Como usar as identidades gerenciadas com a Sincronização de Arquivos do Azure

Este artigo explica como configurar sua implantação do Sincronização de Arquivos do Azure para usar identidades gerenciadas atribuídas ao sistema. O suporte a Identidade Gerenciada elimina a necessidade de chaves compartilhadas como método de autenticação ao usar uma identidade gerenciada atribuída pelo sistema fornecida pelo Microsoft Entra ID.

Quando você habilita esta configuração, as identidades gerenciadas atribuídas pelo sistema serão usadas para os seguintes cenários:

  • Autenticação do Serviço de Sincronização de Armazenamento para o compartilhamento de arquivos do Azure
  • Autenticação de servidor registrada no compartilhamento de arquivos do Azure
  • Autenticação de servidor registrada no Serviço de Sincronização de Armazenamento

Para saber mais sobre os benefícios de usar identidades gerenciadas, confira Identidades gerenciadas para recursos do Azure.

Importante

Não há suporte para topologias entre locatários. O Serviço de Sincronização de Armazenamento, o recurso de servidor (servidor habilitado para Azure Arc ou VM do Azure), a identidade gerenciada e as atribuições de RBAC na conta de armazenamento devem estar todos no mesmo locatário do Microsoft Entra. As configurações entre locatários falham na autenticação/autorização e o servidor não pode se conectar.

Pré-requisitos

  • O agente de Sincronização de Arquivos do Azure versão 20.0.0.0 ou posterior deve ser instalado no servidor registrado.

  • Em suas contas de armazenamento usadas pela Sincronização de Arquivos do Azure, você deve ser membro da função de gerenciamento de Proprietário ou Administrador de Sincronização de Arquivos do Azure ou ter permissões de "Microsoft.Authorization/roleassignments/write".

    Ao atribuir a função de Administrador de Sincronização de Arquivos do Azure, siga estas etapas para garantir privilégios mínimos.

    1. Na guia Condições, selecione Permitir que os usuários atribuam funções selecionadas apenas a principais selecionados (com menos privilégios).

    2. Clique em Selecionar Funções e Entidades e então selecione Adicionar Ação na Condição #1.

    3. Selecione Criar atribuição de função e clique em Selecionar.

    4. Selecione Adicionar expressão e, em seguida, selecione Solicitação.

    5. Em Origem do Atributo, selecione ID de Definição de Função em Atributoe, em seguida, selecione ForAnyOfAnyValues:GuidEquals em Operador.

    6. Selecione Adicionar Funções. Adicione as funções Leitor e Acesso a Dados, Colaborador Privilegiado de Dados de Arquivo de Armazenamento e Colaborador da Conta de Armazenamento e, em seguida, selecione Salvar.

Disponibilidade regional

O suporte à Sincronização de Arquivos do Azure para identidades gerenciadas atribuídas pelo sistema está disponível em todas as regiões pública e gov do Azure que dão suporte à Sincronização de Arquivos do Azure.

Habilitar uma identidade gerenciada atribuída pelo sistema em seus servidores registrados

Antes de conseguir configurar a Sincronização de Arquivos do Azure para usar identidades gerenciadas, seus servidores registrados devem ter uma identidade gerenciada atribuída pelo sistema que será usada para autenticar o serviço Sincronização de Arquivos do Azure e os compartilhamentos de arquivos do Azure.

Para habilitar uma identidade gerenciada atribuída ao sistema em um servidor registrado que tenha o agente Sincronização de Arquivos do Azure v20 instalado, siga estes passos:

Observação

Depois que você configura o Storage Sync Service para usar identidades gerenciadas, servidores registrados que não possuem uma identidade gerenciada atribuída pelo sistema continuam usando uma chave compartilhada para autenticar seus compartilhamentos de arquivos do Azure.

Como verificar se seus servidores registrados têm uma identidade gerenciada atribuída pelo sistema

Para verificar se seus servidores registrados possuem uma identidade gerenciada atribuída ao sistema, siga estes passos no portal do Azure:

  1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

  2. Na seção Servidores Registrados , selecione o bloco Pronto para usar a ID Gerenciada . Esse bloco exibe uma lista de servidores que têm uma identidade gerenciada atribuída pelo sistema. Se o servidor não estiver listado, execute as etapas para habilitar uma identidade gerenciada atribuída pelo sistema em seus servidores registrados.

Configurar a implantação da Sincronização de Arquivos do Azure para usar as identidades gerenciadas atribuídas pelo sistema

Para configurar o Serviço de Sincronização de Armazenamento e servidores registrados para usar identidades gerenciadas atribuídas ao sistema, siga estes passos no portal Azure:

  1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

  2. Selecione Ativar Identidade Gerenciada para iniciar a instalação.

As etapas a seguir são executadas e levarão vários minutos (ou mais para topologias grandes) para serem concluídas.

  • Habilita uma identidade gerenciada atribuída pelo sistema para o recurso Serviço de sincronização de armazenamentos.

  • Concede o acesso da identidade gerenciada atribuída pelo sistema do Serviço de sincronização de armazenamentos às Contas de armazenamento (função Colaborador da conta de armazenamento).

  • Concede o acesso da identidade gerenciada atribuída pelo sistema do Serviço de sincronização de armazenamentos aos compartilhamentos de arquivos do Azure (função Colaborador privilegiado dos dados dos arquivos de armazenamento).

  • Concede o acesso da identidade gerenciada atribuída pelo sistema do(s) servidor(es) aos compartilhamentos de arquivos do Azure (função Colaborador privilegiado dos dados dos arquivos de armazenamento).

  • Configura o Serviço de sincronização de armazenamentos para usar a identidade gerenciada atribuída pelo sistema.

  • Configura o(s) servidor(es) registrado(s) para usar a identidade gerenciada atribuída pelo sistema.

Observação

Após configurar os servidores registrados para usarem uma identidade gerenciada atribuída ao sistema, pode levar até 15 minutos até que o servidor use a identidade gerenciada atribuída ao sistema para autenticar no Serviço de Sincronização de Armazenamento e compartilhamentos de arquivos.

Como verificar se o Serviço de sincronização de armazenamentos está usando uma identidade gerenciada atribuída pelo sistema

Para verificar se o Serviço de Sincronização de Armazenamento está usando uma identidade gerenciada atribuída pelo sistema, siga estes passos no portal Azure:

  1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

  2. Na seção Servidores Registrados , se você tiver pelo menos um servidor listado no bloco Usando ID Gerenciada , seu serviço será configurado para usar identidades gerenciadas.

Como verificar se um servidor registrado está configurado para usar uma identidade gerenciada atribuída pelo sistema

Para verificar se um servidor registrado está configurado para usar uma identidade gerenciada atribuída ao sistema, siga estes passos no portal do Azure:

  1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

  2. Na seção Servidores Registrados , selecione o bloco Usando ID Gerenciada e verifique se o servidor está listado.

Após a configuração: próximos passos e solução de problemas

Após configurar o Serviço de Sincronização de Armazenamento e servidores registrados para usar uma identidade gerenciada atribuída ao sistema, novos endpoints de sincronização (endpoints na nuvem ou endpoints de servidor em servidores já configurados) usam uma identidade gerenciada atribuída pelo sistema para autenticar no compartilhamento de arquivos do Azure.

No entanto, se você registrar uma máquina Windows Server totalmente nova no Storage Sync Service, execute novamente o cmdlet Set-AzStorageSyncServiceIdentity para esse servidor (ou use Ativar a identidade gerenciada no portal). Novos servidores registrados não herdam automaticamente a configuração de identidade gerenciada, então você deve habilitá-la explicitamente.

Se você tiver problemas, consulte: Solucionar problemas de identidade gerenciada da Sincronização de Arquivos do Azure.

  • Last updated on