Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Aplica-se a: ✔️ partilhas de ficheiros SMB
Este artigo explica como pode usar autenticação baseada em identidade, seja on-premises ou no Azure, para permitir o acesso baseado em identidade ao protocolo Ficheiros do Azure over Server Message Block (SMB). Tal como nos servidores de ficheiros do Windows, pode conceder permissões a uma identidade ao nível de partilha, diretório ou ficheiro. Não há qualquer custo extra de serviço para ativar a autenticação baseada em identidade na sua conta de armazenamento.
O Ficheiros do Azure suporta autenticação baseada em identidade sobre SMB para clientes Windows, Linux e macOS. Para configurar clientes Linux, consulte Configurar clientes Linux para Ficheiros do Azure com AD DS local ou Configurar clientes Linux para Ficheiros do Azure com Microsoft Entra Domain Services. O Ficheiros do Azure atualmente não suporta autenticação baseada em identidade para partilhas de ficheiros do Network File System (NFS).
Por que usar autenticação baseada em identidade?
Por razões de segurança, utilize autenticação baseada em identidade para aceder a partilhas de ficheiros SMB em vez da chave da conta de armazenamento. Também é mais conveniente do que usar chaves de conta de armazenamento em muitos cenários:
A utilização de autenticação baseada em identidade proporciona uma experiência de migração fluida ao substituir servidores de ficheiros on-premises, permitindo que os utilizadores finais continuem a aceder aos seus dados com as mesmas credenciais.
A autenticação baseada em identidade elimina a necessidade de alterar o seu serviço de diretório ao mover aplicações para a cloud, acelerando a adoção na cloud.
Para cenários de DR de partilha de ficheiros, pode configurar a autenticação baseada em identidade para suportar a aplicação adequada do controlo de acesso em caso de failover.
Como funciona
O Ficheiros do Azure utiliza o protocolo Kerberos para autenticar com uma fonte de identidade. Quando uma identidade associada a um utilizador ou aplicação a correr num cliente tenta aceder a dados no Ficheiros do Azure, o pedido é enviado para a fonte da identidade para autenticar a identidade. Se a autenticação for bem-sucedida, a fonte de identidade retorna um ticket Kerberos. O cliente envia então um pedido que inclui o ticket do Kerberos, e o Ficheiros do Azure usa esse ticket para autorizar o pedido. O serviço Ficheiros do Azure só recebe o ticket do Kerberos, não as credenciais de acesso do utilizador.
As três fontes de identidade exigem que o Kerberos esteja ativado em métodos de autenticação nas definições de segurança SMB da conta de armazenamento. Para instruções, consulte as definições de segurança SMB.
Escolha uma fonte de identidade para sua conta de armazenamento
Antes de ativar a autenticação baseada em identidade na sua conta de armazenamento, decida qual a fonte de identidade a usar. A maioria das empresas e organizações tem algum tipo de ambiente de domínio configurado, por isso provavelmente já tens um. Consulte o seu Active Directory (AD) ou o administrador de TI para ter a certeza. Se ainda não tiver uma fonte de identidade, precisa de configurar uma antes de poder ativar a autenticação baseada em identidade.
Cenários de autenticação suportados
Pode ativar a autenticação baseada em identidade sobre SMB usando uma de três fontes de identidade:
Use a tabela seguinte para escolher uma fonte de identidade.
| Fonte de Identidade | Melhor ajuste | Identidades e clientes | Requisitos chave |
|---|---|---|---|
| AD DS | Organizações com um ambiente AD DS já existente e clientes que conseguem aceder aos seus controladores de domínio | Utilizadores de AD DS no Windows e Linux | Sincronizar identidades com o Microsoft Entra ID para permissões de partilha específicas de utilizadores e grupos. Os clientes devem aceder aos controladores de domínio. Gerir permissões de ficheiros e diretórios a partir de um cliente Windows usando o Explorador de Ficheiros ou icacls. |
| Microsoft Entra Domain Services | Organizações que já utilizam ou precisam de um domínio gerido no Azure | Identidades apenas cloud ou híbridas no Windows e Linux | Juntar clientes ao domínio gerido e fornecer conectividade aos seus controladores de domínio. Gerir permissões de ficheiros e diretórios a partir de um cliente Windows usando o Explorador de Ficheiros ou icacls. |
| Microsoft Entra Kerberos | Ambientes prioritariamente na cloud ou híbridos/mistos, clientes associados ao Microsoft Entra, perfis FSLogix, clientes com macOS ou clientes sem conectividade com controladores de domínio | Identidades híbridas ou exclusivamente na cloud no Windows e macOS (pré-visualização). A autenticação de utilizadores Linux não é suportada. | Os clientes não precisam de conectividade controladora de domínio para autenticação. Exclua a aplicação da conta de armazenamento das políticas aplicáveis de autenticação multifator (MFA). Para identidades apenas na cloud, gere permissões de ficheiros e diretórios usando o portal Azure ou RestSetAcls. As organizações com uma combinação de clientes cloud-first/cloud-only e clientes associados a ambientes no local devem configurar os clientes no local com confiança na cloud e configurar os clientes cloud-first/cloud-only para utilizarem o Microsoft Entra Kerberos. |
Para aplicações e cargas de trabalho de computação do Azure que necessitam de acesso SMB sem chaves, considere utilizar uma identidade gerida. A identidade gerida é separada das três fontes de identidade de utilizador e pode coexistir com a autenticação baseada em identidade de utilizador na mesma conta de armazenamento.
Depois de escolher uma fonte de identidade:
- Ativa a fonte de identidade na conta de armazenamento.
- Atribuir permissões a nível de partilha.
- Configurar permissões de ficheiros e diretórios.
- Configurar o acesso à rede e o DNS.
- Prepare os clientes e monte a partilha de ficheiros.
A autenticação é apenas uma parte do acesso. Para aceder a um ficheiro ou diretório, a identidade necessita de permissão ao nível de partilha e da permissão adequada de ficheiro ou diretório. Configure a conectividade de rede separadamente.
Sugestão
Podes alterar a fonte de identidade numa conta de armazenamento mais tarde se os teus requisitos mudarem. Por exemplo, se estiver a migrar de AD DS on-premises para identidades apenas cloud ou híbridas suportadas pelo Microsoft Entra ID, pode migrar a conta de armazenamento do AD DS para a autenticação Microsoft Entra Kerberos. Alterar a fonte de identidade interrompe temporariamente o acesso baseado em identidade a todas as partilhas de ficheiros na conta de armazenamento. Para orientação, consulte Alterar a fonte de identidade para partilhas de ficheiros Azure.
Ative uma fonte de identidade na sua conta de armazenamento
Depois de escolheres uma fonte de identidade, ativa-a na tua conta de armazenamento.
AD DS
Para autenticação AD DS, podes alojar os teus controladores de domínio AD em VMs Azure ou on-premises. De qualquer forma, seus clientes devem ter conectividade de rede desimpedida com o controlador de domínio, portanto, eles devem estar dentro da rede corporativa ou rede virtual (VNET) do seu serviço de domínio. Recomendamos ingressar no domínio de suas máquinas cliente ou VMs para que os usuários não precisem fornecer credenciais explícitas cada vez que acessarem o compartilhamento.
O diagrama seguinte mostra a autenticação do AD DS on-premises para as partilhas de ficheiros do Azure via SMB. Deve sincronizar o AD DS local para o Microsoft Entra ID utilizando o Microsoft Entra Connect Sync ou o Microsoft Entra Connect cloud sync. Apenas identidades híbridas de utilizador que existam tanto no AD DS on-premises como no Microsoft Entra ID podem ser autenticadas e autorizadas para acesso a partilha de ficheiros no Azure. Este requisito existe porque configura a permissão ao nível da partilha para a identidade representada no Microsoft Entra ID, enquanto a permissão ao nível do diretório e do ficheiro é aplicada com base nessa identidade no AD DS. Configure corretamente as permissões para o mesmo utilizador híbrido.
Para ativar a autenticação AD DS, leia primeiro Visão Geral - autenticação do Active Directory Domain Services local sobre SMB para partilhas de ficheiros do Azure e depois veja Ativar autenticação AD DS para partilhas de ficheiros do Azure.
Microsoft Entra Kerberos
Ao ativar e configurar o Microsoft Entra ID para autenticar identidades híbridas ou apenas cloud, os utilizadores do Microsoft Entra podem aceder a partilhas de ficheiros do Azure através da autenticação Kerberos. Esta configuração utiliza o Microsoft Entra ID para emitir os tickets Kerberos para aceder à partilha de ficheiros utilizando o protocolo padrão da indústria SMB. Isto significa que os utilizadores finais podem aceder a partilhas de ficheiros do Azure sem necessidade de conectividade de rede aos controladores de domínio.
Importante
Para usar o Microsoft Entra Kerberos para autenticar identidades híbridas, é necessária uma implementação tradicional do AD DS. Tem de sincronizá-lo com o Microsoft Entra ID utilizando o Microsoft Entra Connect Sync ou o Microsoft Entra Connect cloud sync. Os clientes têm de estar associados ao Microsoft Entra ID ou associados de forma híbrida ao Microsoft Entra ID.
O diagrama seguinte representa o fluxo de trabalho para a autenticação Microsoft Entra Kerberos para identidades híbridas (ou seja, não apenas cloud) sobre PME.
Para obter mais informações, consulte Configurar a autenticação Kerberos do Microsoft Entra no Ficheiros do Azure.
Também pode usar esta funcionalidade para armazenar perfis FSLogix em partilhas de ficheiros Azure para VMs ligadas ao Microsoft Entra. Para mais informações, veja Armazenamento de contentores de perfis FSLogix em Ficheiros do Azure usando o Microsoft Entra ID.
Microsoft Entra Domain Services
Para a autenticação do Microsoft Entra Domain Services, deve ativar o Microsoft Entra Domain Services e juntar as máquinas virtuais ao domínio. Estas máquinas virtuais acedem às partilhas de ficheiros do Azure através da autenticação Kerberos. Estas máquinas virtuais necessitam de conectividade de rede ao domínio gerido Microsoft Entra Domain Services.
O fluxo de autenticação é semelhante à autenticação AD DS local, com as seguintes diferenças:
- O processo cria automaticamente a identidade da conta de armazenamento durante a ativação.
- Todos os utilizadores do Microsoft Entra ID podem autenticar-se e ser autorizados. Os utilizadores podem ser apenas de nuvem ou híbridos. A plataforma gere a sincronização de utilizadores do Microsoft Entra ID para o Microsoft Entra Domain Services.
Requisitos de acesso para Microsoft Entra Domain Services
Os clientes devem cumprir os seguintes requisitos para se autenticarem utilizando a autenticação dos Serviços de Domínio.
- A autenticação Kerberos requer que o cliente esteja ligado ao domínio gerido pelos Serviços de Domínio.
- Clientes não-Azure não podem ser ligados ao domínio gerido pelos Serviços de Domínio.
- Clientes que não estão unidos ao domínio ainda podem aceder a partilhas de ficheiros do Azure usando credenciais explícitas apenas se o cliente tiver conectividade de rede sem impedimentos aos controladores de domínio dos Serviços de Domínio, por exemplo através de VPN ou outras ligações suportadas.
Para mais informações, consulte Habilitar a autenticação de Microsoft Entra Domain Services no Ficheiros do Azure.