Azure File Sync リソースを別のリソース グループ、サブスクリプション、または Microsoft Entra テナントに移動する

この記事では、Azure File Sync クラウド リソースと Azure ストレージ アカウントのリソースグループ、サブスクリプション、または Microsoft Entra テナントに変更を加える方法について説明します。

Azure File Sync クラウド リソースに変更を加える場合、同時にストレージ リソースについて考慮することが重要です。 次のリソースが存在します。

Azure File Sync のリソース (階層順)

  • ストレージ同期サービス
    • 登録済みサーバー
    • 同期グループ
      • クラウド エンドポイント
      • サーバー エンドポイント

Azure File Sync では、移動できる唯一のリソースはストレージ同期サービス リソースです。 サブリソースは親にバインドされており、別のストレージ同期サービスに移動できません。

Azure Storage のリソース (階層順)

  • ストレージ アカウント
    • ファイル共有

移動できる唯一のリソースはストレージ アカウントです。 サブリソースとしての Azure ファイル共有は、別のストレージ アカウントに移動できません。

サポートされる組み合わせ

リソース移動を計画する際には、ストレージアカウントと最上位のAzure File SyncリソースであるStorage Sync Serviceを一緒に考慮する必要があります。

ベスト プラクティスとして、ストレージ同期サービスと、ファイル共有を同期しているストレージ アカウントは、常に同じサブスクリプションに存在している必要があります。 次の組み合わせがサポートされています。

  • ストレージ同期サービスとストレージ アカウントが異なるリソース グループ (同じ Azure テナント) に配置されている
  • ストレージ同期サービスとストレージ アカウントが異なるサブスクリプション (同じ Azure テナント) に配置されている

重要

移動をさまざまに組み合わせると、ストレージ同期サービスとストレージ アカウントが別々のサブスクリプションに配置され、別々の Microsoft Entra テナントによって管理されてしまうことがあります。 同期は動作しているように見えますが、これはサポートされる構成ではありません。 今後同期が停止し、稼働状態に戻ることができない可能性もあります。

資源移動を計画する際は、あなたのシナリオに合ったセクションを選びましょう。

リソースの移動を計画する場合、同じ Microsoft Entra テナント内での移動と別の Microsoft Entra テナントへの移動では、考慮事項が異なります。 Microsoft Entra テナントを移動する場合、同期とストレージのリソースは、常に一緒に移動します。

同じ Microsoft Entra テナント内で移動する

Azure portal のストレージ同期サービス リソースを示す画像。[移動] コマンドが展開されていて、リソース グループの移動とサブスクリプションの移動のオプションが示されています。

ストレージ同期サービス リソースを移動する便利な方法は、Azure portal を使用することです。 移動するストレージ同期サービスに移動し、コマンドバーの [移動] を選択します。 ストレージ アカウントを移動する場合も同じ手順が適用されます。 この方法で、リソース グループ内のすべてのリソースを移動することもできます。 ストレージ同期サービスがあり、そこで使用されているすべてのストレージ アカウントがこのリソース グループ内にある場合は、リソース グループ全体を移動することをお勧めします。

移動完了後は、ストレージアカウントへの同期アクセスを再認証してください。 Azure File Sync ストレージアクセス認証を参照してください。

新しい Microsoft Entra テナントに移動する

ストレージ同期サービスやストレージ アカウントなどの個々のリソースは、それら単独で別の Microsoft Entra テナントに移動することはできません。 Microsoft Entra テナント間で移動できるのは、Azure サブスクリプションのみです。 新しい Microsoft Entra テナントでのサブスクリプションの構造について考えてみましょう。 Azure File Sync 専用のサブスクリプションを使用できます。

  1. Azure サブスクリプションを作成します (または、移動する必要がある、以前のテナント内の既存のサブスクリプションを特定します)。
  2. ストレージ同期サービスとすべての関連するストレージ アカウントの同じ Microsoft Entra テナント内でのサブスクリプションの移動を実行します。
  3. 同期が停止します。 テナントの移動を直ちに実行するか、移動したストレージ アカウントにアクセスするための同期機能を復元します。 こうすると、後で新しい Microsoft Entra テナントに移動できます。

関連するすべてのAzure File Syncリソースをそれぞれのサブスクリプションに隔離した後、すべてのサブスクリプションをターゲットのMicrosoft Entraテナントに移行する準備が整います。 送金サブスクリプションガイドは、そのような移管の計画と実行に役立ちます。

Azure portal の、サブスクリプションの [概要] ブレードを示す画像。ページの中央上側にある [ディレクトリの変更] ツールバー コマンドが強調表示されている。

プランと必要なアクセス許可が用意できたら、いつでも移行を開始できます:

  1. Azure portal で、サブスクリプションの [概要] ブレードに移動します。
  2. [ディレクトリの変更] を選択します。
  3. ウィザードのステップに従って、新しい Microsoft Entra テナントを割り当てます。

移動完了後は、ストレージアカウントへの同期アクセスを再認証してください。 Azure File Sync ストレージアクセス認証を参照してください。

Azure File Sync ストレージのアクセスの承認

ストレージ アカウントが新しいサブスクリプションに移動するか、サブスクリプション内で新しい Microsoft Entra テナントに移動すると、同期が停止します。 Azure File Sync からストレージ アカウントへのアクセスの承認にはロールベースのアクセス制御 (RBAC) が使用され、これらロールの割り当ては、リソースとは一緒に移行されません。

Azure File Sync サービス プリンシパル

Azure portal の、サブスクリプション管理、登録されたリソース プロバイダーを示す画像。

ストレージ アカウントへの同期アクセスを承認するには、Azure File Sync サービス プリンシパルが Microsoft Entra テナントに存在していなくてはなりません。

現在、新しい Azure サブスクリプションを作成すると、Azure File Sync リソース プロバイダー Microsoft.StorageSync がサブスクリプションに自動的に登録されます。 リソースプロバイダー登録により、サブスクリプションを管理するMicrosoft Entraテナント内で同期のサービスプリンシパルが利用可能になります。 サービス プリンシパルは、Microsoft Entra ID のユーザー アカウントに似ています。 Azure File Sync サービス プリンシパルを使用して、ロールベースのアクセス制御 (RBAC) を介してリソースへのアクセスを承認できます。 同期からのアクセスが必要な唯一のリソースは、同期が予定されているファイル共有を含むストレージ アカウントです。Microsoft.StorageSync は、ストレージ アカウントの [閲覧者とデータ アクセス] 組み込みロールに割り当てる必要があります。

この割り当ては、同期グループにファイル共有を追加したとき、つまりクラウド エンドポイントを作成したときに、ログオン ユーザーのユーザー コンテキストを通じて自動的に実行されます。 ストレージ アカウントを新しいサブスクリプション (または Microsoft Entra テナント) に移動すると、このロールの割り当ては失われ、手動でもう一度確立する必要があります。

重要

ターゲットの Azure サブスクリプションが最近作成されたものではない場合、Microsoft.StorageSync リソース プロバイダーがそのサブスクリプションに登録されていることを確認します。 されていない場合、これを同じポータルのブレードに手動で追加します。

ストレージ アカウントに対する同期アクセスを確立する

ロールベースのアクセス制御 (RBAC) を介してストレージ アカウントへのアクセスを承認するには、Azure File Sync サービス プリンシパルを使用する必要があります。 Microsoft.StorageSync は、ストレージ アカウントの [閲覧者とデータ アクセス] 組み込みロールに割り当てる必要があります。

この割り当ては通常、同期グループにファイル共有を追加したとき、つまりクラウド エンドポイントを作成したときに、ログオン ユーザーのユーザー コンテキストを通じて自動的に実行されます。 ただし、ストレージ アカウントを新しいサブスクリプションまたは Microsoft Entra テナントに移動すると、このロールの割り当ては失われ、手動でもう一度確立する必要があります。

ストレージ アカウントの [閲覧者とデータ アクセス] ロールに割り当てられた Microsoft.StorageSync サービス プリンシパルを示す画像。

  1. Azure portal にサインインして、同期アクセスをもう一度承認する必要があるストレージ アカウントに移動します。
  2. 左側の目次で [アクセス制御 (IAM)] を選択します。
  3. [ロールの割り当て] タブを選択して、ストレージ アカウントにアクセスできるユーザーとアプリケーション (サービス プリンシパル) を一覧表示します。
  4. [追加] を選択します。
  5. [ロール] タブで、[閲覧者とデータ アクセス] ロールを検索して選択します。
  6. [メンバー] タブの [割り当て済みのアクセス先] で [ユーザー、グループ、またはサービス プリンシパル] を選択し、[メンバーを選択する] をクリックして、[選択] フィールド に「Microsoft.StorageSync」と入力します。 ロールを選択し、[保存] を選択します。 Microsoft.StorageSync サービス プリンシパルが見つからない場合は、「Hybrid File Sync Service」 (以前のサービス プリンシパル名) と入力し、ロールを選択して [保存] を選択します。

マネージドアイデンティティトポロジーのアクセス回復

このセクションは、管理型IDを使ってストレージアカウントへのAzure File Syncアクセスを承認する場合に適用されます。Azure File Syncストレージアクセス認証で説明されているサービスプリンシパル方式を使わずに。

管理されたアイデンティティを有効にしてストレージリソースを別のテナントに移動すると、同期は停止します。 マネージドアイデンティティやRBACの役割は移籍しません。 リソース転送完了後、管理IDを再度有効化し、RBACロールを再割り当てしてください。

重要

同じMicrosoft Entraテナント内でリソースを移動しても、RBACの役割割り当てはリソースとともに移動しません。 同期アクセスを復元するには、移動後に手動で再作成する必要があります。 システムは自動的に孤児ロール割り当てを削除しますが、クリーンな構成を維持するために移動前に削除してください。

ストレージ同期サービスを移動した後、PowerShellを使って新しい管理IDを割り当ててください。

Set-AzStorageSyncService -ResourceGroupName <ResourceGroupName> -Name <ManagedIdentityName> -IdentityType <IdentityType>

新しいSPNが表示されたら、ポータルにアクセスしてストレージアカウントおよびストレージアカウントファイル共有で役割割り当てを作成できます。

ロールの割り当ての管理方法について詳しくは、「Azure ロールの割り当ての一覧を表示する」と「Azure ロールを割り当てる」をご覧ください。

別の Azure リージョンに移動する

Azure File Sync の ストレージ同期サービス リソースと、同期中のファイル共有を含むストレージ アカウントには、デプロイ先の Azure リージョンが存在します。 このリージョンは、リソースを作成するときに決定します。 ストレージ同期サービスとストレージ アカウントのリソースのリージョンは一致する必要があります。 これらのリージョンは、作成後にいずれの種類のリソースでも変更することはできません。

効果的に別のAzureリージョンに移行するには、現在のAzure File Syncリソースとストレージアカウントを解除してください。 その後、ターゲット領域で新しいリソースをプロビジョニングし、同期を再確立します。詳細なデプロビジョニング手順については、Modify Azure File Sync トポロジーを参照してください。

リソースに異なるリージョンを割り当てることは、ストレージアカウントの冗長性設定によってサポートされるリー ジョンフェイルオーバーとは異なります。

リージョンフェイルオーバー

Azure Files では、ストレージ アカウントの geo 冗長性オプションが提供されます。 ジオ冗長性は地域災害から守るための有効かつ推奨される選択肢です。 しかし、Azure File Syncで地理的冗長性を使う際に重要な点があります。Azureのストレージサブシステムは、Azure File Syncとは独立してリージョン間でのストレージレプリケーションを行います。Azure File SyncはAzureファイル共有とファイルを継続的に同期するため、ストレージレプリケーション層は同期状態を把握できません。 この条件は、進行中の同期操作がすべてセカンダリ領域に複製される前にフェイルオーバーが発生すると、セカンダリ領域で データの損失や不整合 が見られる可能性があることを意味します。 通常の運用では、地の冗長性はデータ損失を引き起こしません。 フェイルオーバーイベント中のウィンドウに特有のリスクがあります。

注意事項

フェールオーバーは、適切な Azure リージョンでのリソースのプロビジョニングに代わるものではありません。 リソースが "間違った" リージョンにある場合は、同期を停止し、必要なリージョンにデプロイされている新しい Azure ファイル共有にもう一度同期を設定することを検討する必要があります。

リージョンのフェールオーバーは、Azure リージョンのデータセンターが長時間にわたって稼働しなくなる致命的なイベント時に Microsoft によって開始することができます。 企業が持ちこたえることができるダウンタイムの定義は、Microsoft 側で用意したリージョンのフェールオーバーを開始するまでの待機時間よりも短い可能性があります。 そのような状況では、顧客がフェールオーバーを開始することもできます。

重要

フェイルオーバーが発生した場合は、影響を受けたストレージ同期サービスのサポートチケットを提出して、同期が再び動作するようにしてください。

関連項目

  • Last updated on