Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
S’applique à : ✔️ partages de fichiers SMB
Cet article explique comment utiliser l’authentification basée sur l’identité, localement ou dans Azure, pour activer l’accès basé sur l’identité à Azure Files sur le protocole SMB (Server Message Block). Tout comme Windows serveurs de fichiers, vous pouvez accorder des autorisations à une identité au niveau du partage, du répertoire ou du fichier. Aucun frais de service supplémentaire n’est facturé pour activer l’authentification basée sur l’identité sur votre compte de stockage.
Azure Files prend en charge l’authentification basée sur l’identité via SMB pour les clients Windows, Linux et macOS. Pour configurer les clients Linux, consultez Configurer les clients Linux pour Azure Files avec AD DS sur site ou Configurer les clients Linux pour Azure Files avec Microsoft Entra Domain Services. Azure Files ne prend actuellement pas en charge l'authentification basée sur l'identité pour les partages de fichiers NFS (Network File System).
Pourquoi utiliser l’authentification basée sur l’identité ?
Pour des raisons de sécurité, utilisez l’authentification basée sur l’identité pour accéder aux partages de fichiers SMB au lieu de la clé de compte de stockage. Il est également plus pratique que d’utiliser des clés de compte de stockage dans de nombreux scénarios :
L’utilisation de l’authentification basée sur l’identité offre une expérience de migration transparente lors du remplacement de serveurs de fichiers locaux, ce qui permet aux utilisateurs finaux de continuer à accéder à leurs données avec les mêmes informations d’identification.
L’authentification basée sur l’identité élimine la nécessité de modifier votre service d’annuaire lors du déplacement d’applications vers le cloud, ce qui permet d’accélérer l’adoption du cloud.
Pour les scénarios de DR de partage de fichiers, vous pouvez configurer l’authentification basée sur l’identité pour assurer l’application appropriée du contrôle d’accès lors du basculement.
Fonctionnement
Azure Files utilise le protocole Kerberos pour s’authentifier auprès d’une source d’identité. Lorsqu’une identité associée à un utilisateur ou une application s’exécutant sur un client tente d’accéder aux données dans Azure Files, la demande est envoyée à la source d’identité pour authentifier l’identité. Si l’authentification réussit, la source d’identité retourne un ticket Kerberos. Le client envoie ensuite une demande qui inclut le ticket Kerberos et Azure Files utilise ce ticket pour autoriser la demande. Le service Azure Files reçoit uniquement le ticket Kerberos, et non les informations d'identification d'accès de l'utilisateur.
Les trois sources d’identité nécessitent que Kerberos soit activé dans les méthodes d’authentification dans les paramètres de sécurité SMB du compte de stockage. Pour les instructions, consultez les paramètres de sécurité des PME.
Choisir une source d’identité pour votre compte de stockage
Avant d’activer l’authentification basée sur l’identité sur votre compte de stockage, choisissez la source d’identité à utiliser. La plupart des entreprises et organisations ont un certain type d’environnement de domaine configuré. Vous en avez donc probablement déjà un. Consultez votre Active Directory (AD) ou administrateur informatique pour être sûr. Si vous n’avez pas encore de source d’identité, vous devez en configurer une avant de pouvoir activer l’authentification basée sur l’identité.
Scénarios d’authentification pris en charge
Vous pouvez activer l’authentification basée sur l’identité via SMB à l’aide de l’une des trois sources d’identité :
Utilisez le tableau suivant pour choisir une source d’identité.
| Source d’identité | Meilleur ajustement | Identités et clients | Conditions clés |
|---|---|---|---|
| AD DS | Organisations disposant d’un environnement AD DS existant et de clients pouvant accéder à leurs contrôleurs de domaine | Utilisateurs d’AD DS sous Windows et Linux | Synchronisez les identités avec Microsoft Entra ID pour obtenir les permissions de partage spécifiques à l’utilisateur et au groupe. Les clients doivent atteindre les contrôleurs de domaine. Gérez les permissions de fichiers et de répertoires depuis un client Windows en utilisant l’Explorateur fichiers ou icacls. |
| Microsoft Entra Domain Services | Organisations qui utilisent déjà ou ont besoin d’un domaine géré dans Azure | Identités uniquement cloud ou hybrides sous Windows et Linux | Relier les clients au domaine géré et fournir la connectivité à ses contrôleurs de domaine. Gérez les permissions de fichiers et de répertoires depuis un client Windows en utilisant l’Explorateur fichiers ou icacls. |
| Microsoft Entra Kerberos | Environnements privilégiant le cloud ou hybrides/mixtes, clients joints à Microsoft Entra, profils FSLogix, clients macOS ou clients sans connectivité avec un contrôleur de domaine | Identités hybrides ou uniquement cloud sur Windows et macOS (aperçu). L’authentification utilisateur Linux n’est pas prise en charge. | Les clients n’ont pas besoin de connectivité contrôleur de domaine pour l’authentification. Excluez l’application de compte de stockage des politiques d’authentification multifacteur (MFA) applicables. Pour les identités uniquement cloud, gérez les permissions de fichiers et d’annuaires en utilisant le portail Azure ou RestSetAcls. Les organisations disposant d’un mélange de clients cloud-first/cloud-only et de clients joints sur site doivent configurer les clients on-premises avec cloud trust et configurer les clients cloud-first/cloud-only pour utiliser Microsoft Entra Kerberos. |
Pour les applications et les charges de travail de calcul Azure ayant besoin d’un accès SMB sans clé, envisagez d’utiliser une identité managée. L’identité gérée est distincte des trois sources d’identité utilisateur et peut coexister avec l’authentification basée sur l’identité utilisateur sur le même compte de stockage.
Après avoir choisi une source d’identité :
- Activez la source d’identité sur le compte de stockage.
- Attribuer des autorisations au niveau du partage.
- Configurez les permissions de fichiers et de répertoires.
- Configurez l’accès réseau et le DNS.
- Préparez les clients et montez le partage de fichiers.
L’authentification n’est qu’une partie de l’accès. Pour accéder à un fichier ou à un répertoire, l’identité nécessite une autorisation au niveau partage et la permission appropriée de fichier ou de répertoire. Configurez la connectivité réseau séparément.
Tip
Vous pouvez changer la source d’identité sur un compte de stockage plus tard si vos besoins changent. Par exemple, si vous passez d'un AD DS sur site à des identités cloud uniquement ou hybrides soutenues par Microsoft Entra ID, vous pouvez migrer le compte de stockage d'AD DS vers l'authentification Microsoft Entra Kerberos. Changer la source d’identité interrompt temporairement l’accès basé sur l’identité à tous les partages de fichiers du compte de stockage. Pour plus de conseils, voir Modifier la source d’identité pour les partages de fichiers Azure.
Activer une source d’identité sur votre compte de stockage
Après avoir choisi une source d’identité, activez-la sur votre compte de stockage.
AD DS
Pour l’authentification AD DS, vous pouvez héberger vos contrôleurs de domaine AD sur Azure machines virtuelles ou localement. De toute façon, vos clients doivent disposer d’une connectivité réseau non limitée au contrôleur de domaine. Ils doivent donc se trouver dans le réseau d’entreprise ou le réseau virtuel de votre service de domaine. Nous vous recommandons de joindre un domaine à vos machines clientes ou machines virtuelles afin que les utilisateurs n’aient pas à fournir d’informations d’identification explicites chaque fois qu’ils accèdent au partage.
Le diagramme suivant illustre l’authentification AD DS locale pour Azure partages de fichiers sur SMB. Vous devez synchroniser l’AD DS sur site vers Microsoft Entra ID en utilisant Microsoft Entra Connect Sync ou Microsoft Entra Connect cloud sync. Seules les identités hybrides d’utilisateurs existant à la fois dans AD DS sur site et Microsoft Entra ID peuvent être authentifiées et autorisées pour l’accès au partage de fichiers Azure. Cette exigence existe parce que vous configurez la permission au niveau du partage par rapport à l’identité représentée dans Microsoft Entra ID, alors que les permissions au niveau du répertoire et du fichier sont appliquées avec celles dans AD DS. Configurez correctement les permissions pour le même utilisateur hybride.
Pour activer l'authentification AD DS, commencez par lire Overview - Authentification des services de domaine Active Directory locaux sur SMB pour les partages de fichiers Azure puis consultez Activer l'authentification AD DS pour les partages de fichiers Azure.
Microsoft Entra Kerberos
En activant et configurant Microsoft Entra ID pour authentifier des identités hybrides ou uniquement cloud, les utilisateurs de Microsoft Entra peuvent accéder aux partages de fichiers Azure en utilisant l’authentification Kerberos. Cette configuration utilise Microsoft Entra ID pour émettre les tickets Kerberos afin d’accéder au partage de fichiers en utilisant le protocole standard de l’industrie SMB. Cela signifie que les utilisateurs finaux peuvent accéder à Azure partages de fichiers sans nécessiter de connectivité réseau aux contrôleurs de domaine.
Important
Pour utiliser Microsoft Entra Kerberos afin d’authentifier des identités hybrides, il faut un déploiement AD DS traditionnel. Vous devez le synchroniser avec Microsoft Entra ID en utilisant Microsoft Entra Connect Sync ou Microsoft Entra Connect cloud sync. Les clients doivent être joints à Microsoft Entra ou joints à Microsoft Entra de manière hybride.
Le diagramme suivant représente le flux de travail pour l’authentification Microsoft Entra Kerberos pour les identités hybrides (c’est-à-dire non uniquement cloud) sur PME.
Pour plus d’informations, consultez Activer l'authentification Kerberos de Microsoft Entra sur Azure Files.
Vous pouvez également utiliser cette fonctionnalité pour stocker des profils FSLogix sur des partages de fichiers Azure pour les machines virtuelles jointes à Microsoft Entra. Pour plus d’informations, consultez Store FSLogix conteneurs de profils sur Azure Files à l’aide de Microsoft Entra ID.
Services de domaine Entra de Microsoft
Pour l’authentification Microsoft Entra Domain Services, vous devez activer Microsoft Entra Domain Services et relier les machines virtuelles au domaine. Ces machines virtuelles accèdent aux partages de fichiers Azure en utilisant l’authentification Kerberos. Ces machines virtuelles ont besoin d’une connectivité réseau au domaine géré Microsoft Entra Domain Services.
Le flux d’authentification est similaire à l’authentification AD DS locale, avec les différences suivantes :
- Le processus crée automatiquement l’identité du compte de stockage pendant l’activation.
- Tous les utilisateurs Microsoft Entra ID peuvent s’authentifier et être autorisés. Les utilisateurs peuvent être de type cloud uniquement ou hybride. La plateforme gère la synchronisation des utilisateurs de Microsoft Entra ID à Microsoft Entra Domain Services.
Conditions d’accès pour Microsoft Entra Domain Services
Les clients doivent respecter les exigences suivantes pour s’authentifier à l’aide de l’authentification Domain Services.
- L’authentification Kerberos nécessite que le client soit relié au domaine géré par les Services de domaine.
- Les clients non-Azure ne peuvent pas être rattachés au domaine géré par les services de domaine.
- Les clients qui ne sont pas liés au domaine peuvent toujours accéder aux partages de fichiers Azure en utilisant des identifiants explicites uniquement si le client dispose d'une connectivité réseau non entravée aux contrôleurs de domaine des Services de Domaine, par exemple via un VPN ou d'autres connexions prises en charge.
Pour plus d'informations, consultez activer l'authentification Microsoft Entra Domain Services sur Azure Files.