Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
✔️ Aplica-se a: Todos os compartilhamentos de arquivos do Azure
Você pode acessar seus compartilhamentos de arquivos do Azure por meio do ponto de extremidade acessível pela Internet pública, por meio de um ou mais pontos de extremidade privados em suas redes, ou armazenando em cache seu compartilhamento de arquivos do Azure no local com o Sincronização de Arquivos do Azure (somente compartilhamentos de arquivos SMB). Este artigo aborda como configurar os Arquivos do Azure para acesso direto em pontos de extremidade públicos e/ou privados. Para saber como armazenar em cache seu compartilhamento de arquivos Azure local com Sincronização de Arquivos do Azure, consulte Introduction para Sincronização de Arquivos do Azure.
Leia Planejamento para uma implantação do Arquivos do Azure antes de ler este guia.
O acesso direto a um compartilhamento de arquivos Azure geralmente requer um pensamento adicional em relação à rede:
Os compartilhamentos de arquivos SMB se comunicam pela porta 445, que muitas organizações e provedores de serviços de Internet (ISPs) bloqueiam para tráfego de saída (Internet). Essa prática se origina de diretrizes de segurança herdadas sobre versões preteridas e não seguras para a Internet do protocolo SMB. Embora o SMB 3.x seja um protocolo seguro para a Internet, as políticas organizacionais ou ISP podem não ser possíveis de alterar. Portanto, a montagem de um compartilhamento de arquivos SMB geralmente requer uma configuração de rede adicional para usar fora de Azure.
Os compartilhamentos de arquivo NFS dependem da autenticação no nível da rede e, portanto, só podem ser acessados por meio de redes restritas. O uso de um compartilhamento de arquivo NFS sempre requer algum nível de configuração de rede.
Você configura endpoints públicos e privados para o Arquivos do Azure no objeto de gerenciamento de topo do Arquivos do Azure: a conta de armazenamento do Azure. Uma conta de armazenamento é um constructo de gerenciamento que representa um pool compartilhado de armazenamento no qual você pode implantar vários compartilhamentos de arquivos Azure, bem como os recursos de armazenamento para outros serviços de armazenamento Azure, como contêineres de blob ou filas.
Este vídeo é um guia e demonstração de como expor com segurança compartilhamentos de arquivos do Azure diretamente para trabalhadores da informação e aplicativos em cinco etapas simples. As seções abaixo fornecem links e contexto adicional para a documentação referenciada no vídeo. Azure Active Directory agora é Microsoft Entra ID. Para obter mais informações, consulte Novo nome para Azure AD.
Transferência segura
Por padrão, as contas de armazenamento do Azure exigem transferência segura, independentemente de os dados serem acessados pelo ponto de extremidade público ou privado. Para Arquivos do Azure, a criptografia em trânsito é controlada no nível do protocolo:
| Protocol | Nome da configuração | Padrão (portal do Azure) | Padrão (PowerShell / CLI / API) |
|---|---|---|---|
| SMB | Exigir criptografia em trânsito para SMB | habilitado | Não selecionado |
| NFS | Exigir criptografia em trânsito para NFS | habilitado | Não selecionado |
| FileREST | Transferência segura é necessária | habilitado | habilitado |
Criptografia em Trânsito para PME.
A configuração Exigir Criptografia em Trânsito para SMB controla se a criptografia é necessária para o acesso a SMB. Para novas contas de armazenamento criadas usando o portal Azure, essa configuração é habilitada por padrão. Contas de armazenamento criadas usando Azure PowerShell, CLI do Azure ou a API FileREST definem esse valor como Não selecionado para garantir a compatibilidade com versões anteriores. Para contas de armazenamento existentes, a transferência segura necessária continua a regular o comportamento de criptografia SMB até que você defina explicitamente a configuração de SMB por protocolo. Quando a criptografia SMB em trânsito é necessária, todos os compartilhamentos de arquivos SMB nessa conta de armazenamento exigem o protocolo SMB 3.x com algoritmos de criptografia AES-128-CCM, AES-128-GCM ou AES-256-GCM. Você pode alternar quais algoritmos são permitidos por meio das configurações de segurança SMB. Desabilitar essa configuração habilita as montagens SMB 2.1 e SMB 3.x sem criptografia.
Criptografia em Trânsito para NFS
A configuração Exigir Criptografia em Trânsito para NFS controla se a criptografia é necessária para o acesso ao NFS. Os compartilhamentos de arquivos NFS do Azure usam o pacote de utilitários AZNFS para simplificar montagens criptografadas, instalando e configurando o Stunnel (um wrapper TLS de código aberto) no cliente. Consulte Criptografia em trânsito para obter compartilhamentos de arquivos do Azure NFS. Para novas contas de armazenamento criadas usando o portal Azure, essa configuração é habilitada por padrão. Contas de armazenamento criadas usando Azure PowerShell, CLI do Azure ou a API FileREST definem esse valor como Não selecionado para garantir a compatibilidade com versões anteriores. Para contas de armazenamento existentes, a configuração transferência segura necessária continua a governar o comportamento de criptografia NFS até que você configure explicitamente a configuração NFS de acordo com o protocolo.
Criptografia em trânsito para FileREST
A configuração Secure transfer required se aplica ao tráfego REST/HTTPS. Quando habilitado, o protocolo FileREST só pode ser usado com HTTPS.
Observação
A comunicação entre um cliente e uma conta de armazenamento Azure é criptografada usando o TLS (Transport Layer Security). Arquivos do Azure depende de uma implementação Windows de SSL que não se baseia no OpenSSL e, portanto, não é exposta a vulnerabilidades relacionadas ao OpenSSL. Os usuários que preferem manter a flexibilidade entre conexões TLS e não TLS na mesma conta de armazenamento devem desabilitar explicitamente a configuração Exigir Criptografia em Trânsito para SMB ou Exigir Criptografia em Trânsito para NFS por protocolo, conforme apropriado.
Ponto de extremidade público
O ponto de extremidade público para os compartilhamentos de arquivos do Azure dentro de uma conta de armazenamento é um ponto de extremidade exposto à Internet. O ponto de extremidade público é o ponto de extremidade padrão de uma conta de armazenamento, no entanto, ele pode ser desabilitado se desejado.
Os protocolos SMB, NFS e FileREST podem usar o ponto de extremidade público. No entanto, cada uma tem regras ligeiramente diferentes para acesso:
Os compartilhamentos de arquivos SMB são acessíveis de qualquer lugar do mundo através do endpoint público da conta de armazenamento com suporte à SMB 3.x e criptografia. Isso significa que as solicitações autenticadas, como solicitações autorizadas pela identidade de logon de um usuário, podem se originar com segurança de dentro ou fora da região Azure. Se o SMB 2.1 ou SMB 3.x sem criptografia for desejado, duas condições deverão ser atendidas:
- A configuração Exigir Criptografia em Trânsito para SMB deve ser desabilitada (ou, para contas existentes em que essa configuração não foi explicitamente configurada, a configuração necessária de transferência segura deve ser desabilitada).
- A solicitação deve ser originária de dentro da região Azure. Como mencionado anteriormente, solicitações SMB criptografadas são permitidas de qualquer lugar, dentro ou fora da região Azure.
Os compartilhamentos de arquivos NFS estarão acessíveis do ponto de extremidade público da conta de armazenamento se e somente se o ponto de extremidade público da conta de armazenamento estiver restrito a redes virtuais específicas usando pontos de extremidade de serviço. Consulte as configurações de firewall do ponto de extremidade público para obter informações adicionais sobre pontos de extremidade de serviço.
FileREST está acessível por meio de um endpoint público. Se a transferência segura for necessária, somente as solicitações HTTPS serão aceitas. Se a transferência segura estiver desabilitada, as solicitações HTTP serão aceitas pelo ponto de extremidade público, independentemente da origem.
Configurações do firewall de ponto de extremidade público
O firewall da conta de armazenamento restringe o acesso ao ponto de extremidade público de uma conta de armazenamento. Você pode restringir o acesso a certos endereços IP ou intervalos de endereços IP, a redes virtuais específicas, ou desabilitar completamente o endpoint público.
Quando você restringe o tráfego do ponto de extremidade público a uma ou mais redes virtuais, você está usando uma funcionalidade da rede virtual chamada pontos de extremidade de serviço. Solicitações direcionadas ao endpoint de serviço do Arquivos do Azure ainda vão para o endereço IP público da conta de armazenamento. No entanto, a camada de rede realiza uma verificação extra da requisição para validar que ela vem de uma rede virtual autorizada. Os protocolos SMB, NFS e FileREST possuem suporte para endpoints de serviço. No entanto, ao contrário do SMB e do FileREST, os compartilhamentos de arquivos NFS só podem ser acessados usando o endpoint público por meio de um endpoint de serviço.
Acesso ao portal do Azure e o firewall da conta de armazenamento
Quando você acessa compartilhamentos de arquivos do Azure por meio do portal do Azure, ocorrem duas solicitações separadas:
- Uma solicitação do navegador para a interface do usuário do portal do Azure (
https://portal.azure.com). - Uma solicitação do seu navegador diretamente para o ponto de extremidade da camada de dados dos Arquivos do Azure (por exemplo,
https://<storage-account-name>.file.core.windows.net), geralmente usando um token SAS emitido para a experiência do portal.
O firewall da conta de armazenamento avalia somente a solicitação direta ao endpoint de dados do Arquivo dos Azure, e não a solicitação para portal.azure.com. Portanto, mesmo que você possa acessar o portal do Azure sem problemas, poderá receber um erro 403 (Proibido) ao navegar pelos dados do compartilhamento de arquivos se o endereço IP de saída pública na solicitação de navegador para armazenamento não for permitido pelo firewall. Essa restrição se aplica apenas ao tráfego FileREST/HTTPS, não a SMB ou NFS. Para mais informações, veja Autorizar acesso a dados de arquivos no portal Azure.
Observação
Devido a fatores como proxies, VPNs, NAT ou diferenças no roteamento de rede, o endereço IP mostrado em uma mensagem de erro pode não corresponder ao endereço IP de origem real, como visto pela conta de armazenamento. Para verificar o endereço IP de origem que está realmente atingindo a conta de armazenamento, habilite as configurações de diagnóstico do Azure Monitor para a conta de armazenamento e colete logs de recursos de armazenamento. Em seguida, examine as entradas de solicitação de serviço de arquivo relevantes e verifique o campo CallerIpAddress para confirmar qual endereço IP atingiu a conta de armazenamento.
Roteamento de rede de ponto de extremidade público
Arquivos do Azure suporta duas opções de roteamento de rede:
- Roteamento da Microsoft (padrão): O tráfego entre o cliente e a conta de armazenamento trafega pela rede de backbone global da Microsoft pelo maior tempo possível antes de sair para a Internet. Essa opção funciona com todas as configurações do Arquivos do Azure, incluindo cenários de junção de domínio do Active Directory (AD) e Sincronização de Arquivos do Azure.
- Roteamento da Internet: O tráfego é roteado pela internet pública o mais cedo possível. Essa opção não suporta cenários de junção de domínio no Active Directory (AD) nem no Sincronização de Arquivos do Azure.
Pontos de extremidade privados
Além do ponto de extremidade público padrão para uma conta de armazenamento, Arquivos do Azure fornece a opção de ter um ou mais pontos de extremidade privados. Um ponto de extremidade privado é um ponto de extremidade acessível apenas em uma rede virtual Azure. Quando você cria um ponto de extremidade privado para sua conta de armazenamento, sua conta de armazenamento obtém um endereço IP privado de dentro do espaço de endereço da sua rede virtual, assim como um servidor de arquivos local ou dispositivo NAS recebe um endereço IP dentro do espaço de endereço dedicado da rede local.
Um ponto de extremidade privado específico está associado a uma sub-rede específica da rede virtual do Azure. Uma conta de armazenamento pode ter pontos de extremidade privados em mais de uma rede virtual.
O uso de pontos de extremidade privados com Arquivos do Azure permite que você:
- Conecte-se com segurança aos compartilhamentos de arquivo do Azure de redes locais usando uma conexão VPN ou ExpressRoute com emparelhamento privado.
- Proteja seus compartilhamentos de arquivos do Azure configurando o firewall da conta de armazenamento para bloquear todas as conexões no ponto de extremidade público da conta de armazenamento. Por padrão, a criação de um ponto de extremidade privado não bloqueia conexões com o ponto de extremidade público.
- Aumente a segurança da rede virtual permitindo que você bloqueie o vazamento de dados da rede virtual (e limites de emparelhamento).
Para criar um ponto de extremidade privado, consulte Configurando pontos de extremidade privados para Arquivos do Azure.
Criação de um túnel de tráfego por uma rede privada virtual ou ExpressRoute
Para usar pontos de extremidade privados para acessar compartilhamentos de arquivo SMB ou NFS do ambiente local, você precisa estabelecer um túnel de rede entre a rede local e o Azure. Uma rede virtual é semelhante a uma rede tradicional on-premiss. Assim como uma conta de armazenamento Azure ou uma VM Azure, uma rede virtual é um recurso Azure que você implanta em um grupo de recursos.
Arquivos do Azure dá suporte aos seguintes mecanismos para tunelamento de tráfego entre suas estações de trabalho e servidores locais e os compartilhamentos de arquivos SMB/NFS do Azure:
VPN ponto a site
Gateway de VPN do Azure suporta conexões VPNs ponto a site, que são conexões VPN entre o Azure e um cliente individual. Essa solução é útil principalmente para dispositivos que não fazem parte da rede local da sua organização. Um caso de uso comum é para trabalhadores remotos que querem poder acessar seu compartilhamento de arquivos no Azure de casa, ou de uma cafeteria ou hotel enquanto viajam. Para usar uma conexão VPN ponto a local com o Arquivos do Azure, você precisa configurar uma conexão VPN Point-to-Site para cada cliente que deseja se conectar. Veja Configurar uma VPN Point-to-Site no Windows para uso com Arquivos do Azure e Configurar uma VPN Point-to-Site no Linux para uso com Arquivos do Azure.
VPN de site a site
O Gateway de VPN do Azure também suporta conexões VPN site-to-site, que são conexões VPN entre o Azure e a rede da sua organização. Uma conexão VPN site-to-site permite que você configure uma conexão VPN uma vez para um servidor ou dispositivo VPN hospedado na rede da sua organização, em vez de configurar uma conexão para cada dispositivo cliente que precisa acessar seu compartilhamento de arquivos do Azure. Veja Configurar uma VPN Site-to-Site para uso com Arquivos do Azure.
ExpressRoute
O ExpressRoute permite que você crie uma rota definida entre o Azure e sua rede local que não atravessa a internet. Como o ExpressRoute fornece um caminho dedicado entre o datacenter local e o Azure, o ExpressRoute pode ser útil quando o desempenho da rede é uma consideração. O ExpressRoute também é uma boa opção quando os requisitos regulatórios ou de política de sua organização exigem um caminho determinístico para seus recursos na nuvem.
Observação
Embora a Microsoft recomende o uso de endpoints privados para ajudar a expandir sua rede local para o Azure, tecnicamente é possível rotear para o endpoint público pela conexão VPN. No entanto, esse método exige codificar fixamente o endereço IP do endpoint público do cluster de armazenamento do Azure que atende sua conta de armazenamento. Como as contas de armazenamento podem ser movidas entre clusters de armazenamento a qualquer momento e novos clusters são frequentemente adicionados e removidos, esse método exige codificar regularmente todos os possíveis endereços IP de armazenamento do Azure nas suas regras de roteamento.
Configuração de DNS
Quando você cria um endpoint privado, o Azure também cria ou atualiza uma zona DNS privada correspondente ao privatelink subdomínio. Estritamente falando, a criação de uma zona DNS privada não é necessária para usar um ponto de extremidade privado para sua conta de armazenamento. No entanto, é altamente recomendado e é explicitamente obrigatório ao montar seu compartilhamento de arquivos do Azure com um usuário principal do Active Directory ou ao acessá-lo pela API FileREST.
Observação
Este artigo usa o sufixo DNS da conta de armazenamento para as regiões públicas Azure, core.windows.net. Esse comentário também se aplica a nuvens soberanas do Azure, como a nuvem do governo dos EUA do Azure e o Microsoft Azure operado pela 21Vianet – basta substituir pelos sufixos apropriados para seu ambiente.
Na sua zona DNS privada, o Azure cria um registro A para storageaccount.privatelink.file.core.windows.net e um registro CNAME para o nome regular da conta de armazenamento, que segue o padrão storageaccount.file.core.windows.net. Como sua zona DNS privada Azure está conectada à rede virtual que contém o ponto de extremidade privado, você pode observar a configuração de DNS chamando o cmdlet Resolve-DnsName do PowerShell em uma VM Azure (como alternativa, nslookup em Windows e Linux):
Resolve-DnsName -Name "storageaccount.file.core.windows.net"
Nesse exemplo, a conta de armazenamento storageaccount.file.core.windows.net resolve para o endereço IP privado do ponto de extremidade privado, que é 192.168.0.4.
Name Type TTL Section NameHost
---- ---- --- ------- --------
storageaccount.file.core.windows. CNAME 29 Answer storageaccount.privatelink.file.core.windows.net
net
Name : storageaccount.privatelink.file.core.windows.net
QueryType : A
TTL : 1769
Section : Answer
IP4Address : 192.168.0.4
Name : privatelink.file.core.windows.net
QueryType : SOA
TTL : 269
Section : Authority
NameAdministrator : azureprivatedns-host.microsoft.com
SerialNumber : 1
TimeToZoneRefresh : 3600
TimeToZoneFailureRetry : 300
TimeToExpiration : 2419200
DefaultTTL : 300
Se você executar o mesmo comando no local, verá que o mesmo nome da conta de armazenamento é resolvido para o endereço IP público da conta de armazenamento. Por exemplo, storageaccount.file.core.windows.net é um registro CNAME para storageaccount.privatelink.file.core.windows.net, que, por sua vez, é um registro CNAME para o cluster de armazenamento Azure que hospeda a conta de armazenamento:
Name Type TTL Section NameHost
---- ---- --- ------- --------
storageaccount.file.core.windows. CNAME 60 Answer storageaccount.privatelink.file.core.windows.net
net
storageaccount.privatelink.file.c CNAME 60 Answer file.par20prdstr01a.store.core.windows.net
ore.windows.net
Name : file.par20prdstr01a.store.core.windows.net
QueryType : A
TTL : 60
Section : Answer
IP4Address : 52.239.194.40
Essa configuração reflete que a conta de armazenamento pode expor tanto o endpoint público quanto um ou mais endpoints privados. Para garantir que o nome da conta de armazenamento aponte para o endereço IP privado do endpoint privado, você deve alterar a configuração nos seus servidores DNS locais. Você pode fazer isso de várias maneiras:
- Modificar os arquivos de hosts nos clientes para fazer com que o
storageaccount.file.core.windows.netseja resolvido para o endereço IP privado do ponto de extremidade privado desejado. Isso é altamente desaconselhado para ambientes de produção, pois você precisará fazer essas alterações em todos os clientes que desejam montar seus compartilhamentos de arquivos do Azure, e as alterações na conta de armazenamento ou do ponto de extremidade privado não serão gerenciadas automaticamente. - Criando um registro A em
storageaccount.file.core.windows.netnos servidores DNS no local. Isso tem a vantagem de que os clientes em seu ambiente local poderão resolver automaticamente a conta de armazenamento sem a necessidade de configurar cada cliente. No entanto, essa solução é igualmente frágil para modificar o arquivo de hosts porque as alterações não são refletidas. Embora essa solução seja frágil, ela pode ser a melhor opção para alguns ambientes. - Encaminhe a zona
core.windows.netde seus servidores DNS locais para sua zona DNS privada Azure. O Azure host DNS privado pode ser acessado por meio de um endereço IP especial (168.63.129.16) que só pode ser acessado dentro de redes virtuais vinculadas à zona DNS privada Azure. Para contornar essa limitação, você pode rodar servidores DNS adicionais dentro da sua rede virtual que encaminhamcore.windows.netpara a zona privada de DNS do Azure. Para simplificar essa configuração, a Microsoft fornece comandos PowerShell que implantam automaticamente servidores DNS na sua rede virtual do Azure e os configuram conforme desejado. Para saber como configurar o encaminhamento de DNS, consulte Configurando o DNS com Arquivos do Azure.
SMB sobre QUIC
Windows Server 2022 Azure Edition suporta um protocolo de transporte chamado QUIC para o servidor SMB fornecido pelo papel de File Server. O QUIC é um substituto do TCP construído sobre o UDP, oferecendo inúmeras vantagens sobre o TCP enquanto ainda oferece um mecanismo de transporte confiável. Uma vantagem fundamental para o protocolo SMB é que, em vez de usar a porta 445, todo o transporte é feito pela porta 443, que é de saída amplamente aberta para dar suporte a HTTPS. Essa configuração significa efetivamente que SMB sobre QUIC oferece uma "VPN SMB" para compartilhamento de arquivos pela internet pública. Windows 11 vem com um cliente que suporta SMB sobre QUIC.
Atualmente, o Arquivos do Azure não suporta SMB sobre QUIC. No entanto, você pode acessar compartilhamentos de arquivos do Azure via Sincronização de Arquivos do Azure rodando no Windows Server, conforme no diagrama a seguir. Essa configuração também oferece a opção de ter caches do Sincronização de Arquivos do Azure tanto on-premises quanto em diferentes datacenters do Azure para fornecer caches locais para uma força de trabalho distribuída. Para saber mais sobre essa opção, consulte a documentação do Windows Server. Para detalhes específicos de rede do Sincronização de Arquivos do Azure, veja SMB sobre QUIC.
