Verschieben von Ressourcen für die Azure-Dateisynchronisierung in eine andere Ressourcengruppe, ein anderes Abonnement oder einen anderen Microsoft Entra-Mandanten

In diesem Artikel wird beschrieben, wie Sie Änderungen an einer Ressourcengruppe, einem Abonnement oder einem Microsoft Entra-Mandanten für Ihre Cloudressourcen für die Azure-Dateisynchronisierung und Azure-Speicherkonten vornehmen.

Bei der Planung von Änderungen an den Cloudressourcen für die Azure-Dateisynchronisierung müssen alle Speicherressourcen gleichzeitig betrachtet werden. Folgende Ressourcen existieren:

Ressourcen für die Azure-Dateisynchronisierung (in hierarchischer Reihenfolge)

  • Speichersynchronisierungsdienst
    • Registrierter Server
    • Synchronisierungsgruppe
      • Cloudendpunkt
      • Serverendpunkt

In der Azure-Dateisynchronisierung ist die Speichersynchronisierungsdienst-Ressource die einzige Ressource, die verschoben werden kann. Untergeordnete Ressourcen sind an ihre übergeordnete Ressource gebunden und können nicht in einen anderen Storage-Synchronisierungsdienst verschoben werden.

Azure-Speicherressourcen (in hierarchischer Reihenfolge)

  • Speicherkonto
    • Dateifreigabe

Die einzige Ressource, die verschoben werden kann, ist das Speicherkonto. Eine Azure-Dateifreigabe kann, ebenso wie eine untergeordnete Ressource, nicht in ein anderes Speicherkonto verschoben werden.

Unterstützte Kombinationen

Bei der Planung eines Ressourcenumzugs müssen Speicherkonten und die oberste Azure-Dateisynchronisierung-Ressource, genannt Storage Sync Service, gemeinsam berücksichtigt werden.

Als Best Practice sollten sich der Storage-Synchronisierungsdienst und die Speicherkonten, die zu synchronisierende Dateifreigaben enthalten, immer im selben Abonnement befinden. Die folgenden Kombinationen werden unterstützt:

  • Speichersynchronisierungsdienst und Speicherkonten befinden sich in verschiedenen Ressourcengruppen (im selben Azure-Mandanten).
  • Speichersynchronisierungsdienst und Speicherkonten befinden sich in verschiedenen Abonnements (im selben Azure-Mandanten).

Wichtig

Durch verschiedene Kombinationen von Verschiebungen können Speichersynchronisierungsdienst und Speicherkonten in unterschiedlichen Abonnements landen, die von verschiedenen Microsoft Entra-Mandanten gesteuert werden. Die Synchronisierung scheint sogar zu funktionieren, aber dies ist keine unterstützte Konfiguration. Die Synchronisierung kann zu einem späteren Zeitpunkt beendet werden, und es gibt keine Möglichkeit, sie wieder in einen funktionierenden Zustand zu versetzen.

Wähle bei der Planung deines Ressourcenumzugs den Abschnitt, der zu deinem Szenario passt:

Bei der Planung der Ressourcenverschiebung müssen Sie verschiedene Überlegungen zum Verschieben innerhalb desselben Microsoft Entra-Mandanten und zum Verschieben in einen anderen Microsoft Entra-Mandanten berücksichtigen. Wenn Sie Microsoft Entra-Mandanten verschieben, verschieben Sie Synchronisierungs- und Speicherressourcen immer gemeinsam.

Verschieben innerhalb desselben Microsoft Entra-Mandanten

Ein Bild, das das Azure-Portal für eine Ressource des Speicher-Synchronisierungsdienstes anzeigt, wobei der Befehl „Verschieben“ erweitert ist. Es zeigt die Optionen zum Verschieben von Ressourcengruppen und von Abonnements an.

Das Azure-Portal bietet eine bequeme Möglichkeit zum Verschieben einer Speichersynchronisierungsdienst-Ressource. Navigieren Sie zu dem Speichersynchronisierungsdienst, den Sie verschieben möchten, und wählen Sie in der Befehlsleiste den Befehl Verschieben aus. Dieselben Schritte gelten für das Verschieben eines Speicherkontos. Auf diese Weise können Sie auch alle Ressourcen in einer Ressourcengruppe verschieben. Das Verschieben einer vollständigen Ressourcengruppe wird empfohlen, wenn sich der Storage-Synchronisierungsdienst und alle von diesem Dienst verwendeten Speicherkonten in dieser Ressourcengruppe befinden.

Nach Abschluss des Umzugs autorisiere den Synchronisationszugriff auf deine Speicherkonten erneut. Siehe Azure-Dateisynchronisierung Storage Access Authorization.

Verschieben in einen neuen Microsoft Entra-Mandanten

Einzelne Ressourcen, wie z. B. ein Storage-Synchronisierungsdienst oder Speicherkonten, können nicht einzeln in einen anderen Microsoft Entra-Mandanten verschoben werden. Nur Azure-Abonnements können über Microsoft Entra-Mandanten hinweg verschoben werden. Betrachten Sie Ihre Abonnementstruktur im neuen Microsoft Entra-Mandanten. Sie können ein dediziertes Abonnement für die Azure-Dateisynchronisierung verwenden.

  1. Erstellen Sie ein Azure-Abonnement (oder bestimmen Sie ein vorhandenes im alten Mandanten, das verschoben werden soll).
  2. Führen Sie für Ihren Speichersynchronisierungsdienst und alle zugehörigen Speicherkonten eine Abonnementverschiebung innerhalb desselben Microsoft Entra-Mandanten aus.
  3. Die Synchronisierung wird beendet. Schließen Sie die Mandantenverschiebung sofort ab, oder stellen Sie den Zugriff der Synchronisierung auf die verschobenen Speicherkonten wieder her. Sie können diese dann später in den neuen Microsoft Entra-Mandanten verschieben.

Nachdem du alle zugehörigen Azure-Dateisynchronisierung-Ressourcen in ein eigenes Abonnement eingelagert hast, kannst du das gesamte Abonnement auf den Ziel-Microsoft Entra-Tenant übertragen. Der Leitfaden zum Übertragungsabonnement hilft Ihnen, eine solche Überweisung zu planen und durchzuführen.

Diese Abbildung zeigt das Azure-Portal mit dem Übersichtsblatt für das Abonnement und hervorgehobenem Symbolleistenbefehl „Verzeichnis ändern“ im oberen Bereich der Seite.

Sie können mit der Migration beginnen, sobald Sie über einen Plan und die erforderlichen Berechtigungen verfügen:

  1. Navigieren Sie im Azure-Portal zum Blatt Übersicht für Ihr Abonnement.
  2. Wählen Sie Verzeichnis ändern aus.
  3. Führen Sie die Schritte des Assistenten aus, um den neuen Microsoft Entra-Mandanten zuzuweisen.

Nach Abschluss des Umzugs autorisiere den Synchronisationszugriff auf deine Speicherkonten erneut. Siehe Azure-Dateisynchronisierung Storage Access Authorization.

Autorisierung des Speicherzugriffs durch die Azure-Dateisynchronisierung

Wenn Speicherkonten in ein neues Abonnement oder innerhalb eines Abonnements in einen neuen Microsoft Entra-Mandanten verschoben werden, wird die Synchronisierung beendet. Die Autorisierung der Azure-Dateisynchronisierung zum Zugriff auf ein Speicherkonto erfolgt über die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC), und diese Rollenzuweisungen werden nicht zusammen mit den Ressourcen migriert.

Dienstprinzipal der Azure-Dateisynchronisierung

Abbildung: Azure-Portal mit Abonnementverwaltung und registrierten Ressourcenanbietern.

Der Dienstprinzipal der Azure-Dateisynchronisierung muss im Microsoft Entra-Mandanten vorhanden sein, bevor Sie die Synchronisierung zum Zugriff auf ein Speicherkonto autorisieren können.

Wenn Sie heute ein neues Azure-Abonnement erstellen, wird der Ressourcenanbieter Microsoft.StorageSync für die Azure-Dateisynchronisierung automatisch bei Ihrem Abonnement registriert. Die Registrierung eines Ressourcenanbieters macht einen Service-Principal für die Synchronisation im Microsoft Entra-Tenant verfügbar, der das Abonnement steuert. Ein Dienstprinzipal ähnelt einem Benutzerkonto in Ihrer Microsoft Entra ID-Instanz. Sie können den Dienstprinzipal der Azure-Dateisynchronisierung dazu verwenden, den Zugriff auf Ressourcen über die rollenbasierte Zugriffssteuerung (RBAC) zu autorisieren. Die einzigen Ressourcen, auf die die Synchronisierung zugreifen muss, sind Ihre Speicherkonten mit den Dateifreigaben, die synchronisiert werden sollen. Microsoft.StorageSync muss der integrierten Rolle Lese- und Datenzugriff im Speicherkonto zugewiesen sein.

Diese Zuweisung erfolgt automatisch über den Benutzerkontext der angemeldeten Benutzer*innen, wenn Sie eine Dateifreigabe einer Synchronisierungsgruppe hinzufügen, also einen Cloudendpunkt erstellen. Wenn ein Speicherkonto in ein neues Abonnement oder einen neuen Microsoft Entra-Mandanten verschoben wird, geht diese Rollenzuweisung verloren und muss manuell wiederhergestellt werden.

Wichtig

Wenn das Azure-Zielabonnement nicht erst vor Kurzem erstellt wurde, überprüfen Sie, ob der Ressourcenanbieter Microsoft.StorageSync beim Abonnement registriert ist. Fügen Sie ihn ggf. auf demselben Portalblatt hinzu.

Einrichten des Zugriffs der Synchronisierung auf ein Speicherkonto

Der Dienstprinzipal der Azure-Dateisynchronisierung muss verwendet werden, den Zugriff auf ein Speicherkonto per rollenbasierter Zugriffssteuerung zu autorisieren. Microsoft.StorageSync muss der integrierten Rolle Lese- und Datenzugriff im Speicherkonto zugewiesen sein.

Diese Zuweisung erfolgt in der Regel automatisch über den Benutzerkontext des angemeldeten Benutzers, wenn Sie eine Dateifreigabe zu einer Synchronisierungsgruppe hinzufügen, Sie also einen Cloudendpunkt erstellen. Wenn jedoch ein Speicherkonto in ein neues Abonnement oder einen neuen Microsoft Entra-Mandanten verschoben wird, geht diese Rollenzuweisung verloren und muss manuell wiederhergestellt werden.

Eine Abbildung zeigt den Dienstprinzipal „Microsoft.StorageSync“, dem in einem Speicherkonto die Rolle „Lese- und Datenzugriff“ zugewiesen ist.

  1. Melden Sie im Azure-Portal an, und navigieren Sie zu dem Speicherkonto, für das Sie den Zugriff für die Synchronisierung erneut autorisieren müssen.
  2. Wählen Sie im Inhaltsverzeichnis auf der linken Seite die Option Zugriffssteuerung (IAM) aus.
  3. Wählen Sie die Registerkarte Rollenzuweisungen aus, um die Benutzer und Anwendungen (Dienstprinzipale) aufzulisten, die Zugriff auf Ihr Speicherkonto haben.
  4. Wählen Sie Hinzufügen.
  5. Suchen Sie auf der Registerkarte Rolle die Rolle Leser und Datenzugriff, und wählen Sie sie aus.
  6. Legen Sie auf der Registerkarte Mitglieder die Option Zugewiesener Zugriff auf als Benutzer, Gruppe oder Dienstprinzipal fest, klicken Sie aufMitglieder auswählen, und geben Sie im Auswahlfeld den Wert Microsoft.StorageSync ein. Wählen Sie die Rolle und dann Speichern aus. Wenn der Dienstprinzipal Microsoft.StorageSync nicht gefunden wird, geben Sie Hybrider Dateisynchronisierungsdienst (alter Dienstprinzipalname) ein, wählen Sie die Rolle aus, und klicken Sie auf Speichern.

Wiederherstellung des Zugriffs für die Managed Identity-Topologie

Dieser Abschnitt gilt, wenn Sie verwaltete Identitäten verwenden, um Azure-Dateisynchronisierung-Zugriff auf Speicherkonten zu autorisieren, anstatt den in Azure-Dateisynchronisierung beschriebenen Service-Principal-Ansatz zu verwenden.

Wenn du verwaltete Identitäten aktivierst und Speicherressourcen auf einen anderen Tenant verschiebst, hört die Synchronisation auf. Verwaltete Identitäten und RBAC-Rollen werden nicht übertragen. Nachdem Sie die Ressourcenübertragung abgeschlossen haben, aktivieren Sie verwaltete Identitäten wieder und weisen die RBAC-Rollen neu zu.

Wichtig

Selbst wenn du Ressourcen innerhalb desselben Microsoft Entra-Tenants verschiebst, werden RBAC-Rollenzuweisungen nicht mit den Ressourcen verschoben. Sie müssen sie nach der Verschiebung manuell neu erstellen, um den Synchronisierungszugriff wiederherzustellen. Obwohl das System die verwaisten Rollenzuweisungen automatisch entfernt, sollte man sie vor dem Umzug entfernen, um eine saubere Konfiguration zu gewährleisten.

Nachdem Sie Ihren Storage Sync Service verlegt haben, verwenden Sie PowerShell, um neue verwaltete Identitäten zuzuweisen.

Set-AzStorageSyncService -ResourceGroupName <ResourceGroupName> -Name <ManagedIdentityName> -IdentityType <IdentityType>

Wenn du das neue SPN siehst, kannst du im Portal die Rollenzuweisungen für Speicherkonten und Speicherkonto-Dateifreigaben erstellen.

Weitere Informationen zum Verwalten von Rollenzuweisungen finden Sie unter Auflisten von Azure-Rollenzuweisungen und Zuweisen von Azure-Rollen.

Verschieben in eine andere Azure-Region

Die Azure-Dateisynchronisierungsressource Storage-Synchronisierungsdienst und die Speicherkonten, die zu synchronisierende Dateifreigaben enthalten, sind in einer bestimmten Azure-Region bereitgestellt. Sie bestimmen diese Region, wenn Sie eine Ressource erstellen. Die Region der Ressourcen für Speichersynchronisierungsdiensts und Speicherkonto muss dieselbe sein. Diese Regionen können nach der Erstellung für keinen Ressourcentyp geändert werden.

Um effektiv in eine andere Azure-Region zu wechseln, deprovisionieren Sie Ihre aktuellen Azure-Dateisynchronisierung-Ressourcen und Speicherkonten. Dann stellen Sie neue Ressourcen in der Zielregion bereit und stellen die Synchronisation wieder her. Für detaillierte Deprovisionierungsschritte siehe Modify Azure-Dateisynchronisierung topology.

Eine andere Region einer Ressource zuzuweisen, unterscheidet sich von einem Region-Failover, das je nach Redundanzeinstellung deines Speicherkontos unterstützt werden kann.

Regionen-Failover

Azure Files bietet Georedundanzoptionen für Speicherkonten. Geo-Redundanz ist eine valide und empfohlene Option zum Schutz vor regionalen Katastrophen. Es gibt jedoch einen wichtigen Aspekt bei der Nutzung von Geo-Redundanz mit Azure-Dateisynchronisierung: Das Speichersubsystem von Azure führt die Speicherreplikation zwischen den Regionen unabhängig von Azure-Dateisynchronisierung durch. Da Azure-Dateisynchronisierung kontinuierlich Dateien zu und von Azure-Dateifreigaben synchronisiert, hat die Speicher-Replikationsschicht keine Einsicht in den Synchronisationszustand. Diese Bedingung bedeutet, dass wenn ein Failover auftritt, bevor alle laufenden Synchronisierungsoperationen auf die sekundäre Region repliziert wurden, Datenverluste oder Inkonsistenzen im sekundären Bereich auftreten könnten. Im normalen Betrieb verursacht Geo-Redundanz keinen Datenverlust. Das Risiko ist während eines Failover-Ereignisses spezifisch für das Fenster.

Achtung

Ein Failover ist niemals ein geeigneter Ersatz für das Bereitstellen von Ressourcen in der richtigen Azure-Region. Wenn Ihre Ressourcen sich in der „falschen“ Region befinden, sollten Sie die Synchronisierung beenden und für neue Azure-Dateifreigaben einrichten, die in der gewünschten Region bereitgestellt wurden.

Ein Regionsfailover kann von Microsoft nach einem schwerwiegenden Ereignis gestartet werden, durch das Rechenzentren in einer Azure-Region über einen längeren Zeitraum hinweg nicht verfügbar sein werden. Die Definition der Downtime, die Ihr Unternehmen tolerieren kann, ist möglicherweise kürzer als die Zeit die Microsoft bereit ist, verstreichen zu lassen, bevor ein regionales Failover gestartet wird. Für solche Situationen können Failover auch durch Kund*innen initiiert werden.

Wichtig

Im Falle eines Failovers solltest du ein Support-Ticket für deine betroffenen Storage Sync Services einreichen, damit die Synchronisation wieder funktioniert.

Siehe auch

  • Last updated on