Защитите строку подключения Page BLOB Azure

Это важно

Предстоящее изменение в Windows Server, включенное в обновление за апрель 2026 г., заключается в том, что по умолчанию тип шифрования Kerberos изменяется с RC4 на AES-SHA1.

Общие папки, в которых размещаются контейнеры FSLogix, которые не обновляются до AES-SHA1 могут иметь проблемы с доступом после применения этого изменения. Чтобы избежать сбоев, выполните обновление до AES-SHA1 перед установкой обновления.

Клиенты, которые уже обновились до AES-SHA1, не затронуты.

Дополнительные сведения см. в блоге FSLogix: Требуемое действие: ужесточение Windows Kerberos (RC4) может повлиять на профили FSLogix в хранилище SMB.

Azure page blobs используются в конфигурации облачного кеша для профильных или ODFC контейнеров. Облачный кэш подключается к BLOB с помощью протокола HTTPS через REST API. Для этого подключения требуется ключ доступа к учетным записям хранения, отформатированный в строка подключения. С помощью этой строки подключения можно получить доступ ко всей учетной записи хранения. Знание этой информации предоставляет риск безопасности, который необходимо учитывать.

FSLogix защищает эти сведения, добавляя их в хранилище Менеджера учетных данных виртуальных машин с помощью утилиты командной строки frx.

Требования

• Создайте учетную запись хранения страничных блобов в Azure.
• Установите и импортируйте модули Azure PowerShell .
• Скачайте и установите последнюю версию FSLogix.
• Обзор: справочная информация о командной утилите frx

Найти строку подключения учетной записи хранилища Page Blob Azure

1. Выберите Пуск.

2. Введитеpowershell непосредственно в меню "Пуск".

3. Выберите " Запуск от имени администратора" в меню "Пуск".

   

4. Войдите в Azure.

   Connect-AzAccount
   

5. Измените контекст Azure на подписку, содержащую хранилище.

   Set-AzContext -Subscription <subscription name or id>
   

6. Получите строку подключения для учетной записи хранения.

   $ResourceGroupName = "<resource-group-name>"
   $StorageAccountName = "<storage-account-name>"
   $StorageAccount = Get-AzStorageAccount -ResourceGroupName $ResourceGroupName -Name $StorageAccountName
   $ConnectionString = $StorageAccount.Context.ConnectionString
   

   

Добавьте строку подключения Azure Page Blob в Диспетчер учетных данных

1. Используйте тот же сеанс PowerShell из строки подключения учетной записи хранилища блобов страниц Azure.

2. Используйте команду frxadd-secure-key, чтобы добавить строку подключения в Диспетчер учетных данных.

   & "C:\Program Files\FSLogix\Apps\frx.exe" add-secure-key -key <custom-key-name> -value $ConnectionString
   

3. Используйте команду frxlist-secure-key, чтобы проверить, что добавление прошло успешно.

   & "C:\Program Files\FSLogix\Apps\frx.exe" list-secure-key
   

   

Используйте безопасный ключ в CCDLocations

Облачный кэш использует CCDLocations для получения списка поставщиков хранилища. Строка, используемая для указания Azure Page Blob, должна соответствовать определенному формату.

• type=azure,name=<optional-name>,connectionString="|fslogix/<key-name>|"

Ключ, хранящийся в Диспетчере учетных данных, должен ссылаться с использованием |fslogix/<key-name>|, где любую часть строки подключения можно заменить безопасным ключом, созданным с помощью служебной программы командной строки frx.

Удалите строку подключения страничного двоичного объекта Azure из Диспетчера учетных данных

1. Используйте тот же сеанс PowerShell из строки подключения учетной записи хранилища блобов страниц Azure.

2. Используйте команду frx del-secure-key, чтобы удалить безопасный ключ из Диспетчера учетных данных.

   & "C:\Program Files\FSLogix\Apps\frx.exe" del-secure-key -key <custom-key-name>
   

3. Используйте команду frxlist-secure-key, чтобы убедиться, что она была успешно удалена.

   & "C:\Program Files\FSLogix\Apps\frx.exe" list-secure-key