruiken. Managed Identity-ondersteuning elimineert de noodzaak van gedeelde sleutels als authenticatiemethode door gebruik te maken van een door het systeem toegewezen beheerde identiteit die wordt geleverd door Microsoft Entra ID.

Wanneer u deze configuratie inschakelt, worden de door het systeem toegewezen beheerde identiteiten gebruikt voor de volgende scenario's:

• Verificatie van opslagsynchronisatieservice voor Azure-bestandsdeling
• Geregistreerde serververificatie voor Azure-bestandsshare
• Geregistreerde serververificatie voor opslagsynchronisatieservice

Zie Beheerde identiteiten voor Azure-resources voor meer informatie over de voordelen van het gebruik van beheerde identiteiten.

Belangrijk

Topologieën tussen tenants worden niet ondersteund. De opslagsynchronisatieservice, de serverresource (server met Azure Arc of azure-VM), de beheerde identiteit en de RBAC-toewijzingen in het opslagaccount moeten allemaal zich in dezelfde Microsoft Entra-tenant bevinden. Cross-tenantconfiguraties mislukken tijdens authenticatie/autorisatie, en de server kan geen verbinding maken.

Vereiste voorwaarden

Portaal

• Azure File Sync-agent versie 20.0.0.0 of hoger moet zijn geïnstalleerd op de geregistreerde server.

• Voor uw opslagaccounts die worden gebruikt door Azure File Sync, moet u lid zijn van de rol Azure File Sync-beheerder of eigenaarbeheer of machtigingen voor 'Microsoft.Authorization/roleassignments/write' hebben.

  Wanneer u de rol Azure File Sync-beheerder toewijst, volgt u deze stappen om de minimale bevoegdheden te garanderen.

  1. Selecteer op het tabblad Voorwaarden de optie Toestaan dat gebruikers geselecteerde rollen toewijzen aan alleen geselecteerde principals (minder bevoegdheden).

  2. Klik op Rollen en principals selecteren en selecteer vervolgens Actie toevoegen onder Voorwaarde 1.

  3. Selecteer Roltoewijzing maken en klik vervolgens op Selecteren.

  4. Selecteer Expressie toevoegen en selecteer Vervolgens Aanvraag.

  5. Selecteer onder Kenmerkbron de roldefinitie-id onder Kenmerk en selecteer vervolgens ForAnyOfAnyValues:GuidEquals onder Operator.

  6. Selecteer Rollen toevoegen. Voeg de rollen Lezer en Gegevenstoegang, Inzender voor opslagbestandsgegevens en Inzender voor opslagaccounts toe en selecteer Opslaan.

PowerShell

• Azure File Sync-agent versie 20.0.0.0 of hoger moet zijn geïnstalleerd op de geregistreerde server.

• Voor uw opslagaccounts die worden gebruikt door Azure File Sync, moet u lid zijn van de rol Azure File Sync-beheerder of eigenaarbeheer of machtigingen voor 'Microsoft.Authorization/roleassignments/write' hebben.

  Wanneer u de rol Azure File Sync-beheerder toewijst, volgt u deze stappen om de minimale bevoegdheden te garanderen.

  1. Selecteer op het tabblad Voorwaarden de optie Toestaan dat gebruikers geselecteerde rollen toewijzen aan alleen geselecteerde principals (minder bevoegdheden).

  2. Klik op Rollen en principals selecteren en selecteer vervolgens Actie toevoegen onder Voorwaarde 1.

  3. Selecteer Roltoewijzing maken en klik vervolgens op Selecteren.

  4. Selecteer Expressie toevoegen en selecteer Vervolgens Aanvraag.

  5. Selecteer onder Kenmerkbron de roldefinitie-id onder Kenmerk en selecteer vervolgens ForAnyOfAnyValues:GuidEquals onder Operator.

  6. Selecteer Rollen toevoegen. Voeg de rollen Lezer en Gegevenstoegang, Inzender voor opslagbestandsgegevens en Inzender voor opslagaccounts toe en selecteer Opslaan.

• Az.StorageSync PowerShell-moduleversie 2.5.0 of hoger moet zijn geïnstalleerd op de computer die wordt gebruikt om Azure File Sync te configureren voor het gebruik van beheerde identiteiten. Als u de nieuwste Az.StorageSync PowerShell-module wilt installeren, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

  Install-Module Az.StorageSync -Force
  

Regionale beschikbaarheid

Azure File Sync-ondersteuning voor door het systeem toegewezen beheerde identiteiten is beschikbaar in alle openbare Azure- en Gov-regio's die Ondersteuning bieden voor Azure File Sync.

Een door het systeem toegewezen beheerde identiteit inschakelen op uw geregistreerde servers

Voordat u Azure File Sync kunt configureren voor het gebruik van beheerde identiteiten, moeten uw geregistreerde servers een door het systeem toegewezen beheerde identiteit hebben die wordt gebruikt voor verificatie bij de Azure File Sync-service en Azure-bestandsshares.

Om een systeem-toegewezen beheerde identiteit in te schakelen op een geregistreerde server die de Azure File Sync v20-agent heeft geïnstalleerd, volgt u deze stappen:

• Als de server buiten Azure wordt gehost, moet deze een server met Azure Arc zijn om een door het systeem toegewezen beheerde identiteit te hebben. Zie voor meer informatie over servers met Azure Arc en het installeren van de Azure Connected Machine-agent: Overzicht van Servers met Azure Arc.
• Als de server een virtuele Azure-machine is, schakelt u de door het systeem toegewezen beheerde identiteit in op de VIRTUELE machine. Zie voor meer informatie: Beheerde identiteiten configureren op virtuele Azure-machines.

Notitie

Nadat je de Storage Sync Service hebt geconfigureerd om beheerde identiteiten te gebruiken, blijven geregistreerde servers zonder systeem-toegewezen beheerde identiteit een gedeelde sleutel gebruiken om je te authenticeren bij je Azure-bestandsdelingen.

Controleren of uw geregistreerde servers een door het systeem toegewezen beheerde identiteit hebben

Portaal

Om te controleren of je geregistreerde servers een systeem-toegewezen beheerde identiteit hebben, volg je deze stappen in het Azure-portaal:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Selecteer in de sectie Geregistreerde servers de tegel Gereed voor gebruik van beheerde ID. Op deze tegel wordt een lijst weergegeven met servers met een door het systeem toegewezen beheerde identiteit. Als uw server niet wordt vermeld, voert u de stappen uit om een door het systeem toegewezen beheerde identiteit in te schakelen op uw geregistreerde servers.

PowerShell

Voer de volgende PowerShell-opdracht uit om te controleren of uw geregistreerde servers een door het systeem toegewezen beheerde identiteit hebben:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Controleer of de eigenschap LatestApplicationId een GUID heeft die aangeeft dat de server een door het systeem toegewezen beheerde identiteit heeft, maar momenteel niet is geconfigureerd voor het gebruik van de beheerde identiteit.

Als de waarde voor de eigenschap ActiveAuthTypecertificaat is en de LatestApplicationId geen GUID heeft, heeft de server geen door het systeem toegewezen beheerde identiteit en worden gedeelde sleutels gebruikt om te verifiëren bij de Azure-bestandsshare.

Notitie

Nadat je een server hebt geconfigureerd om de systeem-toegewezen beheerde identiteit te gebruiken door de stappen in de volgende sectie te volgen, wordt de eigenschap LatestApplicationId niet meer gebruikt (deze is leeg), verandert de eigenschap ActiveAuthType in ManagedIdentity, en heeft de eigenschap ApplicationId een GUID, wat de door het systeem toegewezen beheerde identiteit is.

Uw Azure File Sync-implementatie configureren voor het gebruik van door het systeem toegewezen beheerde identiteiten

Portaal

Om de Storage Sync Service en geregistreerde servers te configureren met systeem-toegewezen beheerde identiteiten, volgt u deze stappen in het Azure-portaal:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Selecteer Beheerde identiteit inschakelen om de installatie te starten.

De volgende stappen worden uitgevoerd en het duurt enkele minuten (of langer voordat grote topologieën zijn voltooid):

• Hiermee schakelt u een door het systeem toegewezen beheerde identiteit in voor opslagsynchronisatieserviceresource.

• Verleent de door de Opslagsynchronisatie Service systeem toegewezen beheerde identiteit toegang tot uw opslagaccounts (rol van Inzender voor opslagaccounts).

• Verleent de door de opslagsynchronisatieservice toegewezen beheerde identiteit toegang tot uw Azure-bestandsshares (voorrechten bijdragegever rol voor opslagbestandsgegevens).

• Verleent toegang tot de Azure-bestandsshares aan de door het systeem toegewezen beheerde identiteit van de geregistreerde server(s) (rol Bevoorrechte bijdrager voor opslagbestandsgegevens).

• Hiermee configureert u de opslagsynchronisatieservice voor het gebruik van door het systeem toegewezen beheerde identiteit.

• Hiermee configureert u geregistreerde server(s) voor het gebruik van door het systeem toegewezen beheerde identiteit.

Notitie

Nadat je de geregistreerde servers hebt geconfigureerd om een systeem-toegewezen beheerde identiteit te gebruiken, kan het tot 15 minuten duren voordat de server de systeem-toegewezen beheerde identiteit gebruikt om te authenticeren bij de Storage Sync Service en bestandsdelingen.

PowerShell

Als u de opslagsynchronisatieservice en geregistreerde servers wilt configureren voor het gebruik van door het systeem toegewezen beheerde identiteiten, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

De cmdlet Set-AzStorageSyncServiceIdentity voert de volgende stappen voor u uit en duurt enkele minuten (of langer voordat grote topologieën zijn voltooid):

• Hiermee schakelt u een door het systeem toegewezen beheerde identiteit in voor opslagsynchronisatieserviceresource.
• Verleent de door de Opslagsynchronisatie Service systeem toegewezen beheerde identiteit toegang tot uw opslagaccounts (rol van Inzender voor opslagaccounts).
• Verleent de door de opslagsynchronisatieservice toegewezen beheerde identiteit toegang tot uw Azure-bestandsshares (voorrechten bijdragegever rol voor opslagbestandsgegevens).
• Verleent toegang tot de Azure-bestandsshares aan de door het systeem toegewezen beheerde identiteit van de geregistreerde server(s) (rol Bevoorrechte bijdrager voor opslagbestandsgegevens).
• Hiermee configureert u de opslagsynchronisatieservice voor het gebruik van door het systeem toegewezen beheerde identiteit.
• Hiermee configureert u geregistreerde server(s) voor het gebruik van door het systeem toegewezen beheerde identiteit.

Gebruik de cmdlet Set-AzStorageSyncServiceIdentity wanneer u extra geregistreerde servers moet configureren voor het gebruik van beheerde identiteiten.

Notitie

Nadat je de geregistreerde servers hebt geconfigureerd om een systeem-toegewezen beheerde identiteit te gebruiken, kan het tot 15 minuten duren voordat de server de systeem-toegewezen beheerde identiteit gebruikt om te authenticeren bij de Storage Sync Service en bestandsdelingen.

Controleren of de opslagsynchronisatieservice een door het systeem toegewezen beheerde identiteit gebruikt

Portaal

Om te controleren of de Storage Sync Service een door het systeem toegewezen beheerde identiteit gebruikt, volgt u deze stappen in het Azure-portaal:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Als u in de sectie Geregistreerde servers ten minste één server hebt die wordt vermeld in de tegel Beheerde id gebruiken, is uw service geconfigureerd voor het gebruik van beheerde identiteiten.

PowerShell

Als u wilt controleren of de opslagsynchronisatieservice een door het systeem toegewezen beheerde identiteit gebruikt, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Controleer of de waarde voor de eigenschap UseIdentityTrue is. Als de waarde Onwaar is, gebruikt de opslagsynchronisatieservice gedeelde sleutels om zich te verifiëren bij de Azure file shares.

Controleren of een geregistreerde server is geconfigureerd voor het gebruik van een door het systeem toegewezen beheerde identiteit

Portaal

Om te controleren of een geregistreerde server is geconfigureerd om een systeem-toegewezen beheerde identiteit te gebruiken, volgt u deze stappen in het Azure-portaal:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Selecteer in de sectie Geregistreerde servers de tegel Beheerde id gebruiken en controleer of de server wordt vermeld.

PowerShell

Als u wilt controleren of een geregistreerde server is geconfigureerd voor het gebruik van een door het systeem toegewezen beheerde identiteit, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Controleer of de eigenschap ApplicationId een GUID heeft die aangeeft dat de server is geconfigureerd voor het gebruik van de beheerde identiteit. De waarde voor de ActiveAuthType-eigenschap wordt bijgewerkt naar ManagedIdentity nadat de server de systeem-toegewezen beheerde identiteit heeft gebruikt.

Notitie

Nadat je de geregistreerde servers hebt geconfigureerd om een door het systeem toegewezen beheerde identiteit te gebruiken, kan het tot 15 minuten duren voordat de server de systeem-toegewezen beheerde identiteit gebruikt om zich te authenticeren bij de Storage Sync Service en Azure-bestandsdelingen.

Na de configuratie: volgende stappen en probleemoplossing

Nadat je de Storage Sync Service en geregistreerde servers hebt geconfigureerd om een systeem-toegewezen beheerde identiteit te gebruiken, gebruiken nieuwe synchronisatie-eindpunten (cloud-eindpunten of server-eindpunten op reeds geconfigureerde servers) een systeem-toegewezen beheerde identiteit om te authenticeren bij de Azure-bestandsdeling.

Als je echter een volledig nieuwe Windows Server-machine registreert bij de Storage Sync Service, voer dan opnieuw de Set-AzStorageSyncServiceIdentity-cmdlet uit voor die server (of gebruik Turn Managed identity in het portaal). Nieuwe geregistreerde servers erven de beheerde identiteitsconfiguratie niet automatisch, dus je moet die expliciet inschakelen.

Als u problemen ondervindt, raadpleegt u: Problemen met beheerde identiteiten van Azure File Sync oplossen.