Cómo utilizar identidades administradas con Azure File Sync

• El agente de Azure File Sync versión 20.0.0.0 o posterior debe estar instalado en el servidor registrado.

• En las cuentas de almacenamiento usadas por Azure File Sync, debe ser miembro del rol de administrador de Azure File Sync o del rol de propietario o tener permisos "Microsoft.Authorization/roleassignments/write".

  Al asignar el rol administrador de Azure File Sync, siga estos pasos para garantizar el privilegio mínimo.

  1. En la pestaña Condiciones, seleccione Permitir a los usuarios asignar roles seleccionados solo a actores seleccionados (con menos privilegios).

  2. Haga clic en Seleccionar roles y entidades de seguridad y, a continuación, seleccione Agregar acción en Condición n.º 1.

  3. Seleccione Crear asignación de roles y, a continuación, haga clic en Seleccionar.

  4. Seleccione Agregar expresión y, a continuación, seleccione Solicitar.

  5. En Origen de atributo, seleccione Id. de definición de rol en Atributo y, a continuación, seleccione ForAnyOfAnyValues:GuidEquals en Operador.

  6. Seleccione Agregar roles. Agregue Lector y Acceso a Datos, Colaborador con privilegios de Datos de Archivos de Almacenamiento, y Colaborador de la Cuenta de Almacenamiento, y luego seleccione Guardar.

• El agente de Azure File Sync versión 20.0.0.0 o posterior debe estar instalado en el servidor registrado.

• En las cuentas de almacenamiento usadas por Azure File Sync, debe ser miembro del rol de administrador de Azure File Sync o del rol de propietario o tener permisos "Microsoft.Authorization/roleassignments/write".

  Al asignar el rol administrador de Azure File Sync, siga estos pasos para garantizar el privilegio mínimo.

  1. En la pestaña Condiciones, seleccione Permitir a los usuarios asignar roles seleccionados solo a actores seleccionados (con menos privilegios).

  2. Haga clic en Seleccionar roles y entidades de seguridad y, a continuación, seleccione Agregar acción en Condición n.º 1.

  3. Seleccione Crear asignación de roles y, a continuación, haga clic en Seleccionar.

  4. Seleccione Agregar expresión y, a continuación, seleccione Solicitar.

  5. En Origen de atributo, seleccione Id. de definición de rol en Atributo y, a continuación, seleccione ForAnyOfAnyValues:GuidEquals en Operador.

  6. Seleccione Agregar roles. Agregue Lector y Acceso a Datos, Colaborador con privilegios de Datos de Archivos de Almacenamiento, y Colaborador de la Cuenta de Almacenamiento, y luego seleccione Guardar.

• El módulo Az.StorageSync de PowerShell versión 2.5.0 o posterior debe instalarse en la máquina que se usará para configurar Azure File Sync para usar identidades administradas. Para instalar el último módulo Az.StorageSync PowerShell, ejecute el siguiente comando desde una ventana PowerShell elevada:

  Install-Module Az.StorageSync -Force
  

Para comprobar si los servidores registrados tienen una identidad administrada asignada por el sistema, siga estos pasos mediante Azure Portal:

1. Vaya al servicio de sincronización de almacenamiento en Azure Portal, expanda Configuración y seleccione Identidad administrada.

2. En la sección Servidores registrados , seleccione el icono Listo para usar el identificador administrado . Este icono muestra una lista de servidores que tienen una identidad administrada asignada por el sistema. Si el servidor no aparece en la lista, realice los pasos para habilitar una identidad administrada asignada por el sistema en los servidores registrados.

Para comprobar si sus servidores registrados tienen una identidad administrada asignada por el sistema, ejecute el siguiente comando de PowerShell:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Compruebe que la propiedad LatestApplicationId tiene un GUID que indica que el servidor tiene una identidad administrada asignada por el sistema, pero no está configurada actualmente para usar la identidad administrada.

Si el valor de la propiedad ActiveAuthType es Certificate y LatestApplicationId no tiene un GUID, el servidor no tiene una identidad administrada asignada por el sistema y usará claves compartidas para autenticarse en el recurso compartido de archivos de Azure.

Para configurar el servicio de sincronización de almacenamiento y los servidores registrados para usar identidades administradas asignadas por el sistema, siga estos pasos en Azure Portal:

1. Vaya al servicio de sincronización de almacenamiento en Azure Portal, expanda Configuración y seleccione Identidad administrada.

2. Seleccione Activar identidad administrada para comenzar la instalación.

Los pasos siguientes se realizan y tardan varios minutos (o más tiempo en completarse las topologías grandes):

• Habilita una identidad administrada asignada por el sistema para el recurso Servicio de sincronización de almacenamiento.

• Concede al Servicio de Sincronización de almacenamiento acceso de identidad administrada asignado por el sistema a sus cuentas de almacenamiento (función de colaborador de cuentas de almacenamiento).

• Concede acceso a la identidad administrada asignada por el sistema del servicio de sincronización de almacenamiento a los recursos compartidos de archivos de Azure (rol colaborador con privilegios de datos de archivos de almacenamiento).

• Concede a los servidores registrados acceso de identidad administrada asignada por el sistema a los recursos compartidos de archivos de Azure (rol Colaborador con privilegios de datos de archivos de almacenamiento).

• Configura el Servicio de sincronización de almacenamiento para que utilice la identidad administrada asignada por el sistema.

• Configura los servidores registrados para que utilicen la identidad administrada asignada por el sistema.

Para configurar el Servicio de sincronización de almacenamiento y los servidores registrados para que utilicen identidades administradas asignadas por el sistema, ejecute el siguiente comando desde una ventana de PowerShell elevada:

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

El cmdlet Set-AzStorageSyncServiceIdentity realiza los siguientes pasos por usted y tardará varios minutos (o más en topologías grandes) en completarse:

• Habilita una identidad administrada asignada por el sistema para el recurso Servicio de sincronización de almacenamiento.
• Concede al Servicio de Sincronización de almacenamiento acceso de identidad administrada asignado por el sistema a sus cuentas de almacenamiento (función de colaborador de cuentas de almacenamiento).
• Concede acceso a la identidad administrada asignada por el sistema del servicio de sincronización de almacenamiento a los recursos compartidos de archivos de Azure (rol colaborador con privilegios de datos de archivos de almacenamiento).
• Concede a los servidores registrados acceso de identidad administrada asignada por el sistema a los recursos compartidos de archivos de Azure (rol Colaborador con privilegios de datos de archivos de almacenamiento).
• Configura el Servicio de sincronización de almacenamiento para que utilice la identidad administrada asignada por el sistema.
• Configura los servidores registrados para que utilicen la identidad administrada asignada por el sistema.

Utilice el cmdlet Set-AzStorageSyncServiceIdentity siempre que necesite configurar servidores registrados adicionales para utilizar identidades administradas.

Para comprobar si el servicio de sincronización de almacenamiento usa una identidad administrada asignada por el sistema, siga estos pasos en Azure Portal:

1. Vaya al servicio de sincronización de almacenamiento en Azure Portal, expanda Configuración y seleccione Identidad administrada.

2. En la sección Servidores registrados , si tiene al menos un servidor que aparece en el icono Using Managed ID (Usar identificador administrado ), el servicio está configurado para usar identidades administradas.

Para comprobar si el Servicio de sincronización de almacenamiento está utilizando una identidad administrada asignada por el sistema, ejecute el siguiente comando desde una ventana de PowerShell elevada:

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Compruebe que el valor de la propiedad UseIdentity es Verdadero. Si el valor es Falso, el Servicio de sincronización de almacenamiento utiliza claves compartidas para autenticarse en los recursos compartidos de archivos de Azure.

Para comprobar si un servidor registrado está configurado para usar una identidad administrada asignada por el sistema, siga estos pasos en Azure Portal:

1. Vaya al servicio de sincronización de almacenamiento en Azure Portal, expanda Configuración y seleccione Identidad administrada.

2. En la sección Servidores registrados , seleccione el icono Using Managed ID (Usar identificador administrado ) y compruebe que aparece el servidor.

Para comprobar si un servidor registrado está configurado para utilizar una identidad administrada asignada por el sistema, ejecute el siguiente comando desde una ventana elevada de PowerShell:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Compruebe que la propiedad ApplicationId tiene un GUID que indica que el servidor está configurado para utilizar la identidad administrada. El valor de la propiedad ActiveAuthType se actualizará a ManagedIdentity una vez que el servidor esté utilizando la identidad administrada asignada por el sistema.