Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Gilt für: ✔️ SMB-Dateifreigaben
In diesem Artikel wird erläutert, wie Sie die identitätsbasierte Authentifizierung entweder lokal oder in Azure verwenden können, um den identitätsbasierten Zugriff auf Azure Files über das SMB-Protokoll (Server Message Block) zu aktivieren. Ähnlich wie bei Windows-Dateiservern können Sie Berechtigungen für eine Identität auf Freigabe-, Verzeichnis- oder Dateiebene erteilen. Es gibt keine zusätzlichen Servicegebühren, um die identitätsbasierte Authentifizierung für Ihr Speicherkonto zu aktivieren.
Azure Files unterstützt identitätsbasierte Authentifizierung über SMB für Windows-, Linux- und macOS-Clients. Um Linux-Clients zu konfigurieren, siehe Configure Linux clients for Azure Files with on-premises AD DS oder Configure Linux clients for Azure Files with Microsoft Entra Domain Services. Azure Files unterstützt derzeit keine identitätsbasierte Authentifizierung für Network File System (NFS)-Dateifreigaben.
Warum identitätsbasierte Authentifizierung verwenden?
Verwenden Sie aus Sicherheitsgründen die identitätsbasierte Authentifizierung für den Zugriff auf SMB-Dateifreigaben anstelle des Speicherkontoschlüssels. Es ist auch praktischer als die Verwendung von Speicherkontoschlüsseln in vielen Szenarien:
Die Verwendung der identitätsbasierten Authentifizierung bietet eine nahtlose Migrationserfahrung beim Ersetzen lokaler Dateiserver, sodass Endbenutzer weiterhin mit denselben Anmeldeinformationen auf ihre Daten zugreifen können.
Die identitätsbasierte Authentifizierung beseitigt die Notwendigkeit, Ihren Verzeichnisdienst zu ändern, wenn Anwendungen in die Cloud verschoben werden, wodurch die Cloudakzeptanz beschleunigt wird.
Für DR-Szenarien mit Dateifreigaben können Sie die identitätsbasierte Authentifizierung konfigurieren, um eine ordnungsgemäße Durchsetzung der Zugriffssteuerung beim Failover zu gewährleisten.
Funktionsweise
Azure Files verwendet das Kerberos-Protokoll zur Authentifizierung mit einer Identitätsquelle. Wenn eine identität, die einem Benutzer oder einer Anwendung zugeordnet ist, der auf einem Client ausgeführt wird, versucht, auf Daten in Azure Files zuzugreifen, wird die Anforderung an die Identitätsquelle gesendet, um die Identität zu authentifizieren. Wenn die Authentifizierung erfolgreich ist, gibt die Identitätsquelle ein Kerberos-Ticket zurück. Der Client sendet dann eine Anforderung, die das Kerberos-Ticket enthält, und Azure Files dieses Ticket verwendet, um die Anforderung zu autorisieren. Der Azure Files-Dienst empfängt nur das Kerberos-Ticket, nicht die Zugriffsanmeldeinformationen des Benutzers.
Alle drei Identitätsquellen erfordern, dass Kerberos unter Authentifizierungsmethoden in den SMB-Sicherheitseinstellungen des Speicherkontos aktiviert ist. Für Anweisungen siehe SMB-Sicherheitseinstellungen.
Auswählen einer Identitätsquelle für Ihr Speicherkonto
Bevor Sie die identitätsbasierte Authentifizierung für Ihr Speicherkonto aktivieren, entscheiden Sie, welche Identitätsquelle verwendet werden soll. Die meisten Unternehmen und Organisationen haben eine Art von Domänenumgebung konfiguriert, sodass Sie wahrscheinlich bereits eine haben. Wenden Sie sich an Ihren Active Directory (AD) oder IT-Administrator, um sicher zu sein. Wenn Sie noch nicht über eine Identitätsquelle verfügen, müssen Sie eine konfigurieren, bevor Sie die identitätsbasierte Authentifizierung aktivieren können.
Unterstützte Authentifizierungsszenarien
Sie können die identitätsbasierte Authentifizierung über SMB mithilfe einer von drei Identitätsquellen aktivieren:
Verwenden Sie die folgende Tabelle, um eine Identitätsquelle auszuwählen.
| Identitätsquelle | Beste Passform | Identitäten und Kunden | Wesentliche Anforderungen |
|---|---|---|---|
| AD DS | Organisationen mit einer bestehenden AD DS-Umgebung und Kunden, die ihre Domänencontroller erreichen können | AD DS-Nutzer unter Windows und Linux | Synchronisiere Identitäten mit der Microsoft Entra ID für benutzer- und gruppenspezifische Freigabeberechtigungen. Clients müssen die Domänencontroller erreichen. Verwalten Sie Datei- und Verzeichnisberechtigungen eines Windows-Clients mit dem Datei-Explorer oder icacls. |
| Microsoft Entra Domain Services | Organisationen, die bereits eine verwaltete Domain in Azure verwenden oder benötigen | Cloud-only oder hybride Identitäten auf Windows und Linux | Verbinden Sie Clients mit der verwalteten Domäne und stellen Sie die Verbindung zu deren Domänencontrollern bereit. Verwalten Sie Datei- und Verzeichnisberechtigungen eines Windows-Clients mit dem Datei-Explorer oder icacls. |
| Microsoft Entra Kerberos | Cloud-First- oder hybride/gemischte Umgebungen, von Microsoft Entra verbundene Clients, FSLogix-Profile, macOS-Clients oder Clients ohne Domain-Controller-Konnektivität | Hybride oder reine Cloud-Identitäten auf Windows und macOS (Vorschau). Linux-Benutzerauthentifizierung wird nicht unterstützt. | Clients benötigen keine Domain-Controller-Konnektivität für die Authentifizierung. Schließen Sie die Speicherkonto-Anwendung von den geltenden Multifaktor-Authentifizierungsrichtlinien (MFA) aus. Für reine Cloud-Identitäten verwalten Sie Datei- und Verzeichnisberechtigungen über das Azure-Portal oder RestSetAcls. Organisationen mit einer Mischung aus Cloud-First/Cloud-only-Clients und On-Premises-Join-Clients sollten die On-Premises-Clients mit Cloud-Trust konfigurieren und Cloud-First/Cloud-only-Clients so konfigurieren, dass sie Microsoft Entra Kerberos nutzen. |
Für Anwendungen und Azure-Compute-Workloads, die schlüssellosen SMB-Zugriff benötigen, sollten Sie eine verwaltete Identität in Betracht ziehen. Die verwaltete Identität ist von den drei Benutzeridentitätsquellen getrennt und kann mit einer benutzeridentitätsbasierten Authentifizierung auf demselben Speicherkonto koexistieren.
Nachdem Sie eine Identitätsquelle ausgewählt haben:
- Aktivieren Sie die Identitätsquelle für das Speicherkonto.
- Weisen Sie Berechtigungen auf Freigabeebene zu.
- Konfigurieren Sie Datei- und Verzeichnisberechtigungen.
- Konfigurieren Sie Netzwerkzugang und DNS.
- Bereiten Sie die Clients vor und binden Sie die Dateifreigabe ein.
Authentifizierung ist nur ein Teil des Zugangs. Um auf eine Datei oder ein Verzeichnis zuzugreifen, benötigt die Identität eine Berechtigung auf Freigabeebene sowie die entsprechende Datei- oder Verzeichnisberechtigung. Konfigurieren Sie die Netzwerkverbindung separat.
Tip
Du kannst später die Identitätsquelle eines Speicherkontos ändern, falls sich deine Anforderungen ändern. Wenn Sie zum Beispiel von On-Premises AD DS zu reiner Cloud- oder hybriden Identitäten mit Microsoft Entra ID wechseln, können Sie das Speicherkonto von AD DS auf Microsoft Entra Kerberos-Authentifizierung migrieren. Das Ändern der Identitätsquelle unterbricht vorübergehend den identitätsbasierten Zugriff auf alle Dateifreigaben im Speicherkonto. Anleitungen finden Sie unter Ändern der Identitätsquelle für Azure-Dateifreigaben.
Aktivieren einer Identitätsquelle für Ihr Speicherkonto
Nachdem Sie eine Identitätsquelle ausgewählt haben, aktivieren Sie sie auf Ihrem Speicherkonto.
AD DS
Bei der AD DS-Authentifizierung können Sie Ihre AD-Domänencontroller auf Azure VMs oder lokal hosten. Auf jeden Fall müssen Ihre Clients über eine unbehinderte Netzwerkkonnektivität mit dem Domänencontroller verfügen, daher müssen sie sich innerhalb des Unternehmensnetzwerks oder des virtuellen Netzwerks (VNET) Ihres Domänendiensts befinden. Es wird empfohlen, Ihre Clientcomputer oder VMs mit einer Domäne zu verknüpfen, damit Benutzende nicht bei jedem Zugriff auf die Freigabe explizite Anmeldeinformationen angeben müssen.
Das folgende Diagramm stellt die lokale AD DS-Authentifizierung für Azure-Dateifreigaben über SMB dar. Sie müssen den lokalen AD DS mit Microsoft Entra ID synchronisieren, indem Sie Microsoft Entra Connect Sync oder Microsoft Entra Connect Cloud Sync verwenden. Nur hybride Benutzeridentitäten, die sowohl im lokalen AD DS als auch in der Microsoft Entra ID existieren, können authentifiziert und für den Zugriff auf Azure-Dateifreigabe autorisiert werden. Diese Anforderung ist vorhanden, weil Sie die Berechtigung auf Freigabeebene mit der in Microsoft Entra ID dargestellten Identität konfigurieren, die Berechtigung auf Verzeichnis- und Dateiebene jedoch mit der Identität in AD DS erzwungen wird. Konfigurieren Sie die Berechtigungen korrekt für denselben Hybrid-Nutzer.
Um die AD DS-Authentifizierung zu aktivieren, lesen Sie zuerst Overview – lokale Active Directory Domain Services Authentifizierung über SMB für Azure Dateifreigaben und lesen Sie dann Enable AD DS-Authentifizierung für Azure Dateifreigaben.
Microsoft Entra Kerberos
Durch das Aktivieren und Konfigurieren der Microsoft Entra ID zur Authentifizierung hybrider oder reiner Cloud-Identitäten können Microsoft Entra-Nutzer mithilfe der Kerberos-Authentifizierung auf Azure-Dateifreigaben zugreifen. Diese Konfiguration verwendet Microsoft Entra ID, um die Kerberos-Tickets für den Zugriff auf die Dateifreigabe mit dem branchenüblichen SMB-Protokoll auszugeben. Dies bedeutet, dass Endbenutzer auch ohne Verbindung zu Domänencontrollern auf Azure-Dateifreigaben zugreifen können.
Wichtig
Um Microsoft Entra Kerberos zur Authentifizierung hybrider Identitäten zu nutzen, benötigt man eine traditionelle AD DS-Bereitstellung. Sie müssen es mit Microsoft Entra ID synchronisieren, indem Sie Microsoft Entra Connect Sync oder Microsoft Entra Connect cloud sync verwenden. Clients müssen Microsoft Entra-verbunden oder Microsoft Entra hybrid-verbunden sein.
Das folgende Diagramm stellt den Arbeitsablauf für die Microsoft Entra Kerberos-Authentifizierung für hybride (also nicht nur cloud-basierte) Identitäten über KMU dar.
Weitere Informationen finden Sie unter Enable Microsoft Entra Kerberos-Authentifizierung auf Azure Files.
Sie können diese Funktion auch verwenden, um FSLogix-Profile auf Azure-Dateifreigaben für mit Microsoft Entra verbundene VMs zu speichern. Weitere Informationen finden Sie unter Store FSLogix Profilcontainer auf Azure Files mithilfe von Microsoft Entra ID.
Microsoft Entra Domänendienste
Für die Authentifizierung von Microsoft Entra Domain Services müssen Sie Microsoft Entra Domain Services aktivieren und die virtuellen Maschinen der Domäne zuordnen. Diese virtuellen Maschinen greifen über Kerberos-Authentifizierung auf Azure-Dateifreigaben zu. Diese virtuellen Maschinen benötigen eine Netzwerkverbindung zur von Microsoft Entra Domain Services verwalteten Domäne.
Der Authentifizierungsfluss ähnelt der lokalen AD DS-Authentifizierung mit den folgenden Unterschieden:
- Der Prozess erstellt während der Aktivierung automatisch die Speicherkontoidentität.
- Alle Microsoft Entra ID Benutzer können sich authentifizieren und autorisieren. Bei den Benutzern kann es sich um reine Cloudbenutzer oder um hybride Benutzer handeln. Die Plattform verwaltet die Benutzersynchronisierung von Microsoft Entra ID zu Microsoft Entra Domain Services.
Zugriffsanforderungen für Microsoft Entra Domain Services
Clients müssen die folgenden Anforderungen erfüllen, um sich mithilfe der Domänendiensteauthentifizierung zu authentifizieren.
- Die Kerberos-Authentifizierung erfordert, dass der Client mit der von Domain Services verwalteten Domäne verbunden ist.
- Nicht-Azure-Clients können nicht mit der von Domain Services verwalteten Domäne verbunden werden.
- Clients, die nicht domänengebunden sind, können weiterhin auf Azure-Dateifreigaben zugreifen, indem sie explizite Zugangsdaten verwenden, nur wenn der Client eine ungehinderte Netzwerkverbindung zu den Domain Services-Domänencontrollern hat, zum Beispiel über VPN oder andere unterstützte Verbindungen.
Weitere Informationen finden Sie unter Enable Microsoft Entra Domain Services authentication on Azure Files.