Zmień źródło tożsamości dla udziałów plikowych Azure

Dotyczy: ✔️ udostępnienia plików SMB

Azure Files obsługuje tylko jedno źródło tożsamości na konto magazynowe do uwierzytelniania opartego na tożsamości za pośrednictwem protokołu SMB. Jeśli chcesz przełączyć się z jednego źródła tożsamości na inne, musisz najpierw wyłączyć bieżące źródło tożsamości, a następnie włączyć nowe.

Aby uzyskać wskazówki dotyczące wybierania odpowiedniego źródła tożsamości dla środowiska, zobacz Przegląd uwierzytelniania opartego na tożsamościach Azure Files na potrzeby dostępu do protokołu SMB.

Ważna

Wyłączenie bieżącego źródła tożsamości spowoduje natychmiastowe odebranie dostępu weryfikowanego tożsamością do wszystkich udziałów plików w koncie pamięci masowej. Użytkownicy nie mogą uzyskiwać dostępu do udziałów przy użyciu uwierzytelniania opartego na tożsamości, dopóki nie zostanie włączone i skonfigurowane nowe źródło tożsamości.

Krok 1. Weryfikowanie bieżącego źródła tożsamości

Najpierw sprawdź źródło tożsamości, które jest obecnie włączone na koncie przechowywania. Obsługiwane źródła tożsamości dla udziałów plików Azure SMB to Active Directory Domain Services (AD DS), Microsoft Entra Domain Services i Microsoft Entra Kerberos.

Portal

1. Zaloguj się do portalu Azure i wybierz konto magazynowania.

2. W menu usługi w sekcji Magazynowanie danych wybierz pozycję Klasyczne udziały plików.

3. Obok pozycji Dostęp oparty na tożsamościach sprawdź stan konfiguracji. Jeśli zostanie wyświetlona pozycja Skonfigurowano, przejdź do następnego kroku. Jeśli zostanie wyświetlony komunikat Nieskonfigurowane, na koncie magazynu nie jest włączone żadne źródło tożsamości i możesz przejść do opcji Włącz nowe źródło tożsamości.

   

4. Wybierz pozycję Skonfigurowane.

5. W portalu wyświetlane jest źródło tożsamości, które jest włączone na koncie magazynowym i jego status konfiguracji. pl-PL: Inne źródła tożsamości są wyszarywane. W tym przykładzie Microsoft Entra Kerberos jest włączona jako źródło tożsamości dla konta magazynowego.

   

Azure PowerShell

Sprawdź, które źródło tożsamości jest włączone na koncie magazynu, uruchamiając następujące polecenie cmdlet. Zamień <resource-group-name> i <storage-account-name> na swoje wartości.

Jeśli polecenie cmdlet zwróci wartość Brak, na koncie magazynu nie jest włączone żadne źródło tożsamości i możesz przejść do opcji Włącz nowe źródło tożsamości.

# Get the target storage account
$storageaccount = Get-AzStorageAccount `
        -ResourceGroupName "<resource-group-name>" `
        -Name "<storage-account-name>"

# List the identity source for the selected storage account
$storageAccount.AzureFilesIdentityBasedAuth.DirectoryServiceOptions

Azure CLI

Sprawdź źródło tożsamości włączone na koncie przechowywania, uruchamiając następujące polecenie. Zamień <resource-group-name> i <storage-account-name> na swoje wartości.

Jeśli polecenie zwróci wartość Brak, na koncie magazynu nie jest włączone żadne źródło tożsamości i możesz przejść do opcji Włącz nowe źródło tożsamości.

az storage account show --name <storage-account-name> --resource-group <resource-group-name> --query "azureFilesIdentityBasedAuthentication.directoryServiceOptions" --output tsv

Krok 2. Wyłączanie bieżącego źródła tożsamości

Wyłącz bieżące źródło tożsamości przy użyciu portalu Azure, Azure PowerShell lub Azure CLI.

Active Directory Domain Services (AD DS)

Portal

Aby wyłączyć AD DS na koncie storage, postępuj zgodnie z poniższymi krokami.

1. W obszarze Active Directory Domain Services (AD DS) wybierz Konfiguruj.
2. Zaznacz pole wyboru Wyłącz usługę Active Directory dla tego konta magazynowego.
3. Wybierz opcję Zapisz.

Ważna

Po wyłączeniu uwierzytelniania usług AD DS rozważ usunięcie konta komputera usług AD DS lub konta logowania usługi utworzonego w celu reprezentowania konta magazynu w lokalnej usłudze AD. Jeśli pozostawisz tożsamość w usługach AD DS, pozostanie ona jako osierocony obiekt.

Azure PowerShell

Aby wyłączyć AD DS na koncie magazynu, uruchom następujący cmdlet. Zamień wartości zastępcze na własne.

Set-AzStorageAccount -ResourceGroupName <resourceGroupName> -StorageAccountName <storageAccountName> -EnableActiveDirectoryDomainServicesForFile $false

Azure CLI

Aby wyłączyć AD DS na koncie magazynowym, uruchom następujące polecenie. Zamień wartości zastępcze na własne.

az storage account update --name <storage-account-name> --resource-group <resource-group-name> --enable-files-adds false

Usługi domenowe Microsoft Entra

Portal

Aby wyłączyć usługę Microsoft Entra Domain Services na koncie magazynowym, wykonaj następujące kroki.

1. W obszarze Microsoft Entra Domain Services wybierz Konfiguruj.
2. Usuń zaznaczenie pola wyboru Enable Microsoft Entra Domain Services.
3. Wybierz opcję Zapisz.

Azure PowerShell

Aby wyłączyć usługi Microsoft Entra Domain Services na koncie przechowywania, uruchom następujące polecenie cmdlet. Zamień wartości zastępcze na własne.

Set-AzStorageAccount -ResourceGroupName <resourceGroupName> -StorageAccountName <storageAccountName> -EnableAzureActiveDirectoryDomainServicesForFile $false

Azure CLI

Aby wyłączyć usługi Microsoft Entra Domain Services w koncie magazynowym, użyj następującego polecenia. Zamień wartości zastępcze na własne.

az storage account update --name <storage-account-name> --resource-group <resource-group-name> --enable-files-aadds false

Microsoft Entra Kerberos

Portal

Aby wyłączyć Microsoft Entra Kerberos na koncie magazynowym, wykonaj następujące kroki.

1. W obszarze Microsoft Entra Kerberos wybierz Konfiguruj.
2. Usuń zaznaczenie pola wyboru Microsoft Entra Kerberos.
3. Wybierz opcję Zapisz.

Azure PowerShell

Aby wyłączyć Microsoft Entra Kerberos w koncie magazynowym, uruchom następujące polecenie cmdlet. Zamień wartości zastępcze na własne.

Set-AzStorageAccount -ResourceGroupName <resourceGroupName> -StorageAccountName <storageAccountName> -EnableAzureActiveDirectoryKerberosForFile $false

Azure CLI

Aby wyłączyć Microsoft Entra Kerberos na koncie magazynowym, uruchom następujące polecenie. Zamień wartości zastępcze na własne.

az storage account update --name <storage-account-name> --resource-group <resource-group-name> --enable-files-aadkerb false

Krok 3. Włączanie nowego źródła tożsamości

Po wyłączeniu bieżącego źródła tożsamości postępuj zgodnie z instrukcjami dotyczącymi nowego źródła tożsamości, które chcesz włączyć:

• Active Directory Domain Services (AD DS): Zobacz Włącz uwierzytelnianie AD DS.
• Microsoft Entra Domain Services: Zobacz Włącz uwierzytelnianie Microsoft Entra Domain Services.
• Microsoft Entra Kerberos: Zobacz Włącz uwierzytelnianie Microsoft Entra Kerberos dla tożsamości hybrydowych i tożsamości tylko w chmurze.