Przypisywanie uprawnień na poziomie udziału
Po włączeniu źródła usługi Active Directory (AD) dla konta magazynu należy skonfigurować uprawnienia na poziomie udziału, aby uzyskać dostęp do udziału plików. Istnieją dwa sposoby przypisywania uprawnień na poziomie udziału. Możesz przypisać je do określonych użytkowników/grup firmy Microsoft entra i przypisać je do wszystkich uwierzytelnionych tożsamości jako domyślne uprawnienia na poziomie udziału.
Ważne
Pełna kontrola administracyjna udziału plików, w tym możliwość przejęcia własności pliku, wymaga użycia klucza konta magazynu. Pełna kontrola administracyjna nie jest obsługiwana w przypadku uwierzytelniania opartego na tożsamościach.
Dotyczy
| Typ udziału plików | SMB | NFS |
|---|---|---|
| Udziały plików w warstwie Standardowa (GPv2), LRS/ZRS |  |
 |
| Udziały plików w warstwie Standardowa (GPv2), GRS/GZRS | |
|
| Udziały plików w warstwie Premium (FileStorage), LRS/ZRS | |
|
Której konfiguracji należy użyć
Uprawnienia na poziomie udziału w udziałach plików platformy Azure są konfigurowane dla użytkowników, grup lub jednostek usługi firmy Microsoft, podczas gdy uprawnienia na poziomie katalogu i pliku są wymuszane przy użyciu list kontroli dostępu systemu Windows (ACL). Aby obsługiwać uwierzytelnianie usług AD DS w udziale platformy Azure, musisz przypisać uprawnienia na poziomie udziału do tożsamości firmy Microsoft reprezentującej tego samego użytkownika, grupę lub jednostkę usługi w usługach AD DS. Uwierzytelnianie i autoryzacja względem tożsamości, które istnieją tylko w identyfikatorze Entra firmy Microsoft, takim jak tożsamości zarządzane platformy Azure (MSI), nie są obsługiwane.
Większość użytkowników powinna przypisywać uprawnienia na poziomie udziału do określonych użytkowników lub grup firmy Microsoft, a następnie używać list ACL systemu Windows do szczegółowej kontroli dostępu na poziomie katalogu i pliku. Jest to najbardziej rygorystyczna i bezpieczna konfiguracja.
Istnieją trzy scenariusze, w których zamiast tego zalecamy użycie domyślnego uprawnienia na poziomie udziału w celu zezwolenia na dostęp współautora, współautora z podwyższonym poziomem uprawnień lub czytelnika do wszystkich uwierzytelnionych tożsamości:
- Jeśli nie możesz zsynchronizować lokalnych usług AD DS z identyfikatorem Entra firmy Microsoft, możesz użyć domyślnego uprawnienia na poziomie udziału. Przypisanie domyślnego uprawnienia na poziomie udziału umożliwia obejście wymagania synchronizacji, ponieważ nie trzeba określać uprawnień do tożsamości w identyfikatorze Entra firmy Microsoft. Następnie możesz użyć list ACL systemu Windows do szczegółowego wymuszania uprawnień w plikach i katalogach.
- Tożsamości powiązane z usługą AD, ale nie są synchronizowane z identyfikatorem Entra firmy Microsoft, mogą również korzystać z domyślnych uprawnień na poziomie udziału. Może to obejmować autonomiczne zarządzane konta usług (sMSA), konta usług zarządzane przez grupę (gMSA) i konta komputerów.
- Lokalne usługi AD DS, których używasz, są synchronizowane z innym identyfikatorem Microsoft Entra ID niż identyfikator Entra firmy Microsoft, w którym wdrożono udział plików.
- Jest to typowe w przypadku zarządzania środowiskami z wieloma dzierżawami. Użycie domyślnego uprawnienia na poziomie udziału umożliwia obejście wymagania tożsamości hybrydowej identyfikatora Entra firmy Microsoft. Nadal można używać list ACL systemu Windows w plikach i katalogach w celu szczegółowego wymuszania uprawnień.
- Wolisz wymuszać uwierzytelnianie tylko przy użyciu list ACL systemu Windows na poziomie pliku i katalogu.
Uwaga
Ponieważ konta komputerów nie mają tożsamości w usłudze Microsoft Entra ID, nie można skonfigurować dla nich kontroli dostępu opartej na rolach (RBAC) platformy Azure. Jednak konta komputerów mogą uzyskiwać dostęp do udziału plików przy użyciu domyślnych uprawnień na poziomie udziału.
Uprawnienia na poziomie udziału
W poniższej tabeli wymieniono uprawnienia na poziomie udziału i sposób ich dopasowania do wbudowanych ról RBAC platformy Azure:
| Obsługiwane role wbudowane | opis |
|---|---|
| Czytelnik udziału SMB danych pliku magazynu | Umożliwia dostęp do odczytu do plików i katalogów w udziałach plików platformy Azure. Ta rola jest analogiczna do listy ACL udziału plików odczytu na serwerach plików systemu Windows. Dowiedz się więcej. |
| Współautor udziału SMB danych pliku magazynu | Umożliwia dostęp do odczytu, zapisu i usuwania plików i katalogów w udziałach plików platformy Azure. Dowiedz się więcej. |
| Współautor udziału SMB danych pliku magazynu z podwyższonym poziomem uprawnień | Umożliwia odczyt, zapis, usuwanie i modyfikowanie list ACL w plikach i katalogach w udziałach plików platformy Azure. Ta rola jest analogiczna do listy ACL udziału plików zmian na serwerach plików systemu Windows. Dowiedz się więcej. |
Uprawnienia na poziomie udziału dla określonych użytkowników lub grup firmy Microsoft
Jeśli zamierzasz użyć określonego użytkownika lub grupy firmy Microsoft w celu uzyskania dostępu do zasobów udziału plików platformy Azure, ta tożsamość musi być tożsamością hybrydową, która istnieje zarówno w lokalnych usługach AD DS, jak i w identyfikatorze Microsoft Entra. Załóżmy na przykład, że masz użytkownika w usłudze AD, który jest user1@onprem.contoso.com i zsynchronizowano z identyfikatorem Entra firmy Microsoft jako user1@contoso.com przy użyciu usługi Microsoft Entra Połączenie Sync lub microsoft Entra Połączenie synchronizacji w chmurze. Aby ten użytkownik uzyskiwał dostęp do usługi Azure Files, musisz przypisać uprawnienia na poziomie udziału do user1@contoso.comusługi . Ta sama koncepcja dotyczy grup i jednostek usługi.
Ważne
Przypisz uprawnienia przez jawne deklarowanie akcji i akcji danych w przeciwieństwie do używania symbolu wieloznakowego (*). Jeśli niestandardowa definicja roli dla akcji danych zawiera symbol wieloznaczny, wszystkie tożsamości przypisane do tej roli mają dostęp dla wszystkich możliwych akcji danych. Oznacza to, że wszystkie takie tożsamości również zostaną przyznane każdej nowej akcji danych dodanej do platformy. Dodatkowy dostęp i uprawnienia przyznane za pośrednictwem nowych akcji lub akcji danych mogą być niechcianym zachowaniem klientów korzystających z symboli wieloznacznych.
Aby uprawnienia na poziomie udziału działały, musisz:
- Zsynchronizuj użytkowników i grupy z lokalnej usługi AD do usługi Microsoft Entra ID przy użyciu lokalnej aplikacji Microsoft Entra Połączenie Sync lub microsoft Entra Połączenie synchronizacji w chmurze, uproszczonego agenta, który można zainstalować z centrum microsoft Entra Administracja Center.
- Dodaj grupy zsynchronizowane z usługą AD do roli RBAC, aby mogły uzyskiwać dostęp do konta magazynu.
Napiwek
Opcjonalnie: Klienci, którzy chcą przeprowadzić migrację uprawnień na poziomie udziału serwera SMB do uprawnień RBAC, mogą użyć Move-OnPremSharePermissionsToAzureFileShare polecenia cmdlet programu PowerShell do migracji uprawnień katalogu i na poziomie plików z lokalnego do platformy Azure. To polecenie cmdlet ocenia grupy określonego lokalnego udziału plików, a następnie zapisuje odpowiednich użytkowników i grupy w udziale plików platformy Azure przy użyciu trzech ról RBAC. Podczas wywoływania polecenia cmdlet należy podać informacje dotyczące udziału lokalnego i udziału plików platformy Azure.
Możesz użyć witryny Azure Portal, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure, aby przypisać wbudowane role do tożsamości microsoft Entra użytkownika w celu udzielenia uprawnień na poziomie udziału.
Ważne
Wykonanie uprawnień na poziomie udziału potrwa do trzech godzin. Poczekaj na synchronizację uprawnień przed nawiązaniem połączenia z udziałem plików przy użyciu poświadczeń.
Aby przypisać rolę platformy Azure do tożsamości firmy Microsoft Entra, korzystając z witryny Azure Portal, wykonaj następujące kroki:
- W witrynie Azure Portal przejdź do udziału plików lub utwórz udział plików.
- Wybierz Access Control (Zarządzanie dostępem i tożsamościami).
- Wybierz pozycję Dodaj przypisanie roli
- W bloku Dodawanie przypisania roli wybierz odpowiednią wbudowaną rolę z listy Rola.
- Czytelnik udziału SMB danych w pliku magazynu
- Współautor udziału SMB danych w pliku magazynu
- Współautor udziału SMB danych w pliku magazynu z podwyższonym poziomem uprawnień
- Pozostaw opcję Przypisz dostęp do w ustawieniu domyślnym: Użytkownik, grupa lub jednostka usługi firmy Microsoft. Wybierz docelową tożsamość firmy Microsoft Entra według nazwy lub adresu e-mail. Wybrana tożsamość firmy Microsoft Entra musi być tożsamością hybrydową i nie może być tożsamością tylko w chmurze. Oznacza to, że ta sama tożsamość jest również reprezentowana w usługach AD DS.
- Wybierz pozycję Zapisz , aby ukończyć operację przypisywania roli.
Uprawnienia na poziomie udziału dla wszystkich uwierzytelnionych tożsamości
Możesz dodać domyślne uprawnienie na poziomie udziału na koncie magazynu, zamiast konfigurować uprawnienia na poziomie udziału dla użytkowników lub grup firmy Microsoft Entra. Domyślne uprawnienie na poziomie udziału przypisane do konta magazynu dotyczy wszystkich udziałów plików zawartych na koncie magazynu.
Po ustawieniu domyślnego uprawnienia na poziomie udziału wszyscy uwierzytelnieni użytkownicy i grupy będą mieli takie same uprawnienia. Uwierzytelnieni użytkownicy lub grupy są identyfikowani jako tożsamość można uwierzytelniać w lokalnych usługach AD DS skojarzonych z kontem magazynu. Domyślne uprawnienie na poziomie udziału jest ustawione na Wartość Brak podczas inicjowania, co oznacza, że żaden dostęp nie może mieć dostępu do plików lub katalogów w udziale plików platformy Azure.
Aby skonfigurować domyślne uprawnienia na poziomie udziału na koncie magazynu przy użyciu witryny Azure Portal, wykonaj następujące kroki.
W witrynie Azure Portal przejdź do konta magazynu zawierającego udziały plików i wybierz pozycję Udziały plików magazynu > danych.
Przed przypisaniem domyślnych uprawnień na poziomie udziału należy włączyć źródło usługi AD na koncie magazynu. Jeśli to zrobiono, wybierz pozycję Active Directory i przejdź do następnego kroku. W przeciwnym razie wybierz pozycję Active Directory: Nie skonfigurowano, wybierz pozycję Skonfiguruj w żądanym źródle usługi AD i włącz źródło usługi AD.
Po włączeniu źródła usługi AD krok 2. Ustawianie uprawnień na poziomie udziału będzie dostępny dla konfiguracji. Wybierz pozycję Włącz uprawnienia dla wszystkich uwierzytelnionych użytkowników i grup.
Wybierz odpowiednią rolę, która ma być włączona jako domyślne uprawnienie udziału z listy rozwijanej.
Wybierz pozycję Zapisz.
Co się stanie, jeśli używasz obu konfiguracji
Możesz również przypisać uprawnienia do wszystkich uwierzytelnionych użytkowników firmy Microsoft Entra i określonych użytkowników/grup firmy Microsoft. W przypadku tej konfiguracji określony użytkownik lub grupa będzie mieć odpowiednie uprawnienia wyższego poziomu od domyślnego uprawnienia na poziomie udziału i przypisania kontroli dostępu opartej na rolach. Innymi słowy, załóżmy, że udzielono użytkownikowi roli Czytelnik SMB danych pliku magazynu w docelowym udziale plików. Udzielono również uprawnień domyślnych na poziomie udziału plików magazynu Udziału SMB z podwyższonym poziomem uprawnień współautora dla wszystkich uwierzytelnionych użytkowników. W przypadku tej konfiguracji określony użytkownik będzie miał poziom współautora udziału SMB danych pliku magazynu z podwyższonym poziomem uprawnień dostępu do udziału plików. Uprawnienia wyższego poziomu zawsze mają pierwszeństwo.
Następne kroki
Po przypisaniu uprawnień na poziomie udziału możesz skonfigurować uprawnienia na poziomie katalogu i pliku. Pamiętaj, że zastosowanie uprawnień na poziomie udziału może potrwać do trzech godzin.