Verwenden verwalteter Identitäten mit der Azure-Dateisynchronisierung

• Azure-Dateisynchronisierung Agent Version 20.0.0.0 oder höher muss auf dem registrierten Server installiert werden.

• Auf Ihren speicherkonten , die von Azure-Dateisynchronisierung verwendet werden, müssen Sie Mitglied der Azure-Dateisynchronisierung-Administrator- oder Besitzerverwaltungsrolle sein oder über "Microsoft.Authorization/roleassignments/write"-Berechtigungen verfügen.

  Führen Sie beim Zuweisen der Azure-Dateisynchronisierung-Administratorrolle die folgenden Schritte aus, um die geringsten Berechtigungen sicherzustellen.

  1. Wählen Sie auf der Registerkarte Bedingungen die Option Benutzern erlauben, nur ausgewählten Prinzipalen ausgewählte Rollen zuzuweisen (weniger Berechtigungen).

  2. Klicken Sie auf "Rollen und Prinzipale auswählen ", und wählen Sie dann " Aktion hinzufügen " unter "Bedingung" Nr. 1 aus.

  3. Wählen Sie " Rollenzuweisung erstellen" aus, und klicken Sie dann auf "Auswählen".

  4. Wählen Sie "Ausdruck hinzufügen" und dann " Anforderung" aus.

  5. Wählen Sie unter Attributquelle unter Attribut die Rollendefinitions-ID aus, und wählen Sie dann unter OperatorForAnyOfAnyValues:GuidEquals aus.

  6. Wählen Sie "Rollen hinzufügen" aus. Fügen Sie die Rollen Reader und Datenzugriff, Mitwirkender für Speicherdatei mit privilegierten Zugriffsrechten und Mitwirkender für Speicherkonto hinzu, und wählen Sie dann Speichern aus.

• Azure-Dateisynchronisierung Agent Version 20.0.0.0 oder höher muss auf dem registrierten Server installiert werden.

• Auf Ihren speicherkonten , die von Azure-Dateisynchronisierung verwendet werden, müssen Sie Mitglied der Azure-Dateisynchronisierung-Administrator- oder Besitzerverwaltungsrolle sein oder über "Microsoft.Authorization/roleassignments/write"-Berechtigungen verfügen.

  Führen Sie beim Zuweisen der Azure-Dateisynchronisierung-Administratorrolle die folgenden Schritte aus, um die geringsten Berechtigungen sicherzustellen.

  1. Wählen Sie auf der Registerkarte Bedingungen die Option Benutzern erlauben, nur ausgewählten Prinzipalen ausgewählte Rollen zuzuweisen (weniger Berechtigungen).

  2. Klicken Sie auf "Rollen und Prinzipale auswählen ", und wählen Sie dann " Aktion hinzufügen " unter "Bedingung" Nr. 1 aus.

  3. Wählen Sie " Rollenzuweisung erstellen" aus, und klicken Sie dann auf "Auswählen".

  4. Wählen Sie "Ausdruck hinzufügen" und dann " Anforderung" aus.

  5. Wählen Sie unter Attributquelle unter Attribut die Rollendefinitions-ID aus, und wählen Sie dann unter OperatorForAnyOfAnyValues:GuidEquals aus.

  6. Wählen Sie "Rollen hinzufügen" aus. Fügen Sie die Rollen Reader und Datenzugriff, Mitwirkender für Speicherdatei mit privilegierten Zugriffsrechten und Mitwirkender für Speicherkonto hinzu, und wählen Sie dann Speichern aus.

• Az.StorageSync PowerShell-Modul , Version 2.5.0 oder höher , muss auf dem Computer installiert werden, der zum Konfigurieren der Azure-Dateisynchronisierung zur Verwendung verwalteter Identitäten verwendet wird. Um das neueste Az.StorageSync-PowerShell-Modul zu installieren, führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

  Install-Module Az.StorageSync -Force
  

Um zu überprüfen, ob Ihre registrierten Server eine systemzugewiesene verwaltete Identität haben, folgen Sie diesen Schritten im Azure-Portal:

1. Wechseln Sie im Azure-Portal zu Ihrem Speichersynchronisierungsdienst , erweitern Sie "Einstellungen ", und wählen Sie "Verwaltete Identität" aus.

2. Wählen Sie im Abschnitt "Registrierte Server " die Kachel "Ready to use Managed ID " aus. Diese Kachel zeigt eine Liste von Servern mit einer vom System zugewiesenen verwalteten Identität an. Wenn Ihr Server nicht aufgeführt ist, führen Sie die Schritte zum Aktivieren einer vom System zugewiesenen verwalteten Identität auf Ihren registrierten Servern aus.

Führen Sie den folgenden PowerShell-Befehl aus, um zu überprüfen, ob Ihre registrierten Server über eine systemseitig zugewiesene verwaltete Identität verfügen:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Stellen Sie sicher, dass die Eigenschaft LatestApplicationId eine GUID aufweist, die angibt, dass der Server über eine vom System zugewiesene verwaltete Identität verfügt, aber zurzeit nicht für die Verwendung der verwalteten Identität konfiguriert ist.

Wenn der Wert für die ActiveAuthType-Eigenschaft"Certificate " lautet und " LatestApplicationId " keine GUID aufweist, verfügt der Server nicht über eine vom System zugewiesene verwaltete Identität und verwendet gemeinsam genutzte Schlüssel, um sich bei der Azure-Dateifreigabe zu authentifizieren.

Um den Storage Sync Service und registrierte Server so zu konfigurieren, dass sie systemzugewiesene verwaltete Identitäten verwenden, folgen Sie diesen Schritten im Azure-Portal:

1. Wechseln Sie im Azure-Portal zu Ihrem Speichersynchronisierungsdienst , erweitern Sie "Einstellungen ", und wählen Sie "Verwaltete Identität" aus.

2. Wählen Sie "Verwaltete Identität aktivieren" aus, um mit der Einrichtung zu beginnen.

Die folgenden Schritte werden ausgeführt und dauern mehrere Minuten (oder länger für große Topologien).

• Aktiviert eine systemseitig zugewiesene verwaltete Identität für die Speichersynchronisierungsdienstressource.

• Gewährt der systemseitig zugewiesenen verwalteten Identität des Speichersynchronisierungsdiensts Zugriff auf Ihre Speicherkonten (Rolle „Speicherkontomitwirkende“).

• Gewährt der systemseitig zugewiesenen verwalteten Identität des Speichersynchronisierungsdiensts Zugriff auf Ihre Azure-Dateifreigaben (Rolle „Privilegierter Mitwirkender für Speicherdateidaten“).

• Gewährt der systemseitig zugewiesenen verwalteten Identität der registrierten Server Zugriff auf Ihre Azure-Dateifreigaben (Rolle „Privilegierter Mitwirkender für Speicherdateidaten“).

• Konfiguriert den Speichersynchronisierungsdienst für die Verwendung der systemseitig zugewiesenen verwalteten Identität.

• Konfiguriert registrierte Server für die Verwendung der systemseitig zugewiesenen verwalteten Identität.

Um den Speichersynchronisierungsdienst und registrierte Server für die Verwendung von systemseitig zugewiesenen verwalteten Identitäten zu konfigurieren, führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

Das Cmdlet Set-AzStorageSyncServiceIdentity führt die folgenden Schritte für Sie aus und dauert mehrere Minuten (oder länger für große Topologien):

• Aktiviert eine systemseitig zugewiesene verwaltete Identität für die Speichersynchronisierungsdienstressource.
• Gewährt der systemseitig zugewiesenen verwalteten Identität des Speichersynchronisierungsdiensts Zugriff auf Ihre Speicherkonten (Rolle „Speicherkontomitwirkende“).
• Gewährt der systemseitig zugewiesenen verwalteten Identität des Speichersynchronisierungsdiensts Zugriff auf Ihre Azure-Dateifreigaben (Rolle „Privilegierter Mitwirkender für Speicherdateidaten“).
• Gewährt der systemseitig zugewiesenen verwalteten Identität der registrierten Server Zugriff auf Ihre Azure-Dateifreigaben (Rolle „Privilegierter Mitwirkender für Speicherdateidaten“).
• Konfiguriert den Speichersynchronisierungsdienst für die Verwendung der systemseitig zugewiesenen verwalteten Identität.
• Konfiguriert registrierte Server für die Verwendung der systemseitig zugewiesenen verwalteten Identität.

Verwenden Sie das Cmdlet Set-AzStorageSyncServiceIdentity, wenn Sie zusätzliche registrierte Server für die Verwendung verwalteter Identitäten konfigurieren müssen.

Um zu überprüfen, ob der Storage Sync Service eine systemzugewiesene verwaltete Identität verwendet, folgen Sie diesen Schritten im Azure-Portal:

1. Wechseln Sie im Azure-Portal zu Ihrem Speichersynchronisierungsdienst , erweitern Sie "Einstellungen", und wählen Sie "Verwaltete Identität" aus.

2. Wenn Sie im Abschnitt "Registrierte Server " mindestens einen Server in der Kachel " Verwaltete ID verwenden " aufgeführt haben, ist Ihr Dienst für die Verwendung verwalteter Identitäten konfiguriert.

Um zu überprüfen, ob der Speichersynchronisierungsdienst eine systemseitig zugewiesene verwaltete Identität verwendet, führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Überprüfen Sie, ob der Wert für die UseIdentity-Eigenschaft True ist. Wenn der Wert False ist, verwendet der Speichersynchronisierungsdienst freigegebene Schlüssel, um sich bei den Azure-Dateifreigaben zu authentifizieren.

Um zu überprüfen, ob ein registrierter Server für eine systemzugewiesene verwaltete Identität konfiguriert ist, folgen Sie diesen Schritten im Azure-Portal:

1. Wechseln Sie im Azure-Portal zu Ihrem Speichersynchronisierungsdienst , erweitern Sie "Einstellungen", und wählen Sie "Verwaltete Identität" aus.

2. Wählen Sie im Abschnitt "Registrierte Server " die Kachel "Verwaltete ID verwenden " aus, und überprüfen Sie, ob der Server aufgeführt ist.

Um zu überprüfen, ob ein registrierter Server für die Verwendung einer systemseitig zugewiesenen verwalteten Identität konfiguriert ist, führen Sie den folgenden Befehl in einem PowerShell-Fenster mit erhöhten Rechten aus:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Stellen Sie sicher, dass die ApplicationId-Eigenschaft über eine GUID verfügt, die angibt, dass der Server für die Verwendung der verwalteten Identität konfiguriert ist. Der Wert für die ActiveAuthType-Eigenschaft aktualisiert sich zu ManagedIdentity , nachdem der Server die systemzugewiesene verwaltete Identität verwendet hat.