適用対象: ✔️ SMB ファイル共有
この記事では、オンプレミスまたはAzureで ID ベースの認証を使用して、サーバー メッセージ ブロック (SMB) プロトコル経由のAzure Filesへの ID ベースのアクセスを有効にする方法について説明します。 Windowsファイル サーバーと同様に、共有、ディレクトリ、またはファイル レベルで ID にアクセス許可を付与できます。 ストレージ アカウントで ID ベースの認証を有効にするための追加のサービス料金はありません。
Azure Filesは、Windows、Linux、macOSクライアント向けにSMBによるアイデンティティベースの認証をサポートしています。 Linux クライアントを構成するには、オンプレミスの AD DS を使用して Azure Files 向け Linux クライアントを構成するまたはMicrosoft Entra Domain Services を使用して Azure Files 向け Linux クライアントを構成するを参照してください。 Azure Filesは現在、ネットワーク ファイル システム (NFS) ファイル共有の ID ベースの認証をサポートしていません。
ID ベースの認証を使用する理由
セキュリティ上の理由から、ストレージ アカウント キーではなく、ID ベースの認証を使用して SMB ファイル共有にアクセスします。 また、多くのシナリオでストレージ アカウント キーを使用するよりも便利です。
ID ベースの認証を使用すると、オンプレミスのファイル サーバーを置き換えるときにシームレスな移行エクスペリエンスが提供され、エンド ユーザーは同じ資格情報でデータに引き続きアクセスできます。
ID ベースの認証により、アプリケーションをクラウドに移行するときにディレクトリ サービスを変更する必要がなくなり、クラウドの導入が迅速化されます。
ファイル共有 DR シナリオでは、フェールオーバー時に適切なアクセス制御の適用をサポートするように ID ベースの認証を構成できます。
しくみ
Azure Filesは、Kerberos プロトコルを使用して ID ソースで認証します。 クライアントで実行されているユーザーまたはアプリケーションに関連付けられている ID がAzure Files内のデータにアクセスしようとすると、ID を認証するための要求が ID ソースに送信されます。 認証が成功した場合、ID ソースは Kerberos チケットを返します。 その後、クライアントは Kerberos チケットを含む要求を送信し、Azure Filesはそのチケットを使用して要求を承認します。 Azure Files サービスは Kerberos チケットのみを受け取り、ユーザーのアクセス資格情報は受け取りません。
これら3つのアイデンティティソースすべてにおいて、ストレージアカウントのSMBセキュリティ設定の 認証方法 でKerberosを有効にする必要があります。 手順については、 SMBのセキュリティ設定をご覧ください。
ストレージ アカウントの ID ソースを選択する
ストレージ アカウントで ID ベースの認証を有効にする前に、使用する ID ソースを決定します。 ほとんどの企業や組織では、何らかの種類のドメイン環境が構成されているため、既に構成されている可能性があります。 確認するには、Active Directory (AD) または IT 管理者に問い合わせてください。 ID ソースがまだない場合は、ID ベースの認証を有効にする前に、ID ソースを構成する必要があります。
サポートされる認証シナリオ
SMB 経由の ID ベースの認証を有効にするには、
次の表を使って識別元を選びます。
| アイデンティティソース | 最適 | アイデンティティとクライアント | 主な要件 |
|---|---|---|---|
| AD DS | 既存のAD DS環境とドメインコントローラーにアクセスできるクライアントを持つ組織 | WindowsおよびLinuxのAD DSユーザー | ユーザーおよびグループごとの共有権限のために、IDをMicrosoft Entra IDに同期します。 クライアントはドメインコントローラーに接続しなければなりません。 ファイルエクスプローラーやicaclsを使って、Windowsクライアントからファイルおよびディレクトリ権限を管理できます。 |
| Microsoft Entra ドメイン サービス | すでにAzureでマネージドドメインを使用している、または必要としている組織 | WindowsおよびLinuxにおけるクラウドオンリーまたはハイブリッドアイデンティティ | クライアントを管理ドメインに接続し、そのドメインコントローラーへの接続を提供します。 ファイルエクスプローラーやicaclsを使って、Windowsクライアントからファイルおよびディレクトリ権限を管理できます。 |
| Microsoft Entra Kerberos | クラウドファーストまたはハイブリッド/混合環境、Microsoft Entraで参加したクライアント、FSLogixプロファイル、macOSクライアント、またはドメインコントローラー接続のないクライアント | WindowsおよびmacOS(プレビュー版)でのハイブリッドまたはクラウドのみのアイデンティティ。 Linuxのユーザー認証はサポートされていません。 | クライアントは認証のためにドメインコントローラー接続を必要としません。 ストレージアカウントアプリケーションを適用される多要素認証(MFA)ポリシーから除外してください。 クラウドのみのアイデンティティについては、AzureポータルやRestSetAclsを使ってファイルおよびディレクトリの権限を管理してください。 クラウドファースト/クラウドオンリークライアントとオンプレミス参加クライアントが混在している組織は、オンプレミスクライアントをクラウドトラストで設定し、クラウドファースト/クラウドオンリークライアントをMicrosoft Entra Kerberosを使用するように設定すべきです。 |
キーレスSMBアクセスが必要なアプリケーションやAzureのコンピュートワークロードには、マネージデンティドIDの使用を検討してください。 管理IDは3つのユーザーIDソースとは別で、同じストレージアカウント上でユーザーIDベースの認証と共存できます。
識別源を選択した後:
- ストレージアカウントでアイデンティティソースを有効にしてください。
- 共有レベルのアクセス許可を割り当てます。
- ファイル権限とディレクトリ権限を設定しましょう。
- ネットワークアクセスとDNSの設定をしてください。
- クライアントを準備し、ファイル共有をマウントしてください。
認証はアクセスの一部に過ぎません。 ファイルやディレクトリにアクセスするには、アイデンティティが共有レベルの権限と適切なファイルまたはディレクトリ権限を必要とします。 ネットワーク接続は別途設定してください。
Tip
要件が変われば、後でストレージアカウントのアイデンティティソースを変更することもできます。 例えば、オンプレミスのAD DSからクラウドオンリーやMicrosoft Entra IDによるハイブリッドIDに移行する場合、ストレージアカウントをAD DSからMicrosoft Entra Kerberos認証に移行できます。 アイデンティティソースを変更すると、ストレージアカウント内のすべてのファイル共有へのアイデンティティベースのアクセスが一時的に中断されます。 ガイダンスについては、「Azureファイル共有のアイデンティティソースを変更する」をご覧ください。
ストレージ アカウントで ID ソースを有効にする
ID ソースを選択したら、ストレージ アカウントで有効にします。
AD DS
AD DS 認証では、AZURE VM またはオンプレミスで AD ドメイン コントローラーをホストできます。 いずれの場合も、クライアントはドメイン コントローラーへのネットワーク接続を妨げないようにする必要があります。そのため、クライアントはドメイン サービスの企業ネットワークまたは仮想ネットワーク (VNET) 内に存在する必要があります。 ユーザーが共有にアクセスするたびに明示的な資格情報を指定する必要がないように、クライアント コンピューターまたは VM をドメイン参加することをお勧めします。
次の図は、オンプレミスの AD DS 認証が SMB を通じて Azure ファイル共有に接続する様子を示しています。 オンプレミスのAD DSをMicrosoft Entra IDに同期させるには、Microsoft Entra Connect SyncまたはMicrosoft Entra Connectのクラウドシンクを使用してください。オンプレミスのAD DSとMicrosoft Entra IDの両方に存在するハイブリッドユーザーIDのみが認証され、Azureファイル共有へのアクセスを許可されます。 この要件は、共有レベルの権限をMicrosoft Entra IDで表現されるアイデンティティに基づいて設定するため存在しますが、ディレクトリおよびファイルレベルの権限はAD DSでそれで強制されます。 同じハイブリッドユーザーに対して権限を正しく設定してください。
AD DS 認証を有効にするには、最初に Overview - Azure ファイル共有に対する SMB 経由のオンプレミスのActive Directory Domain Services認証を読み取り、 Azure ファイル共有に対する AD DS 認証を有効にする> を参照してください。
Microsoft Entra Kerberos
Microsoft Entra IDを有効化・設定してハイブリッドまたはクラウドのみのIDを認証することで、Microsoft EntraユーザーはKerberos認証を利用してAzureファイル共有にアクセスできます。 この構成はMicrosoft Entra IDを用いて、業界標準のSMBプロトコルを用いてファイル共有にアクセスするためのKerberosチケットを発行します。 つまり、エンド ユーザーは、ドメイン コントローラーへのネットワーク接続を必要とせずに、Azureファイル共有にアクセスできます。
重要
Microsoft Entra Kerberosを使ってハイブリッドIDを認証するには、従来のAD DS展開が必要です。 Microsoft Entra Connect SyncまたはMicrosoft Entra Connect Cloud Syncを使ってMicrosoft Entra IDに同期する必要があります。クライアントはMicrosoft Entraに加入しているか、Microsoft Entraのハイブリッドでなければなりません。
以下の図は、SMB上のハイブリッド(クラウドのみではない)IDに対するMicrosoft Entra Kerberos認証のワークフローを示しています。
詳細については、「Azure Files での Microsoft Entra ケルベロス認証を有効にする」を参照してください。
この機能を使って、Microsoft Entraで結合されたVM用のAzureファイル共有にFSLogixプロファイルを保存することもできます。 詳細については、「Microsoft Entra ID を使用した Azure Files での FSLogix プロファイル コンテナーの保存」に関する情報を参照してください。
Microsoft Entra Domain Services
Microsoft Entra Domain Services認証を行うには、Microsoft Entra Domain Servicesを有効にし、仮想マシンをドメインに結合する必要があります。 これらの仮想マシンはKerberos認証を利用してAzureファイル共有にアクセスします。 これらの仮想マシンは、Microsoft Entra Domain Services管理ドメインへのネットワーク接続が必要です。
認証フローはオンプレミスの AD DS 認証に似ていますが、次の違いがあります。
- このプロセスでは、有効化中にストレージ アカウント ID が自動的に作成されます。
- すべてのMicrosoft Entra IDユーザーは認証して承認できます。 ユーザーは、クラウドのみでもハイブリッドでもかまいません。 プラットフォームは、Microsoft Entra IDからMicrosoft Entra Domain Servicesへのユーザー同期を管理します。
Microsoft Entra Domain Servicesのアクセス要件
ドメイン サービス認証を使用して認証するには、クライアントが次の要件を満たしている必要があります。
- Kerberos認証はクライアントがドメインサービス管理ドメインに加入する必要があります。
- Azure以外のクライアントはDomain Services管理ドメインに参加できません。
- ドメイン参加していないクライアントは、クライアントがVPNやその他の対応接続を通じてDomain Servicesドメインコントローラーと妨げられていないネットワーク接続がある場合に限り、明示的な認証情報を使ってAzureファイル共有にアクセスできます。
詳細については、