Изменение источника идентификации для общих ресурсов Azure

Область применения: ✔️ общие папки SMB

Файлы Azure поддерживает только один источник удостоверений на учетную запись хранения для аутентификации на основе удостоверений по протоколу SMB. Если вы хотите переключиться из одного источника удостоверений в другой, сначала необходимо отключить текущий источник удостоверений, а затем включить новый.

Рекомендации по выбору подходящего источника удостоверений для вашей среды см. в разделе Обзор проверки подлинности на основе удостоверений в службе Файлы Azure для доступа к SMB.

Это важно

Отключение текущего источника идентификации немедленно удаляет удостоверенный доступ ко всем объектам общей файловой системы в учетной записи хранения. Пользователи не могут получить доступ к общим ресурсам через проверку подлинности на основе идентификации, пока не включите и не настроите новый источник идентификации.

Шаг 1. Проверка текущего источника идентификации

Сначала проверьте источник идентификации, который включен в вашем аккаунте хранения. Поддерживаемые источники удостоверений для общих папок SMB Azure включают службы доменов Active Directory (AD DS), доменные службы Microsoft Entra, и Microsoft Entra Kerberos.

Портал

1. Войдите на портал Azure и выберите учетную запись хранения.

2. В меню службы в разделе хранилища данных выберите классические общие папки.

3. Рядом с доступом на основе удостоверений проверьте состояние конфигурации. Если отображается значение "Настроено", перейдите к следующему шагу. Если отображается "Не настроено", источник удостоверений не включен в учетной записи для хранения, и вы можете перейти к включению нового источника удостоверений.

   

4. Выберите Настроено.

5. На портале показан источник удостоверений, включенный в учетной записи хранения и его состояние конфигурации. Другие источники удостоверений выделены серым. В этом примере Microsoft Entra Kerberos включен в качестве источника удостоверений для учетной записи хранения.

   

Azure PowerShell

Проверьте источник удостоверений, включенный в учетной записи хранения, выполнив следующий командлет. Замените <resource-group-name> и <storage-account-name> собственными значениями.

Если командлет возвращает None, значит ни один источник удостоверений не включен в учетную запись хранения, и вы можете перейти к включению нового источника удостоверений.

# Get the target storage account
$storageaccount = Get-AzStorageAccount `
        -ResourceGroupName "<resource-group-name>" `
        -Name "<storage-account-name>"

# List the identity source for the selected storage account
$storageAccount.AzureFilesIdentityBasedAuth.DirectoryServiceOptions

Azure CLI

Проверьте источник идентификации, который активирован в вашей учетной записи хранения, выполнив следующую команду. Замените <resource-group-name> и <storage-account-name> собственными значениями.

Если команда возвращает значение None, в этом случае источник удостоверений не активирован в учетной записи хранения, и вы можете продолжить включение нового источника удостоверений.

az storage account show --name <storage-account-name> --resource-group <resource-group-name> --query "azureFilesIdentityBasedAuthentication.directoryServiceOptions" --output tsv

Шаг 2. Отключение текущего источника идентификации

Отключите текущий источник удостоверений с помощью портала Azure, Azure PowerShell или Azure CLI.

Доменные службы Active Directory (AD DS)

Портал

Чтобы отключить AD DS в учетной записи хранения, выполните следующие действия.

1. В разделе доменные службы Active Directory (AD DS) выберите Configure.
2. Установите флажок Disable Active Directory для этой учетной записи хранения.
3. Нажмите Сохранить.

Это важно

После отключения проверки подлинности AD DS рекомендуется удалить учетную запись компьютера AD DS или учетную запись для входа в службу, созданную для представления учетной записи хранения в локальной AD. Если оставить учетную запись в AD DS, она остается осиротевшим объектом.

Azure PowerShell

Чтобы отключить AD DS в учетной записи хранения, выполните следующий командлет. Замените значения заполнителей собственными.

Set-AzStorageAccount -ResourceGroupName <resourceGroupName> -StorageAccountName <storageAccountName> -EnableActiveDirectoryDomainServicesForFile $false

Azure CLI

Чтобы отключить AD DS в учетной записи хранения, выполните следующую команду. Замените значения заполнителей собственными.

az storage account update --name <storage-account-name> --resource-group <resource-group-name> --enable-files-adds false

доменные службы Microsoft Entra

Портал

Чтобы отключить службы доменов Microsoft Entra в учетной записи хранения, выполните следующие действия.

1. В разделе Доменные службы Microsoft Entra выберите Настроить.
2. Снимите флажок Включить Доменные службы Microsoft Entra.
3. Нажмите Сохранить.

Azure PowerShell

Чтобы отключить службу доменных имен Microsoft Entra в учетной записи хранения, выполните следующий командлет. Замените значения заполнителей собственными.

Set-AzStorageAccount -ResourceGroupName <resourceGroupName> -StorageAccountName <storageAccountName> -EnableAzureActiveDirectoryDomainServicesForFile $false

Azure CLI

Чтобы отключить Доменные службы Microsoft Entra в учетной записи хранения, выполните следующую команду. Замените значения заполнителей собственными.

az storage account update --name <storage-account-name> --resource-group <resource-group-name> --enable-files-aadds false

Microsoft Entra Kerberos

Портал

Чтобы отключить Microsoft Entra Kerberos в учетной записи хранения, выполните следующие действия.

1. В разделе Microsoft Entra Kerberos выберите Configure.
2. Снимите флажок Microsoft Entra Kerberos.
3. Нажмите Сохранить.

Azure PowerShell

Чтобы отключить Microsoft Entra Kerberos в учетной записи хранения, выполните следующий командлет. Замените значения заполнителей собственными.

Set-AzStorageAccount -ResourceGroupName <resourceGroupName> -StorageAccountName <storageAccountName> -EnableAzureActiveDirectoryKerberosForFile $false

Azure CLI

Чтобы отключить Microsoft Entra Kerberos в учетной записи хранения, выполните следующую команду. Замените значения заполнителей собственными.

az storage account update --name <storage-account-name> --resource-group <resource-group-name> --enable-files-aadkerb false

Шаг 3. Включение нового источника идентификации

После отключения текущего источника удостоверений следуйте инструкциям для нового источника удостоверений, который вы хотите включить:

• доменные службы Active Directory (AD DS): см. Enable AD DS authentication.
• Доменные службы Microsoft Entra: См. Включить аутентификацию Доменные службы Microsoft Entra.
• Microsoft Entra Kerberos: Включите аутентификацию Microsoft Entra Kerberos для гибридных и облачных идентичностей.