Comment utiliser les identités gérées avec Azure File Sync

• L’agent Azure File Sync version 20.0.0.0 ou ultérieure doit être installé sur le serveur inscrit.

• Sur vos comptes de stockage utilisés par Azure File Sync, vous devez être membre du rôle d’administrateur ou de gestion du propriétaire Azure File Sync ou disposer des autorisations « Microsoft.Authorization/roleassignments/write ».

  Lors de l’attribution du rôle Administrateur Azure File Sync, procédez comme suit pour garantir le privilège minimum.

  1. Sous l’onglet Conditions, sélectionnez Autoriser les utilisateurs à attribuer des rôles sélectionnés aux principaux sélectionnés uniquement (moins de privilèges).

  2. Cliquez sur Sélectionner des rôles et des principaux , puis sélectionnez Ajouter une action sous Condition #1.

  3. Sélectionnez Créer une attribution de rôle, puis cliquez sur Sélectionner.

  4. Sélectionnez Ajouter une expression, puis sélectionnez Demander.

  5. Sous Source de l’attribut, sélectionnez Id de définition de rôle sous Attribut, puis ForAnyOfAnyValues :GuidEquals sous Opérateur.

  6. Sélectionnez Ajouter des rôles. Ajoutez des rôles Lecteur et Accès aux données, Contributeur privilégié aux données de fichier de stockage et Contributeur de compte de stockage , puis sélectionnez Enregistrer.

• L’agent Azure File Sync version 20.0.0.0 ou ultérieure doit être installé sur le serveur inscrit.

• Sur vos comptes de stockage utilisés par Azure File Sync, vous devez être membre du rôle d’administrateur ou de gestion du propriétaire Azure File Sync ou disposer des autorisations « Microsoft.Authorization/roleassignments/write ».

  Lors de l’attribution du rôle Administrateur Azure File Sync, procédez comme suit pour garantir le privilège minimum.

  1. Sous l’onglet Conditions, sélectionnez Autoriser les utilisateurs à attribuer des rôles sélectionnés aux principaux sélectionnés uniquement (moins de privilèges).

  2. Cliquez sur Sélectionner des rôles et des principaux , puis sélectionnez Ajouter une action sous Condition #1.

  3. Sélectionnez Créer une attribution de rôle, puis cliquez sur Sélectionner.

  4. Sélectionnez Ajouter une expression, puis sélectionnez Demander.

  5. Sous Source de l’attribut, sélectionnez Id de définition de rôle sous Attribut, puis ForAnyOfAnyValues :GuidEquals sous Opérateur.

  6. Sélectionnez Ajouter des rôles. Ajoutez des rôles Lecteur et Accès aux données, Contributeur privilégié aux données de fichier de stockage et Contributeur de compte de stockage , puis sélectionnez Enregistrer.

• Le module PowerShell Az.StorageSync version 2.5.0 ou ultérieure doit être installé sur l’ordinateur qui sera utilisé pour configurer Azure File Sync pour utiliser des identités managées. Pour installer le dernier module PowerShell Az.StorageSync, exécutez la commande suivante à partir d'une fenêtre PowerShell avec privilèges élevés :

  Install-Module Az.StorageSync -Force
  

Pour vérifier si vos serveurs enregistrés disposent d’une identité managée attribuée par le système, suivez ces étapes dans le portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres et sélectionnez Identité managée.

2. Dans la section Serveurs inscrits , sélectionnez la vignette Prêt à utiliser l’ID managé . Cette vignette affiche la liste des serveurs qui ont une identité managée affectée par le système. Si votre serveur n’est pas répertorié, procédez comme suit pour activer une identité managée affectée par le système sur vos serveurs inscrits.

Pour vérifier si vos serveurs enregistrés disposent d’une identité gérée attribuée par le système, exécutez la commande PowerShell suivante :

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Vérifiez que la propriété LatestApplicationId a un GUID qui indique que le serveur a une identité managée affectée par le système, mais n’est pas actuellement configuré pour utiliser l’identité managée.

Si la valeur de la propriété ActiveAuthType est Certificate et que LatestApplicationId n’a pas de GUID, le serveur n’a pas d’identité managée affectée par le système et utilise des clés partagées pour s’authentifier auprès du partage de fichiers Azure.

Pour configurer le service de synchronisation de stockage et les serveurs enregistrés afin qu’ils utilisent des identités managées assignées par le système, suivez ces étapes dans le portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres et sélectionnez Identité managée.

2. Sélectionnez Activer l’identité managée pour commencer la configuration.

Les étapes suivantes sont effectuées et prendront plusieurs minutes (ou plus longtemps pour les topologies volumineuses) :

• Active une identité gérée attribuée par le système pour la ressource du service de synchronisation de stockage.

• Accorde au système de service de synchronisation de stockage l'accès à l'identité gérée attribuée à vos comptes de stockage (rôle de contributeur de compte de stockage).

• Accorde au système Storage Sync Service l’accès à l’identité gérée attribuée à vos partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).

• Accorde aux serveurs enregistrés l’accès à l’identité gérée attribuée par le système aux partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).

• Configure le service de synchronisation de stockage pour utiliser l’identité gérée attribuée par le système.

• Configure les serveurs enregistrés pour utiliser l'identité gérée attribuée par le système.

Pour configurer le service de synchronisation de stockage et les serveurs enregistrés afin d’utiliser des identités gérées attribuées par le système, exécutez la commande suivante à partir d’une fenêtre PowerShell avec privilèges élevés :

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

L'applet de commande Set-AzStorageSyncServiceIdentity exécute les étapes suivantes pour vous et prendra plusieurs minutes (ou plus pour les topologies volumineuses) :

• Active une identité gérée attribuée par le système pour la ressource du service de synchronisation de stockage.
• Accorde au système de service de synchronisation de stockage l'accès à l'identité gérée attribuée à vos comptes de stockage (rôle de contributeur de compte de stockage).
• Accorde au système Storage Sync Service l’accès à l’identité gérée attribuée à vos partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).
• Accorde aux serveurs enregistrés l’accès à l’identité gérée attribuée par le système aux partages de fichiers Azure (rôle de contributeur privilégié aux données de fichiers de stockage).
• Configure le service de synchronisation de stockage pour utiliser l’identité gérée attribuée par le système.
• Configure les serveurs enregistrés pour utiliser l'identité gérée attribuée par le système.

Utilisez l’applet de commande Set-AzStorageSyncServiceIdentity chaque fois que vous devez configurer des serveurs enregistrés supplémentaires pour utiliser des identités gérées.

Pour vérifier si le Service de synchronisation de stockage utilise une identité managée attribuée par le système, suivez ces étapes dans le portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres, puis sélectionnez Identité managée.

2. Dans la section Serveurs inscrits , si vous avez au moins un serveur répertorié dans la vignette Utilisation de l’ID managé , votre service est configuré pour utiliser des identités managées.

Pour vérifier si le service de synchronisation de stockage utilise une identité gérée attribuée par le système, exécutez la commande suivante à partir d'une fenêtre PowerShell avec privilèges élevés :

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Vérifiez que la valeur de la propriété UseIdentity est True. Si la valeur est False, le service de synchronisation de stockage utilise des clés partagées pour s’authentifier auprès des partages de fichiers Azure.

Pour vérifier si un serveur enregistré est configuré pour utiliser une identité managée attribuée par le système, suivez ces étapes dans le portail Azure :

1. Accédez à votre service de synchronisation de stockage dans le portail Azure, développez Paramètres, puis sélectionnez Identité managée.

2. Dans la section Serveurs inscrits , sélectionnez la vignette Using Managed ID et vérifiez que le serveur est répertorié.

Pour vérifier si un serveur enregistré est configuré pour utiliser une identité gérée attribuée par le système, exécutez la commande suivante à partir d'une fenêtre PowerShell avec privilèges élevés :

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Vérifiez que la propriété ApplicationId possède un GUID qui indique que le serveur est configuré pour utiliser l’identité gérée. La valeur de la propriété ActiveAuthType se met à jour en Managed Identity après que le serveur utilise l’identité managée attribuée au système.