Planejar uma implantação de Arquivos do Azure

Planejar uma implantação do Arquivos do Azure envolve algumas decisões-chave. Use este artigo para escolher as opções certas para sua carga de trabalho.

Você precisa decidir o seguinte:

1. Como os clientes vão acessar o compartilhamento? Montar diretamente de clientes na nuvem ou locais, ou armazenar em cache localmente com Sincronização de Arquivos do Azure?
2. Qual modelo de gestão? Compartilhamentos de arquivos clássicos (contas de armazenamento) ou o novo provedor de recursos Microsoft.FileShares?
3. Qual protocolo?SMB (Windows/Linux/macOS) ou NFS (apenas Linux)?
4. Como os usuários vão se autenticar?Autenticação baseada em identidade ou chave de conta de armazenamento?
5. Qual configuração de rede? Endpoint público, endpoints de serviço ou endpoints privados?
6. Qual nível de desempenho e opção de redundância?SSD ou HDD, e qual opção de redundância?

As seções a seguir abordam cada decisão em detalhes.

Conceitos de gerenciamento

O Arquivos do Azure oferece dois modelos de gerenciamento para implantar compartilhamentos de arquivos:

• Compartilhamentos de arquivos clássicos (Microsoft. Provedor de recursos de armazenamento): Implantar compartilhamentos de arquivos dentro de uma conta de armazenamento. Suporta SMB e NFS, SSD e HDD, todos os tipos de redundância e todas as regiões.
• Compartilhamentos de arquivos (Microsoft. Provedor de recursos FileShare): Implantar compartilhamentos de arquivos como recursos de Azure de nível superior sem uma conta de armazenamento. Simplifique o gerenciamento com rede, faturamento e segurança por compartilhamento. Atualmente disponível apenas para compartilhamentos de arquivos NFS.

Para detalhes sobre provedores de recursos, comparações de recursos e disponibilidade regional, veja conceitos de gerenciamento do Arquivos do Azure.

Protocolos disponíveis

Arquivos do Azure oferece dois protocolos de sistema de arquivos padrão do setor para montar Azure compartilhamentos de arquivos: o protocolo SMB (Server Message Block) e o protocolo NFS (Sistema de Arquivos de Rede). Escolha o protocolo que melhor se ajusta à sua carga de trabalho. Compartilhamentos de arquivos do Azure não dão suporte aos protocolos SMB e NFS no mesmo compartilhamento de arquivos, embora você possa criar compartilhamentos de arquivos SMB e NFS do Azure na mesma conta de armazenamento.

Com compartilhamentos de arquivos SMB e NFS, Arquivos do Azure oferece compartilhamentos de arquivos de nível empresarial que podem ser dimensionados verticalmente para atender às suas necessidades de armazenamento e milhares de clientes podem acessá-los simultaneamente.

Identidade

Para acessar um compartilhamento de arquivos Azure, você deve ser autenticado e autorizado a acessar o compartilhamento. Em quase todos os casos, use a autenticação baseada em identidade em vez da chave da conta de armazenamento para acessar compartilhamentos de arquivos do Azure via SMB.

Arquivos do Azure dá suporte aos seguintes métodos de autenticação para compartilhamentos SMB:

• Active Directory Domain Services (AD DS) local: você pode realizar o ingresso no domínio de contas de armazenamento do Azure em um Active Directory Domain Services de propriedade do cliente, assim como um servidor de arquivos do Windows Server ou um dispositivo NAS. Você pode implantar um controlador de domínio local, em uma VM Azure ou até mesmo como uma VM em outro provedor de nuvem. Arquivos do Azure é independente de onde o controlador de domínio está hospedado. Após o seu domínio ingressar em uma conta de armazenamento, o usuário final poderá montar um compartilhamento de arquivos com a conta de usuário com a qual entrou no PC. A autenticação baseada em AD usa o protocolo de autenticação Kerberos.
• Microsoft Entra Domain Services: Microsoft Entra Domain Services fornece um controlador de domínio gerenciado por Microsoft que você pode usar para Azure recursos. O ingresso no domínio de sua conta de armazenamento no Microsoft Entra Domain Services fornece benefícios semelhantes ao ingresso no domínio para um AD DS de propriedade do cliente. Essa opção de implantação é mais útil para cenários de elevação e deslocamento de aplicativos que exigem permissões baseadas no AD. Como os Serviços de Domínio fornecem autenticação baseada em AD, essa opção também usa o protocolo de autenticação Kerberos.
• Microsoft Entra Kerberos: Microsoft Entra Kerberos permite que você use Microsoft Entra ID para autenticar identidades hybrid ou somente na nuvem. Essa configuração usa o Microsoft Entra ID para emitir tíquetes Kerberos e acessar o compartilhamento de arquivo via protocolo SMB. Isso significa que os usuários finais podem acessar os compartilhamentos de arquivos do Azure pela Internet a partir de VMs ingressadas híbridas no Microsoft Entra e VMs ingressadas no Microsoft Entra.
• Autenticação do Active Directory via SMB para clientes Linux: o Arquivos do Azure oferece suporte à autenticação baseada em identidade via SMB para clientes Linux usando o protocolo de autenticação Kerberos por meio do AD DS ou do Microsoft Entra Domain Services.
• Chave da conta de armazenamento do Azure: Embora isso não seja recomendado por motivos de segurança, você também pode montar compartilhamentos de arquivos do Azure usando uma chave da conta de armazenamento do Azure em vez de usar uma identidade. Para montar um compartilhamento de arquivos usando a chave da conta de armazenamento, use o nome da conta de armazenamento como nome de usuário e a chave da conta de armazenamento como senha. Usar a chave da conta de armazenamento para montar o compartilhamento de arquivos Azure é efetivamente uma operação de administrador, pois o compartilhamento de arquivos montado tem permissões completas para todos os arquivos e pastas no compartilhamento, mesmo que eles tenham ACLs. Quando você usa a chave da conta de armazenamento para montar no SMB, o protocolo de autenticação NTLMv2 é usado. Se você precisar usar a chave da conta de armazenamento, use pontos de extremidade privados ou pontos de extremidade de serviço, conforme descrito na seção Rede.

Para clientes que migram de servidores de arquivos locais ou criam novos compartilhamentos de arquivos no Arquivos do Azure que se destinem a funcionar como servidores de arquivos do Windows Server ou dispositivos NAS, ingresse sua conta de armazenamento no AD DS pertencente ao cliente. Para saber mais, consulte Overview – autenticação do AD DS local no SMB para compartilhamentos de arquivos Azure.

Rede

Montar diretamente o seu compartilhamento de arquivos do Azure geralmente exige cuidado com a configuração de rede porque:

• Muitas organizações e provedores de serviços de Internet (ISPs) bloqueiam a porta 445, que os compartilhamentos de arquivos SMB usam para comunicação, para tráfego de saída (Internet).
• Os compartilhamentos de arquivo NFS dependem da autenticação no nível da rede e, portanto, só podem ser acessados por meio de redes restritas. O uso de um compartilhamento de arquivo NFS sempre exige algum nível de configuração de rede.

Para configurar a rede, Arquivos do Azure fornece um ponto de extremidade público acessível à Internet e integração com recursos de rede Azure, como pontos de extremidade de serviço, que ajudam a restringir o ponto de extremidade público a redes virtuais especificadas e pontos de extremidade privados, que dão à sua conta de armazenamento um endereço IP privado de dentro de um espaço de endereço IP de rede virtual. Embora não haja nenhum custo extra para usar pontos de extremidade públicos ou pontos de extremidade de serviço, as taxas de processamento de dados padrão se aplicam a pontos de extremidade privados.

Considere as seguintes configurações de rede:

• Se o protocolo necessário for SMB e todo o acesso por SMB for de clientes em Azure, nenhuma configuração de rede especial será necessária.
• Se o protocolo necessário for SMB e o acesso vier de clientes locais, será necessária uma conexão VPN ou Azure ExpressRoute do ambiente local para a sua rede no Azure, com o Arquivos do Azure exposto na sua rede interna usando pontos de extremidade privados.
• Se o protocolo necessário for NFS, você poderá usar pontos de extremidade de serviço ou pontos de extremidade privados para restringir a rede a redes virtuais especificadas. Se você precisar de um endereço IP estático e/ou sua carga de trabalho exigir alta disponibilidade, use um ponto de extremidade privado. Com pontos de extremidade de serviço, um evento raro, como uma interrupção de zona, pode fazer com que o endereço IP subjacente da conta de armazenamento seja alterado. Embora os dados ainda estejam disponíveis no compartilhamento de arquivos, o cliente exigiria uma remontagem do compartilhamento.

Para obter mais informações, consulte Arquivos do Azure considerações de rede.

Além de se conectar diretamente ao compartilhamento de arquivo usando o ponto de extremidade público ou usando uma conexão VPN/ExpressRoute com um ponto de extremidade privado, o SMB oferece uma estratégia de acesso de cliente adicional: SMB por QUIC. O SMB por QUIC oferece a "VPN SMB" sem nenhuma configuração para acesso SMB pelo protocolo de transporte QUIC. Embora Arquivos do Azure não suporte diretamente SMB via QUIC, você pode criar um cache leve dos seus compartilhamentos de arquivos Azure em uma VM Windows Server 2022 Azure Edition usando Sincronização de Arquivos do Azure. Para saber mais sobre essa opção, veja SMB over QUIC com Sincronização de Arquivos do Azure.

Criptografia para Arquivos do Azure

Arquivos do Azure dá suporte a dois tipos diferentes de criptografia:

• Criptografia em trânsito, que se refere à criptografia usada ao montar ou acessar o compartilhamento de arquivos do Azure
• Criptografia em repouso, que se refere à forma como os dados são criptografados quando estão armazenados em disco

Criptografia em trânsito

Por padrão, todas as contas de armazenamento Azure têm a criptografia em trânsito habilitada. Esse recurso significa que, ao montar um compartilhamento de arquivos por SMB ou acessá-lo por meio do protocolo FileREST (por meio do portal Azure, do PowerShell/CLI ou SDKs do Azure), Arquivos do Azure só permitirá a conexão se for feita com o SMB 3.x com criptografia ou HTTPS. Clientes que não oferecem suporte ao SMB 3.x ou clientes que oferecem suporte ao SMB 3.x, mas não à criptografia SMB, não poderão montar o compartilhamento de arquivos do Azure se a criptografia em trânsito estiver habilitada. Para obter mais informações sobre quais sistemas operacionais dão suporte ao SMB 3.x com criptografia, consulte a documentação de Windows, macOS e Linux. Todas as versões atuais do PowerShell, da CLI e dos SDKs são compatíveis com HTTPS.

Você pode desabilitar a criptografia em trânsito para uma conta de armazenamento Azure. Quando você desabilitar a criptografia, Arquivos do Azure também permite SMB 2.1 e SMB 3.x sem criptografia e chamadas de API FileREST não criptografadas por HTTP. O principal motivo para desabilitar a criptografia em trânsito é dar suporte a um aplicativo herdado que deve ser executado em um sistema operacional mais antigo, como Windows Server 2008 R2 ou uma distribuição mais antiga do Linux. O Arquivos do Azure permite conexões SMB 2.1 apenas dentro da mesma região do Azure que o compartilhamento de arquivos do Azure. Um cliente SMB 2.1 fora da região do Azure em que o compartilhamento de arquivos do Azure está, como no local ou em outra região do Azure, não pode acessar o compartilhamento de arquivos.

Verifique se a criptografia de dados em trânsito está habilitada.

Para obter mais informações sobre criptografia em trânsito, consulte requerendo transferência segura no armazenamento do Azure e Criptografia em trânsito para compartilhamentos de arquivos NFS do Azure.

Criptografia em repouso

Arquivos do Azure usa o mesmo esquema de criptografia que os outros serviços de armazenamento Azure, como Armazenamento de Blobs do Azure. Todos os dados armazenados em Arquivos do Azure são criptografados em repouso por meio de SE (criptografia do lado do serviço), que funciona de forma semelhante ao BitLocker no Windows.

Como os dados são criptografados abaixo do sistema de arquivos do compartilhamento de arquivos Azure, como eles são codificados em disco, você não precisa acessar a chave subjacente no cliente para ler ou gravar no compartilhamento de arquivos Azure. A criptografia em repouso aplica-se aos protocolos SMB e NFS.

Por padrão, os dados armazenados em Arquivos do Azure são criptografados com chaves gerenciadas por Microsoft. Com chaves gerenciadas por Microsoft, Microsoft contém as chaves para criptografar e descriptografar os dados. Microsoft é responsável por alternar essas chaves regularmente.

Para Azure compartilhamentos de arquivos clássicos, você pode optar por criptografar seus dados usando chaves gerenciadas por customer. Se você escolher chaves gerenciadas pelo cliente, Arquivos do Azure estará autorizado a acessar suas chaves para atender às solicitações de leitura e gravação de seus clientes. Com chaves gerenciadas pelo cliente, você pode revogar essa autorização a qualquer momento. Mas sem essa autorização, seu compartilhamento de arquivos Azure não está mais acessível por meio do SMB ou da API FileREST.

Você não pode usar chaves gerenciadas pelo cliente para criptografia em repouso com compartilhamentos de arquivos do Azure criados usando o provedor de recursos Microsoft.FileShares. Você precisa usar chaves gerenciadas pela Microsoft.

Proteção de dados

Arquivos do Azure usa uma abordagem multicamadas para garantir que seus dados sejam armazenados em backup, recuperáveis e protegidos contra ameaças à segurança. Consulte Arquivos do Azure visão geral da proteção de dados.

Exclusão reversível

A exclusão temporária é uma configuração no nível da conta de armazenamento que você pode usar para recuperar seu compartilhamento de arquivos caso ele seja excluído acidentalmente. Quando você exclui um compartilhamento de arquivos, ele faz a transição para um estado de exclusão reversível em vez de ser apagado permanentemente. É possível configurar o período de tempo em que os compartilhamentos excluídos temporariamente podem ser recuperados antes de serem excluídos permanentemente e recuperar a exclusão do compartilhamento a qualquer momento durante esse período de retenção.

A exclusão temporária é habilitada por padrão nas novas contas de armazenamento. Se no seu fluxo de trabalho a exclusão de compartilhamentos for comum e esperada, você poderá optar por definir um período curto de retenção ou não habilitar a exclusão reversível.

Para obter mais informações sobre exclusão reversível, consulte Impedir a exclusão acidental de dados.

Backup

Faça backup dos seus compartilhamentos de arquivos do Azure usando instantâneos de compartilhamento, que são cópias pontuais somente leitura do seu compartilhamento. Os instantâneos são incrementais, portanto, incluem apenas os dados que foram alterados desde o instantâneo anterior. Cada compartilhamento de arquivos dá suporte a até 200 instantâneos e você pode mantê-los por até 10 anos. Você pode criar instantâneos manualmente no portal do Azure ou usar o PowerShell ou a CLI (interface de linha de comando). Você também pode usar Backup do Azure.

O Backup do Azure para compartilhamentos de arquivos SMB do Azure gerencia o agendamento e a retenção de snapshots. Seus recursos de GFS (avô-pai-filho) significam que você pode usar instantâneos diários, semanais, mensais e anuais, cada um com seu próprio período de retenção distinto. O backup do Azure também orquestra a habilitação da exclusão temporária e usa um bloqueio de exclusão em uma conta de armazenamento assim que qualquer compartilhamento de arquivos nele é configurado para backup. Backup do Azure fornece determinados recursos chave de monitoramento e alerta que permitem que os clientes tenham uma exibição consolidada de sua infraestrutura de backup.

Você pode executar restaurações de nível de item e de compartilhamento no portal Azure usando Backup do Azure. Escolha o ponto de restauração (um snapshot específico), o arquivo ou diretório específico, se relevante, e então o local (original ou alternativo) onde você quer restaurar. O serviço de backup lida com a cópia dos dados do instantâneo e mostra o progresso da restauração no Portal.

Proteger Arquivos do Azure com Microsoft Defender para armazenamento

Microsoft Defender para Armazenamento é uma camada nativa Azure de inteligência de segurança que detecta possíveis ameaças às suas contas de armazenamento. Ele fornece segurança abrangente analisando o plano de dados e a telemetria do plano de controle gerados pelo Arquivos do Azure. Ele usa recursos avançados de detecção de ameaças alimentados por Microsoft Inteligência contra Ameaças para fornecer alertas de segurança contextuais, incluindo etapas para mitigar as ameaças detectadas e evitar ataques futuros.

Defender para Armazenamento analisa continuamente o fluxo de telemetria gerado por Arquivos do Azure. Quando atividades potencialmente mal-intencionadas são detectadas, alertas de segurança são gerados. Esses alertas são exibidos em Microsoft Defender para Nuvem, juntamente com os detalhes da atividade suspeita, das etapas de investigação, das ações de correção e das recomendações de segurança.

Defender para Armazenamento detecta malware conhecido, como ransomware, vírus, spyware e outros malwares carregados em uma conta de armazenamento com base no hash de arquivo completo (com suporte apenas para a API REST). Isso ajuda a evitar que o malware entre na organização e se espalhe para mais usuários e recursos. Consulte Reconhecendo as diferenças entre Rastreamento de Malware e análise de reputação de hash.

Defender para Armazenamento não acessa os dados da conta de armazenamento e não afeta seu desempenho. Você pode habilitar o Microsoft Defender para Armazenamento no nível da assinatura (recomendado) ou no nível do recurso.

Camadas de armazenamento

Arquivos do Azure oferece duas camadas de mídia de armazenamento: disco de estado sólido (SSD) e HDD (disco rígido). Essas camadas permitem que você adapte seus compartilhamentos aos requisitos de desempenho e preço do seu cenário:

• SSD (premium): os compartilhamentos de arquivos SSD fornecem alto desempenho consistente e baixa latência, dentro de milissegundos de dígito único para a maioria das operações de E/S, para cargas de trabalho com uso intensivo de E/S. Os compartilhamentos de arquivos SSD são adequados para uma ampla variedade de cargas de trabalho, como bancos de dados, hospedagem de sites e ambientes de desenvolvimento.

  Você pode usar compartilhamentos de arquivos SSD com os protocolos SMB e NFS. Os compartilhamentos de arquivos SSD estão disponíveis nos modelos de cobrança provisionados v2 e provisionados v1. Os compartilhamentos de arquivos SSD oferecem um SLA de maior disponibilidade do que os compartilhamentos de arquivos HDD.

• HDD (padrão): os compartilhamentos de arquivos em HDD oferecem uma opção de armazenamento econômica para compartilhamentos de arquivos de uso geral. Os compartilhamentos de arquivos HDD estão disponíveis nos modelos de cobrança provisionados v2 e de pagamento conforme o uso, embora recomendemos o modelo provisionado v2 para novas implantações de compartilhamentos de arquivos. Para obter informações sobre o SLA, consulte a página de SLA do Azure para serviços online.

Ao selecionar uma camada de mídia para sua carga de trabalho, considere seus requisitos de desempenho e uso. Se a carga de trabalho exigir latência de dígito único ou se você estiver usando a mídia de armazenamento SSD localmente, os compartilhamentos de arquivos SSD provavelmente serão os mais adequados. Se a baixa latência não for uma grande preocupação, os compartilhamentos de arquivos HDD poderão ser mais adequados de uma perspectiva de custo. Por exemplo, a baixa latência pode ser menos preocupante em compartilhamentos de equipe montados localmente a partir do Azure ou armazenados em cache localmente por meio da Sincronização de Arquivos do Azure.

Depois de criar um compartilhamento de arquivo em uma conta de armazenamento, você não poderá movê-lo diretamente para uma camada de mídia diferente. Por exemplo, para mover um compartilhamento de arquivo HDD para a camada de mídia SSD, você deve criar um novo compartilhamento de arquivo SSD e copiar os dados do compartilhamento original para o novo compartilhamento de arquivo.

Você pode encontrar mais informações sobre as camadas de mídia SSD e HDD em Entenda os modelos de cobrança do Arquivos do Azure e Entenda e otimize o desempenho dos compartilhamentos de arquivos do Azure.

Redundância

Para ajudar a proteger dados nos seus compartilhamentos de arquivos do Azure contra perda ou corrupção de dados, o Arquivos do Azure armazena várias cópias de cada arquivo conforme são gravados. Dependendo de seus requisitos, você pode selecionar graus de redundância. Arquivos do Azure atualmente dá suporte às seguintes opções de redundância de dados:

• LRS (armazenamento com redundância local): com redundância local, cada arquivo é armazenado três vezes em um cluster de armazenamento Azure. Essa abordagem ajuda a proteger contra perda de dados devido a falhas de hardware, como uma unidade de disco inválido. No entanto, se ocorrer um desastre como incêndio ou inundação no datacenter, todas as réplicas de uma conta de armazenamento que usa LRS poderão ser perdidas ou irrecuperáveis.

• ZRS (armazenamento com redundância de zona): com redundância de zona, três cópias de cada arquivo são armazenadas. No entanto, essas cópias são isoladas fisicamente em três clusters de armazenamento distintos em availability zones do Azure. As zonas de disponibilidade são locais físicos exclusivos em uma região Azure. Cada zona é composta por um ou mais datacenters equipados com energia, resfriamento e rede independentes. Uma gravação no armazenamento não será aceita até que seja gravada nos clusters de armazenamento de todas as três zonas de disponibilidade.

• GRS (armazenamento com redundância geográfica): com redundância geográfica, você tem uma região primária e uma região secundária. Os arquivos são armazenados três vezes em um cluster de armazenamento Azure na região primária. As escritas são replicadas de forma assíncrona para uma região secundária definida pela Microsoft.

  A redundância geográfica fornece seis cópias de seus dados distribuídos entre as duas regiões Azure. Se ocorrer um grande desastre, como a perda permanente de uma região Azure devido a um desastre natural ou outro evento semelhante, Microsoft executará um failover. Nesse caso, o secundário se torna o primário e atende a todas as operações.

  Como a replicação entre as regiões primária e secundária é assíncrona, em caso de um grande desastre, os dados que ainda não foram replicados para a região secundária serão perdidos. Também será possível executar um failover manual de uma conta de armazenamento com redundância geográfica.

• GZRS (armazenamento com redundância de zona geográfica):: com redundância de zona geográfica, os arquivos são armazenados três vezes em três clusters de armazenamento distintos na região primária. Todas as escritas são replicadas de forma assíncrona em uma região secundária definida pela Microsoft. O processo de failover para redundância de zona geográfica funciona da mesma forma que funciona para redundância geográfica.

Os compartilhamentos de arquivos HDD dão suporte a todos os quatro tipos de redundância. Os compartilhamentos de arquivos SSD dão suporte apenas a LRS e ZRS.

As contas de armazenamento de pagamento conforme o uso fornecem duas outras opções de redundância que os Arquivos do Azure não dão suporte: armazenamento com redundância geográfica de acesso de leitura (RA-GRS) e armazenamento com redundância de zona geográfica de acesso de leitura (RA-GZRS). Você pode provisionar compartilhamentos de arquivos do Azure em contas de armazenamento com essas opções aplicadas, mas o Arquivos do Azure não oferece suporte para leitura da região secundária. Os compartilhamentos de arquivos do Azure implantados em contas de armazenamento RA-GRS ou RA-GZRS são cobrados como com redundância geográfica ou com redundância de zona geográfica, respectivamente.

Para obter mais informações sobre redundância, consulte Arquivos do Azure redundância de dados.

Disponibilidade de compartilhamentos de arquivos de SSD com zona redundante

Compartilhamentos de arquivos SSD com redundância de zona estão disponíveis para um subconjunto de regiões do Azure.

Recuperação de desastre e failover

No caso de uma interrupção de serviço regional não planejada, você deve ter um plano de recuperação de desastre (DR) em vigor para seus compartilhamentos de arquivos Azure. Para entender os conceitos e processos envolvidos com a DR e o failover da conta de armazenamento, consulte Recuperação de desastres e failover para o Arquivos do Azure.

Migração

Em muitos casos, você não estabelecerá um compartilhamento de arquivos completamente novo para sua organização, mas migrará um compartilhamento de arquivos existente de um servidor de arquivos local ou dispositivo NAS para o Arquivos do Azure. Escolher a estratégia e a ferramenta de migração corretas é importante para o sucesso da sua migração.

Para migrações SMB, consulte a visão geral da migração SMB que contém uma tabela que leva você a guias de migração que provavelmente abrangem seu cenário.

Para migrações NFS, consulte Migrar para compartilhamentos de arquivos NFS do Azure.

Próximas etapas

• Plano para uma implantação de Sincronização de Arquivos do Azure
• Implantar arquivos do Azure
• Implantar a Sincronização de Arquivos do Azure