Beheerde identiteiten gebruiken met Azure File Sync

• Azure File Sync-agent versie 20.0.0.0 of hoger moet zijn geïnstalleerd op de geregistreerde server.

• Voor uw opslagaccounts die worden gebruikt door Azure File Sync, moet u lid zijn van de rol Azure File Sync-beheerder of eigenaarbeheer of machtigingen voor 'Microsoft.Authorization/roleassignments/write' hebben.

  Wanneer u de rol Azure File Sync-beheerder toewijst, volgt u deze stappen om de minimale bevoegdheden te garanderen.

  1. Selecteer op het tabblad Voorwaarden de optie Toestaan dat gebruikers geselecteerde rollen toewijzen aan alleen geselecteerde principals (minder bevoegdheden).

  2. Klik op Rollen en principals selecteren en selecteer vervolgens Actie toevoegen onder Voorwaarde 1.

  3. Selecteer Roltoewijzing maken en klik vervolgens op Selecteren.

  4. Selecteer Expressie toevoegen en selecteer Vervolgens Aanvraag.

  5. Selecteer onder Kenmerkbron de roldefinitie-id onder Kenmerk en selecteer vervolgens ForAnyOfAnyValues:GuidEquals onder Operator.

  6. Selecteer Rollen toevoegen. Voeg de rollen Lezer en Gegevenstoegang, Inzender voor opslagbestandsgegevens en Inzender voor opslagaccounts toe en selecteer Opslaan.

• Azure File Sync-agent versie 20.0.0.0 of hoger moet zijn geïnstalleerd op de geregistreerde server.

• Voor uw opslagaccounts die worden gebruikt door Azure File Sync, moet u lid zijn van de rol Azure File Sync-beheerder of eigenaarbeheer of machtigingen voor 'Microsoft.Authorization/roleassignments/write' hebben.

  Wanneer u de rol Azure File Sync-beheerder toewijst, volgt u deze stappen om de minimale bevoegdheden te garanderen.

  1. Selecteer op het tabblad Voorwaarden de optie Toestaan dat gebruikers geselecteerde rollen toewijzen aan alleen geselecteerde principals (minder bevoegdheden).

  2. Klik op Rollen en principals selecteren en selecteer vervolgens Actie toevoegen onder Voorwaarde 1.

  3. Selecteer Roltoewijzing maken en klik vervolgens op Selecteren.

  4. Selecteer Expressie toevoegen en selecteer Vervolgens Aanvraag.

  5. Selecteer onder Kenmerkbron de roldefinitie-id onder Kenmerk en selecteer vervolgens ForAnyOfAnyValues:GuidEquals onder Operator.

  6. Selecteer Rollen toevoegen. Voeg de rollen Lezer en Gegevenstoegang, Inzender voor opslagbestandsgegevens en Inzender voor opslagaccounts toe en selecteer Opslaan.

• Az.StorageSync PowerShell-moduleversie 2.5.0 of hoger moet zijn geïnstalleerd op de computer die wordt gebruikt om Azure File Sync te configureren voor het gebruik van beheerde identiteiten. Als u de nieuwste Az.StorageSync PowerShell-module wilt installeren, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

  Install-Module Az.StorageSync -Force
  

Voer de volgende stappen uit met behulp van Azure Portal om te controleren of uw geregistreerde servers een door het systeem toegewezen beheerde identiteit hebben:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Selecteer in de sectie Geregistreerde servers de tegel Gereed voor gebruik van beheerde ID. Op deze tegel wordt een lijst weergegeven met servers met een door het systeem toegewezen beheerde identiteit. Als uw server niet wordt vermeld, voert u de stappen uit om een door het systeem toegewezen beheerde identiteit in te schakelen op uw geregistreerde servers.

Voer de volgende PowerShell-opdracht uit om te controleren of uw geregistreerde servers een door het systeem toegewezen beheerde identiteit hebben:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Controleer of de eigenschap LatestApplicationId een GUID heeft die aangeeft dat de server een door het systeem toegewezen beheerde identiteit heeft, maar momenteel niet is geconfigureerd voor het gebruik van de beheerde identiteit.

Als de waarde voor de eigenschap ActiveAuthTypecertificaat is en de LatestApplicationId geen GUID heeft, heeft de server geen door het systeem toegewezen beheerde identiteit en worden gedeelde sleutels gebruikt om te verifiëren bij de Azure-bestandsshare.

Voer de volgende stappen uit in Azure Portal om de opslagsynchronisatieservice en geregistreerde servers te configureren voor het gebruik van door het systeem toegewezen beheerde identiteiten:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Selecteer Beheerde identiteit inschakelen om de installatie te starten.

De volgende stappen worden uitgevoerd en het duurt enkele minuten (of langer voordat grote topologieën zijn voltooid):

• Hiermee schakelt u een door het systeem toegewezen beheerde identiteit in voor opslagsynchronisatieserviceresource.

• Verleent de door de Opslagsynchronisatie Service systeem toegewezen beheerde identiteit toegang tot uw opslagaccounts (rol van Inzender voor opslagaccounts).

• Verleent de door de opslagsynchronisatieservice toegewezen beheerde identiteit toegang tot uw Azure-bestandsshares (voorrechten bijdragegever rol voor opslagbestandsgegevens).

• Verleent toegang tot de Azure-bestandsshares aan de door het systeem toegewezen beheerde identiteit van de geregistreerde server(s) (rol Bevoorrechte bijdrager voor opslagbestandsgegevens).

• Hiermee configureert u de opslagsynchronisatieservice voor het gebruik van door het systeem toegewezen beheerde identiteit.

• Hiermee configureert u geregistreerde server(s) voor het gebruik van door het systeem toegewezen beheerde identiteit.

Als u de opslagsynchronisatieservice en geregistreerde servers wilt configureren voor het gebruik van door het systeem toegewezen beheerde identiteiten, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

De cmdlet Set-AzStorageSyncServiceIdentity voert de volgende stappen voor u uit en duurt enkele minuten (of langer voordat grote topologieën zijn voltooid):

• Hiermee schakelt u een door het systeem toegewezen beheerde identiteit in voor opslagsynchronisatieserviceresource.
• Verleent de door de Opslagsynchronisatie Service systeem toegewezen beheerde identiteit toegang tot uw opslagaccounts (rol van Inzender voor opslagaccounts).
• Verleent de door de opslagsynchronisatieservice toegewezen beheerde identiteit toegang tot uw Azure-bestandsshares (voorrechten bijdragegever rol voor opslagbestandsgegevens).
• Verleent toegang tot de Azure-bestandsshares aan de door het systeem toegewezen beheerde identiteit van de geregistreerde server(s) (rol Bevoorrechte bijdrager voor opslagbestandsgegevens).
• Hiermee configureert u de opslagsynchronisatieservice voor het gebruik van door het systeem toegewezen beheerde identiteit.
• Hiermee configureert u geregistreerde server(s) voor het gebruik van door het systeem toegewezen beheerde identiteit.

Gebruik de cmdlet Set-AzStorageSyncServiceIdentity wanneer u extra geregistreerde servers moet configureren voor het gebruik van beheerde identiteiten.

Als u wilt controleren of de opslagsynchronisatieservice een door het systeem toegewezen beheerde identiteit gebruikt, voert u de volgende stappen uit in Azure Portal:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Als u in de sectie Geregistreerde servers ten minste één server hebt die wordt vermeld in de tegel Beheerde id gebruiken, is uw service geconfigureerd voor het gebruik van beheerde identiteiten.

Als u wilt controleren of de opslagsynchronisatieservice een door het systeem toegewezen beheerde identiteit gebruikt, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Controleer of de waarde voor de eigenschap UseIdentityTrue is. Als de waarde Onwaar is, gebruikt de opslagsynchronisatieservice gedeelde sleutels om zich te verifiëren bij de Azure file shares.

Voer de volgende stappen uit in Azure Portal om te controleren of een geregistreerde server is geconfigureerd voor het gebruik van een door het systeem toegewezen beheerde identiteit:

1. Ga naar uw opslagsynchronisatieservice in Azure Portal, vouw Instellingen uit en selecteer Beheerde identiteit.

2. Selecteer in de sectie Geregistreerde servers de tegel Beheerde id gebruiken en controleer of de server wordt vermeld.

Als u wilt controleren of een geregistreerde server is geconfigureerd voor het gebruik van een door het systeem toegewezen beheerde identiteit, voert u de volgende opdracht uit vanuit een PowerShell-venster met verhoogde bevoegdheid:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Controleer of de eigenschap ApplicationId een GUID heeft die aangeeft dat de server is geconfigureerd voor het gebruik van de beheerde identiteit. De waarde voor de eigenschap ActiveAuthType wordt bijgewerkt naar ManagedIdentity zodra de server de door het systeem toegewezen beheerde identiteit gebruikt.