Overzicht van Azure Files identiteitsverificatie voor SMB-toegang

Van toepassing op: ✔️ SMB-bestandsshares

In dit artikel wordt uitgelegd hoe u verificatie op basis van identiteiten, on-premises of in Azure, kunt gebruiken om op identiteiten gebaseerde toegang tot Azure Files via het SMB-protocol (Server Message Block) in te schakelen. Net als Windows bestandsservers kunt u machtigingen verlenen aan een identiteit op share-, map- of bestandsniveau. Er worden geen extra servicekosten in rekening gebracht om verificatie op basis van identiteit in te schakelen voor uw opslagaccount.

Azure Files ondersteunt identiteitsgebaseerde authenticatie via SMB voor Windows-, Linux- en macOS-clients. Raadpleeg Linux-clients voor Azure Files configureren met lokale AD DS of Linux-clients voor Azure Files configureren met Microsoft Entra Domeinservices om Linux-clients te configureren. Azure Files biedt momenteel geen ondersteuning voor op identiteit gebaseerde verificatie voor NFS-bestandsshares (Network File System).

Waarom verificatie op basis van identiteit gebruiken?

Gebruik om veiligheidsredenen identiteitsgebaseerde verificatie om toegang te krijgen tot een SMB-bestandsshare in plaats van de sleutel van het opslagaccount. Het is ook handiger dan het gebruik van opslagaccountsleutels in veel scenario's:

• Het gebruik van verificatie op basis van identiteit biedt een naadloze migratie-ervaring bij het vervangen van on-premises bestandsservers, zodat eindgebruikers toegang kunnen blijven krijgen tot hun gegevens met dezelfde referenties.

• Verificatie op basis van identiteit elimineert de noodzaak om uw adreslijstservice te wijzigen bij het verplaatsen van toepassingen naar de cloud, waardoor de overstap naar de cloud wordt versneld.

• Voor DR-scenario's voor bestandsdeling kunt u verificatie op basis van identiteit configureren om de juiste afdwinging van toegangsbeheer te ondersteunen in geval van failover.

Hoe het werkt

Azure Files gebruikt het Kerberos-protocol om te verifiëren met een identiteitsbron. Wanneer een identiteit die is gekoppeld aan een gebruiker of toepassing die wordt uitgevoerd op een client toegang probeert te krijgen tot gegevens in Azure Files, wordt de aanvraag verzonden naar de identiteitsbron om de identiteit te verifiëren. Als de verificatie is geslaagd, retourneert de identiteitsbron een Kerberos-ticket. De client verzendt vervolgens een aanvraag met het Kerberos-ticket en Azure Files gebruikt dat ticket om de aanvraag te autoriseren. De Azure Files-service ontvangt alleen het Kerberos-ticket, niet de toegangsreferenties van de gebruiker.

Alle drie identiteitsbronnen vereisen dat Kerberos is ingeschakeld onder Authenticatiemethoden in de SMB-beveiligingsinstellingen van het opslagaccount. Voor instructies, zie SMB beveiligingsinstellingen.

Kies een identiteitsbron voor uw opslagaccount

Voordat u verificatie op basis van identiteit inschakelt voor uw opslagaccount, moet u bepalen welke identiteitsbron moet worden gebruikt. De meeste bedrijven en organisaties hebben een bepaald type domeinomgeving geconfigureerd, dus u hebt er waarschijnlijk al een. Neem contact op met uw Active Directory (AD) of IT-beheerder om er zeker van te zijn. Als u nog geen identiteitsbron hebt, moet u er een configureren voordat u verificatie op basis van identiteiten kunt inschakelen.

Ondersteunde verificatiescenario's

U kunt verificatie op basis van identiteiten via SMB inschakelen met behulp van een van de volgende drie identiteitsbronnen: On-premises Active Directory Domain Services (AD DS), Microsoft Entra Domeinservices of Microsoft Entra Kerberos. U kunt slechts één identiteitsbron gebruiken voor verificatie van bestandstoegang per opslagaccount en is van toepassing op alle bestandsshares in het account.

Gebruik de volgende tabel om een identiteitsbron te kiezen.

Voor applicaties en Azure compute-workloads die keyless SMB-toegang nodig hebben, overweeg een managed identity te gebruiken. Beheerde identiteit is gescheiden van de drie gebruikersidentiteitsbronnen en kan naast elkaar bestaan met gebruikersidentiteitsgebaseerde authenticatie op hetzelfde opslagaccount.

Nadat je een identiteitsbron hebt gekozen:

1. Schakel de identiteitsbron voor het opslagaccount in.
2. Wijs machtigingen op shareniveau toe.
3. Configureer bestands- en maprechten.
4. Configureer netwerktoegang en DNS.
5. Bereid de clients voor en koppel de bestandsshare.

Authenticatie is slechts één onderdeel van de toegang. Om toegang te krijgen tot een bestand of map, heeft de identiteit een machtiging op share-niveau en de juiste machtiging voor het bestand of de map nodig. Configureer de netwerkverbinding apart.

Een identiteitsbron inschakelen in uw opslagaccount

Nadat u een identiteitsbron hebt gekozen, schakelt u deze in voor uw opslagaccount.

AD DS

Voor AD DS-verificatie kunt u uw AD-domeincontrollers hosten op Azure VM's of op locatie. In beide gevallen moeten uw clients een niet-gempte netwerkverbinding met de domeincontroller hebben, dus ze moeten zich in het bedrijfsnetwerk of het virtuele netwerk (VNET) van uw domeinservice bevinden. We raden u aan uw clientcomputers of VM's toe te voegen aan een domein, zodat gebruikers niet telkens wanneer ze toegang hebben tot de share expliciete referenties hoeven op te geven.

Het volgende diagram toont on-premises AD DS-verificatie voor Azure-bestandsshares via SMB. Je moet de on-premises AD DS synchroniseren met Microsoft Entra ID door gebruik te maken van Microsoft Entra Connect Sync of Microsoft Entra Connect cloud sync. Alleen hybride gebruikersidentiteiten die bestaan in zowel on-premises AD DS als Microsoft Entra ID kunnen worden geauthenticeerd en geautoriseerd voor toegang tot Azure file share. Deze vereiste bestaat omdat je de machtiging op share-niveau configureert voor de identiteit zoals die in Microsoft Entra ID is vastgelegd, terwijl de machtigingen op directory- en bestandsniveau worden afgedwongen op basis van de identiteit in AD DS. Configureer de rechten correct voor dezelfde hybride gebruiker.

Als u AD DS-verificatie wilt inschakelen, leest u eerst Overview - on-premises Active Directory Domain Services verificatie via SMB voor Azure bestandsshares en bekijkt u vervolgens Enable AD DS-verificatie voor Azure bestandsshares.

Microsoft Entra Kerberos

Door Microsoft Entra ID in te schakelen en te configureren om hybride of alleen-cloud-identiteiten te authenticeren, kunnen Microsoft Entra-gebruikers toegang krijgen tot Azure-bestandsdelingen via Kerberos-authenticatie. Deze configuratie gebruikt Microsoft Entra ID om de Kerberos-tickets uit te geven om toegang te krijgen tot de bestandsdeling via het industriestandaard SMB-protocol. Dit betekent dat eindgebruikers toegang hebben tot Azure bestandsshares zonder dat netwerkconnectiviteit met domeincontrollers is vereist.

Het volgende diagram geeft de workflow weer voor Microsoft Entra Kerberos-authenticatie voor hybride (dat wil zeggen, niet alleen cloud-) identiteiten over MKB.

Zie Enable Microsoft Entra Kerberos-verificatie op Azure Files voor meer informatie.

Je kunt deze functie ook gebruiken om FSLogix-profielen op te slaan op Azure-bestandsshares voor VM's met Microsoft Entra-koppeling. Zie Store FSLogix profielcontainers op Azure Files met behulp van Microsoft Entra ID voor meer informatie.

Microsoft Entra Domeinservices.

Voor Microsoft Entra Domeinservices-authenticatie moet je Microsoft Entra Domeinservices inschakelen en de virtuele machines aan het domein koppelen. Deze virtuele machines krijgen toegang tot Azure-bestandsdelingen door gebruik te maken van Kerberos-authenticatie. Deze virtuele machines hebben netwerkconnectiviteit nodig met het beheerde domein van Microsoft Entra Domeinservices.

De verificatiestroom is vergelijkbaar met on-premises AD DS-verificatie, met de volgende verschillen:

• Bij het inschakelen wordt de identiteit van het opslagaccount automatisch gemaakt.
• Alle Microsoft Entra ID gebruikers kunnen worden geverifieerd en geautoriseerd. Gebruikers kunnen uitsluitend in de cloud of hybride zijn. Het platform beheert gebruikerssynchronisatie van Microsoft Entra ID naar Microsoft Entra Domeinservices.

Toegangsvereisten voor Microsoft Entra Domeinservices

Clients moeten voldoen aan de volgende vereisten voor verificatie met behulp van Domain Services-verificatie.

• Kerberos-authenticatie vereist dat de client is gekoppeld aan het beheerde domein van Domain Services.
• Niet-Azure-clients kunnen niet worden gekoppeld aan het beheerde domein van Domain Services.
• Clients die niet domein-gekoppeld zijn, kunnen nog steeds toegang krijgen tot Azure-bestandsdelingen door expliciete inloggegevens te gebruiken, alleen als de client onbelemmerde netwerkverbinding heeft met de domeincontrollers van Domain Services, bijvoorbeeld via VPN of andere ondersteunde verbindingen.

Zie Enable Microsoft Entra Domeinservices authentication on Azure Files voor meer informatie.

Zie ook

• Overview van Azure Files autorisatie en toegangsbeheer
• Overzicht van Kerberos-authenticatie