Overzicht van Azure Files identiteitsverificatie voor SMB-toegang

Van toepassing op: ✔️ SMB-bestandsshares

In dit artikel wordt uitgelegd hoe u verificatie op basis van identiteiten, on-premises of in Azure, kunt gebruiken om op identiteiten gebaseerde toegang tot Azure Files via het SMB-protocol (Server Message Block) in te schakelen. Net als Windows bestandsservers kunt u machtigingen verlenen aan een identiteit op share-, map- of bestandsniveau. Er worden geen extra servicekosten in rekening gebracht om verificatie op basis van identiteit in te schakelen voor uw opslagaccount.

Azure Files ondersteunt verificatie op basis van identiteiten via SMB voor Windows, Linux en macOS-clients. Azure Files biedt momenteel geen ondersteuning voor op identiteit gebaseerde verificatie voor NFS-bestandsshares (Network File System).

Waarom verificatie op basis van identiteit gebruiken?

Gebruik om veiligheidsredenen identiteitsgebaseerde verificatie om toegang te krijgen tot een SMB-bestandsshare in plaats van de sleutel van het opslagaccount. Het is ook handiger dan het gebruik van opslagaccountsleutels in veel scenario's:

• Het gebruik van verificatie op basis van identiteit biedt een naadloze migratie-ervaring bij het vervangen van on-premises bestandsservers, zodat eindgebruikers toegang kunnen blijven krijgen tot hun gegevens met dezelfde referenties.

• Verificatie op basis van identiteit elimineert de noodzaak om uw adreslijstservice te wijzigen bij het verplaatsen van toepassingen naar de cloud, waardoor de overstap naar de cloud wordt versneld.

• Voor DR-scenario's voor bestandsdeling kunt u verificatie op basis van identiteit configureren om de juiste afdwinging van toegangsbeheer te ondersteunen in geval van failover.

Hoe het werkt

Azure Files gebruikt het Kerberos-protocol om te verifiëren met een identiteitsbron. Wanneer een identiteit die is gekoppeld aan een gebruiker of toepassing die wordt uitgevoerd op een client toegang probeert te krijgen tot gegevens in Azure Files, wordt de aanvraag verzonden naar de identiteitsbron om de identiteit te verifiëren. Als de verificatie is geslaagd, retourneert de identiteitsbron een Kerberos-ticket. De client verzendt vervolgens een aanvraag met het Kerberos-ticket en Azure Files gebruikt dat ticket om de aanvraag te autoriseren. De Azure Files-service ontvangt alleen het Kerberos-ticket, niet de toegangsreferenties van de gebruiker.

Kies een identiteitsbron voor uw opslagaccount

Voordat u verificatie op basis van identiteit inschakelt voor uw opslagaccount, moet u bepalen welke identiteitsbron moet worden gebruikt. De meeste bedrijven en organisaties hebben een bepaald type domeinomgeving geconfigureerd, dus u hebt er waarschijnlijk al een. Neem contact op met uw Active Directory (AD) of IT-beheerder om er zeker van te zijn. Als u nog geen identiteitsbron hebt, moet u er een configureren voordat u verificatie op basis van identiteiten kunt inschakelen.

Ondersteunde verificatiescenario's

U kunt verificatie op basis van identiteiten via SMB inschakelen met behulp van een van de volgende drie identiteitsbronnen: On-premises Active Directory Domain Services (AD DS), Microsoft Entra Domeinservices of Microsoft Entra Kerberos. U kunt slechts één identiteitsbron gebruiken voor verificatie van bestandstoegang per opslagaccount en is van toepassing op alle bestandsshares in het account.

• On-premises AD DS: Het opslagaccount wordt gekoppeld aan de on-premises AD DS. Identiteiten van AD DS kunnen veilig toegang krijgen tot SMB Azure-bestandsdelingen vanaf een domein-gekoppelde client of een client met onbelemmerde netwerkverbinding met de domeincontroller. De on-premises AD DS-omgeving moet worden gesynchroniseerd met Microsoft Entra ID door gebruik te maken van de on-premises Microsoft Entra Connect-applicatie of Microsoft Entra Connect cloud sync, een lichtgewicht agent die je kunt installeren vanaf de Microsoft Entra-beheercentrum. Bekijk de volledige lijst met vereisten.

• Microsoft Entra Kerberos: U kunt Microsoft Entra ID gebruiken om hybrid of cloudidentiteiten te verifiëren, zodat eindgebruikers toegang hebben tot Azure bestandsshares. Als u hybride identiteiten wilt verifiëren, hebt u een bestaande AD DS-implementatie nodig, die u vervolgens synchroniseert met uw Microsoft Entra-tenant. Bekijk de vereisten.

• Microsoft Entra Domeinservices: cloud-VM's die zijn gekoppeld aan Microsoft Entra Domeinservices hebben toegang tot Azure bestandsshares met Microsoft Entra referenties. In deze oplossing voert Microsoft Entra ID een traditioneel Windows Server AD-domein uit dat een onderliggend element is van de Microsoft Entra tenant van de klant. Bekijk de vereisten.

Gebruik de volgende richtlijnen om te bepalen welke identiteitsbron u moet kiezen.

• Als uw organisatie al een on-premises Active Directory heeft en nog niet klaar is om identiteiten naar de cloud te verplaatsen, en als uw clients, VM's en toepassingen zijn gekoppeld aan een domein of onbelemmerde netwerkverbinding hebben met die domeincontrollers, kiest u voor AD DS (Active Directory Domain Services).

• Als sommige of alle clients geen onbelemmerde netwerkverbinding met je AD DS hebben, of als je FSLogix-profielen opslaat op Azure-bestandsdelingen voor VM's die met Microsoft Entra zijn verbonden, kies dan voor Microsoft Entra Kerberos.

• Als u een bestaande on-premises Active Directory hebt, maar van plan bent om toepassingen naar de cloud te verplaatsen en u wilt dat uw identiteiten zowel on-premises als in de cloud (hybride) bestaan, kiest u Microsoft Entra Kerberos.

• Als u identiteiten in de cloud wilt verifiëren zonder domeincontrollers te gebruiken, kiest u Microsoft Entra Kerberos.

• Als u Microsoft Entra Domeinservices al gebruikt, kiest u Microsoft Entra Domeinservices als identiteitsbron.

• Als u macOS-clients wilt verifiëren, kiest u Microsoft Entra Kerberos.

Een identiteitsbron inschakelen in uw opslagaccount

Nadat u een identiteitsbron hebt gekozen, schakelt u deze in voor uw opslagaccount.

AD DS

Voor AD DS-verificatie kunt u uw AD-domeincontrollers hosten op Azure VM's of op locatie. In beide gevallen moeten uw clients een niet-gempte netwerkverbinding met de domeincontroller hebben, dus ze moeten zich in het bedrijfsnetwerk of het virtuele netwerk (VNET) van uw domeinservice bevinden. We raden u aan uw clientcomputers of VM's toe te voegen aan een domein, zodat gebruikers niet telkens wanneer ze toegang hebben tot de share expliciete referenties hoeven op te geven.

Het volgende diagram toont on-premises AD DS-verificatie voor Azure-bestandsshares via SMB. Je moet de on-premises AD DS synchroniseren met Microsoft Entra ID door gebruik te maken van Microsoft Entra Connect Sync of Microsoft Entra Connect cloud sync. Alleen hybride gebruikersidentiteiten die bestaan in zowel on-premises AD DS als Microsoft Entra ID kunnen worden geauthenticeerd en geautoriseerd voor toegang tot Azure file share. Deze vereiste bestaat omdat je de machtiging op share-niveau configureert voor de identiteit zoals die in Microsoft Entra ID is vastgelegd, terwijl de machtigingen op directory- en bestandsniveau worden afgedwongen op basis van de identiteit in AD DS. Configureer de rechten correct voor dezelfde hybride gebruiker.

Als u AD DS-verificatie wilt inschakelen, leest u eerst Overview - on-premises Active Directory Domain Services verificatie via SMB voor Azure bestandsshares en bekijkt u vervolgens Enable AD DS-verificatie voor Azure bestandsshares.

Microsoft Entra Kerberos

Door Microsoft Entra ID in te schakelen en te configureren om hybride of alleen-cloud-identiteiten te authenticeren, kunnen Microsoft Entra-gebruikers toegang krijgen tot Azure-bestandsdelingen via Kerberos-authenticatie. Deze configuratie gebruikt Microsoft Entra ID om de Kerberos-tickets uit te geven om toegang te krijgen tot de bestandsdeling via het industriestandaard SMB-protocol. Dit betekent dat eindgebruikers toegang hebben tot Azure bestandsshares zonder dat netwerkconnectiviteit met domeincontrollers is vereist.

Het volgende diagram geeft de workflow weer voor Microsoft Entra Kerberos-authenticatie voor hybride (dat wil zeggen, niet alleen cloud-) identiteiten over MKB.

Zie Enable Microsoft Entra Kerberos-verificatie op Azure Files voor meer informatie.

Je kunt deze functie ook gebruiken om FSLogix-profielen op te slaan op Azure-bestandsshares voor VM's met Microsoft Entra-koppeling. Zie Store FSLogix profielcontainers op Azure Files met behulp van Microsoft Entra ID voor meer informatie.

Microsoft Entra Domeinservices.

Voor Microsoft Entra Domeinservices-authenticatie moet je Microsoft Entra Domeinservices inschakelen en de virtuele machines aan het domein koppelen. Deze virtuele machines krijgen toegang tot Azure-bestandsdelingen door gebruik te maken van Kerberos-authenticatie. Deze virtuele machines hebben netwerkconnectiviteit nodig met het beheerde domein van Microsoft Entra Domeinservices.

De verificatiestroom is vergelijkbaar met on-premises AD DS-verificatie, met de volgende verschillen:

• Bij het inschakelen wordt de identiteit van het opslagaccount automatisch gemaakt.
• Alle Microsoft Entra ID gebruikers kunnen worden geverifieerd en geautoriseerd. Gebruikers kunnen uitsluitend in de cloud of hybride zijn. Het platform beheert gebruikerssynchronisatie van Microsoft Entra ID naar Microsoft Entra Domeinservices.

Toegangsvereisten voor Microsoft Entra Domeinservices

Clients moeten voldoen aan de volgende vereisten voor verificatie met behulp van Domain Services-verificatie.

• Kerberos-authenticatie vereist dat de client is gekoppeld aan het beheerde domein van Domain Services.
• Niet-Azure-clients kunnen niet worden gekoppeld aan het beheerde domein van Domain Services.
• Clients die niet domein-gekoppeld zijn, kunnen nog steeds toegang krijgen tot Azure-bestandsdelingen door expliciete inloggegevens te gebruiken, alleen als de client onbelemmerde netwerkverbinding heeft met de domeincontrollers van Domain Services, bijvoorbeeld via VPN of andere ondersteunde verbindingen.

Zie Enable Microsoft Entra Domeinservices authentication on Azure Files voor meer informatie.

Zie ook

• Overview van Azure Files autorisatie en toegangsbeheer
• Overzicht van Kerberos-authenticatie