Como usar as identidades gerenciadas com a Sincronização de Arquivos do Azure

• O agente de Sincronização de Arquivos do Azure versão 20.0.0.0 ou posterior deve ser instalado no servidor registrado.

• Em suas contas de armazenamento usadas pela Sincronização de Arquivos do Azure, você deve ser membro da função de gerenciamento de Proprietário ou Administrador de Sincronização de Arquivos do Azure ou ter permissões de "Microsoft.Authorization/roleassignments/write".

  Ao atribuir a função de Administrador de Sincronização de Arquivos do Azure, siga estas etapas para garantir privilégios mínimos.

  1. Na guia Condições, selecione Permitir que os usuários atribuam funções selecionadas apenas a principais selecionados (com menos privilégios).

  2. Clique em Selecionar Funções e Entidades e então selecione Adicionar Ação na Condição #1.

  3. Selecione Criar atribuição de função e clique em Selecionar.

  4. Selecione Adicionar expressão e, em seguida, selecione Solicitação.

  5. Em Origem do Atributo, selecione ID de Definição de Função em Atributoe, em seguida, selecione ForAnyOfAnyValues:GuidEquals em Operador.

  6. Selecione Adicionar Funções. Adicione as funções Leitor e Acesso a Dados, Colaborador Privilegiado de Dados de Arquivo de Armazenamento e Colaborador da Conta de Armazenamento e, em seguida, selecione Salvar.

• O agente de Sincronização de Arquivos do Azure versão 20.0.0.0 ou posterior deve ser instalado no servidor registrado.

• Em suas contas de armazenamento usadas pela Sincronização de Arquivos do Azure, você deve ser membro da função de gerenciamento de Proprietário ou Administrador de Sincronização de Arquivos do Azure ou ter permissões de "Microsoft.Authorization/roleassignments/write".

  Ao atribuir a função de Administrador de Sincronização de Arquivos do Azure, siga estas etapas para garantir privilégios mínimos.

  1. Na guia Condições, selecione Permitir que os usuários atribuam funções selecionadas apenas a principais selecionados (com menos privilégios).

  2. Clique em Selecionar Funções e Entidades e então selecione Adicionar Ação na Condição #1.

  3. Selecione Criar atribuição de função e clique em Selecionar.

  4. Selecione Adicionar expressão e, em seguida, selecione Solicitação.

  5. Em Origem do Atributo, selecione ID de Definição de Função em Atributoe, em seguida, selecione ForAnyOfAnyValues:GuidEquals em Operador.

  6. Selecione Adicionar Funções. Adicione as funções Leitor e Acesso a Dados, Colaborador Privilegiado de Dados de Arquivo de Armazenamento e Colaborador da Conta de Armazenamento e, em seguida, selecione Salvar.

• O módulo Az.StorageSync PowerShell versão 2.5.0 ou posterior deve ser instalado no computador que será usado para configurar a Sincronização de Arquivos do Azure para usar identidades gerenciadas. Para instalar o módulo Az.StorageSync do PowerShell mais recente, execute o seguinte comando em uma janela PowerShell elevada:

  Install-Module Az.StorageSync -Force
  

Para verificar se os servidores registrados têm uma identidade gerenciada atribuída pelo sistema, execute as seguintes etapas usando o portal do Azure:

1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

2. Na seção Servidores Registrados , selecione o bloco Pronto para usar a ID Gerenciada . Esse bloco exibe uma lista de servidores que têm uma identidade gerenciada atribuída pelo sistema. Se o servidor não estiver listado, execute as etapas para habilitar uma identidade gerenciada atribuída pelo sistema em seus servidores registrados.

Para verificar se seus servidores registrados têm uma identidade gerenciada atribuída pelo sistema, execute o seguinte comando PowerShell:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Verifique se a propriedade LatestApplicationId tem um GUID que indica que o servidor tem uma identidade gerenciada atribuída pelo sistema, mas atualmente não está configurada para usar a identidade gerenciada.

Se o valor da propriedade ActiveAuthType é Certificado e LatestApplicationId não tem uma GUID, o servidor não tem uma identidade gerenciada atribuída pelo sistema e usará chaves compartilhadas para autenticar o compartilhamento de arquivos do Azure.

Para configurar o Serviço de Sincronização de Armazenamento e servidores registrados para usar identidades gerenciadas atribuídas pelo sistema, execute as seguintes etapas no portal do Azure:

1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

2. Selecione Ativar Identidade Gerenciada para iniciar a instalação.

As etapas a seguir são executadas e levarão vários minutos (ou mais para topologias grandes) para serem concluídas.

• Habilita uma identidade gerenciada atribuída pelo sistema para o recurso Serviço de sincronização de armazenamentos.

• Concede o acesso da identidade gerenciada atribuída pelo sistema do Serviço de sincronização de armazenamentos às Contas de armazenamento (função Colaborador da conta de armazenamento).

• Concede o acesso da identidade gerenciada atribuída pelo sistema do Serviço de sincronização de armazenamentos aos compartilhamentos de arquivos do Azure (função Colaborador privilegiado dos dados dos arquivos de armazenamento).

• Concede o acesso da identidade gerenciada atribuída pelo sistema do(s) servidor(es) aos compartilhamentos de arquivos do Azure (função Colaborador privilegiado dos dados dos arquivos de armazenamento).

• Configura o Serviço de sincronização de armazenamentos para usar a identidade gerenciada atribuída pelo sistema.

• Configura o(s) servidor(es) registrado(s) para usar a identidade gerenciada atribuída pelo sistema.

Para configurar o Serviço de sincronização de armazenamentos e os servidores registrados e usar as identidades gerenciadas atribuídas pelo sistema, execute o seguinte comando em uma janela PowerShell elevada:

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

O cmdlet Set-AzStorageSyncServiceIdentity executa as seguintes etapas e levará alguns minutos (ou mais para as topologias maiores) até concluir:

• Habilita uma identidade gerenciada atribuída pelo sistema para o recurso Serviço de sincronização de armazenamentos.
• Concede o acesso da identidade gerenciada atribuída pelo sistema do Serviço de sincronização de armazenamentos às Contas de armazenamento (função Colaborador da conta de armazenamento).
• Concede o acesso da identidade gerenciada atribuída pelo sistema do Serviço de sincronização de armazenamentos aos compartilhamentos de arquivos do Azure (função Colaborador privilegiado dos dados dos arquivos de armazenamento).
• Concede o acesso da identidade gerenciada atribuída pelo sistema do(s) servidor(es) aos compartilhamentos de arquivos do Azure (função Colaborador privilegiado dos dados dos arquivos de armazenamento).
• Configura o Serviço de sincronização de armazenamentos para usar a identidade gerenciada atribuída pelo sistema.
• Configura o(s) servidor(es) registrado(s) para usar a identidade gerenciada atribuída pelo sistema.

Use o cmdlet Set-AzStorageSyncServiceIdentity sempre que precisar configurar servidores registrados extras para usar as identidades gerenciadas.

Para verificar se o Serviço de Sincronização de Armazenamento está usando uma identidade gerenciada atribuída pelo sistema, execute as seguintes etapas no portal do Azure:

1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

2. Na seção Servidores Registrados , se você tiver pelo menos um servidor listado no bloco Usando ID Gerenciada , seu serviço será configurado para usar identidades gerenciadas.

Para verificar se o Serviço de sincronização de armazenamentos está usando a identidade gerenciada atribuída pelo sistema, execute o seguinte comando em uma janela PowerShell elevada:

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Verifique se o valor da propriedade UseIdentity é True. Se o valor for False, o Serviço de sincronização de armazenamentos está usando chaves compartilhadas para autenticar os compartilhamentos de arquivos do Azure.

Para verificar se um servidor registrado está configurado para usar uma identidade gerenciada atribuída pelo sistema, execute as seguintes etapas no portal do Azure:

1. Acesse o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade Gerenciada.

2. Na seção Servidores Registrados , selecione o bloco Usando ID Gerenciada e verifique se o servidor está listado.

Para verificar se um servidor registrado está configurado para usar uma identidade gerenciada atribuída pelo sistema, execute o seguinte comando em uma janela PowerShell elevada:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Verifique se a propriedade ApplicationId tem uma GUID indicando que o servidor está configurado para usar a identidade gerenciada. O valor da propriedade ActiveAuthType será atualizado para ManagedIdentity assim que o servidor estiver usando a identidade gerenciada atribuída pelo sistema.