Como usar identidades gerenciadas com o Azure File Sync

• O agente do Azure File Sync versão 20.0.0.0 ou posterior deve ser instalado no servidor registrado.

• Nas suas contas de armazenamento utilizadas pela Sincronização de Ficheiros do Azure, tem de ser membro da função de gestão de Administrador ou Proprietário da Sincronização de Ficheiros do Azure ou ter permissões "Microsoft.Authorization/roleassignments/write".

  Ao atribuir a função de Administrador de Sincronização de Arquivos do Azure, siga estas etapas para garantir o menor privilégio.

  1. Na guia Condições, selecione Permitir que os usuários atribuam funções selecionadas apenas a entidades selecionadas (menos privilégios).

  2. Clique em Selecionar Funções e Principais e, em seguida, selecione Adicionar Ação na Condição #1.

  3. Selecione Criar atribuição de função e clique em Selecionar.

  4. Selecione Adicionar expressão e, em seguida, selecione Solicitar.

  5. Em Origem do Atributo, selecione ID da Definição de Função em Atributo e, em seguida, selecione ForAnyOfAnyValues:GuidEquals em Operador.

  6. Selecione Adicionar funções. Adicione as funções Leitor e Acesso a Dados, Colaborador Privilegiado de Dados de Arquivo de Armazenamento e Colaborador de Conta de Armazenamento e selecione Salvar.

• O agente do Azure File Sync versão 20.0.0.0 ou posterior deve ser instalado no servidor registrado.

• Nas suas contas de armazenamento utilizadas pela Sincronização de Ficheiros do Azure, tem de ser membro da função de gestão de Administrador ou Proprietário da Sincronização de Ficheiros do Azure ou ter permissões "Microsoft.Authorization/roleassignments/write".

  Ao atribuir a função de Administrador de Sincronização de Arquivos do Azure, siga estas etapas para garantir o menor privilégio.

  1. Na guia Condições, selecione Permitir que os usuários atribuam funções selecionadas apenas a entidades selecionadas (menos privilégios).

  2. Clique em Selecionar Funções e Principais e, em seguida, selecione Adicionar Ação na Condição #1.

  3. Selecione Criar atribuição de função e clique em Selecionar.

  4. Selecione Adicionar expressão e, em seguida, selecione Solicitar.

  5. Em Origem do Atributo, selecione ID da Definição de Função em Atributo e, em seguida, selecione ForAnyOfAnyValues:GuidEquals em Operador.

  6. Selecione Adicionar funções. Adicione as funções Leitor e Acesso a Dados, Colaborador Privilegiado de Dados de Arquivo de Armazenamento e Colaborador de Conta de Armazenamento e selecione Salvar.

• Az.StorageSync PowerShell módulo versão 2.5.0 ou posterior deve ser instalado na máquina que será usada para configurar o Azure File Sync para usar identidades gerenciadas. Para instalar o módulo Az.StorageSync PowerShell mais recente, execute o seguinte comando em uma janela elevada do PowerShell:

  Install-Module Az.StorageSync -Force
  

Para verificar se os seus servidores registados têm uma identidade gerida atribuída pelo sistema, siga estes passos no portal Azure:

1. Vá para o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade gerenciada.

2. Na seção Servidores Registrados , selecione o bloco Pronto para usar ID gerenciado . Esse bloco exibe uma lista de servidores que têm uma identidade gerenciada atribuída ao sistema. Se o servidor não estiver listado, execute as etapas para Habilitar uma identidade gerenciada atribuída pelo sistema em seus servidores registrados.

Para verificar se seus servidores registrados têm uma identidade gerenciada atribuída ao sistema, execute o seguinte comando do PowerShell:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Verifique se a propriedade LatestApplicationId tem um GUID que indica que o servidor tem uma identidade gerenciada atribuída ao sistema, mas não está configurado atualmente para usar a identidade gerenciada.

Se o valor da propriedade ActiveAuthType for Certificate e LatestApplicationId não tiver um GUID, o servidor não terá uma identidade gerenciada atribuída pelo sistema e usará chaves compartilhadas para autenticar no compartilhamento de arquivos do Azure.

Para configurar o Serviço de Sincronização de Armazenamento e os servidores registados para utilizarem identidades geridas atribuídas pelo sistema, siga estes passos no portal Azure:

1. Vá para o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade gerenciada.

2. Selecione Ativar identidade gerenciada para iniciar a configuração.

As etapas a seguir são executadas e levarão vários minutos (ou mais para topologias grandes) para serem concluídas:

• Habilita uma identidade gerenciada atribuída pelo sistema para o recurso do Serviço de Sincronização de Armazenamento.

• Concede ao Storage Sync Service acesso de identidade gerenciada atribuída pelo sistema às suas Contas de Armazenamento (função de Colaborador da Conta de Armazenamento).

• Concede ao Serviço de Sincronização de Armazenamento acesso de identidade gerenciada atribuída pelo sistema aos seus compartilhamentos de arquivos do Azure (função de Colaborador Privilegiado de Dados do Arquivo de Armazenamento).

• Concede ao(s) servidor(es) registrado(s) atribuído pelo sistema acesso de identidade gerenciada aos compartilhamentos de arquivos do Azure (função de Colaborador Privilegiado de Dados de Arquivo de Armazenamento).

• Configura o Serviço de Sincronização de Armazenamento para usar a identidade gerenciada atribuída ao sistema.

• Configura o(s) servidor(es) registrado(s) para usar a identidade gerenciada atribuída ao sistema.

Para configurar o Serviço de Sincronização de Armazenamento e os servidores registrados para usar identidades gerenciadas atribuídas pelo sistema, execute o seguinte comando em uma janela elevada do PowerShell:

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

O cmdlet Set-AzStorageSyncServiceIdentity executa as seguintes etapas para você e levará vários minutos (ou mais para topologias grandes) para ser concluído:

• Habilita uma identidade gerenciada atribuída pelo sistema para o recurso do Serviço de Sincronização de Armazenamento.
• Concede ao Storage Sync Service acesso de identidade gerenciada atribuída pelo sistema às suas Contas de Armazenamento (função de Colaborador da Conta de Armazenamento).
• Concede ao Serviço de Sincronização de Armazenamento acesso de identidade gerenciada atribuída pelo sistema aos seus compartilhamentos de arquivos do Azure (função de Colaborador Privilegiado de Dados do Arquivo de Armazenamento).
• Concede ao(s) servidor(es) registrado(s) atribuído pelo sistema acesso de identidade gerenciada aos compartilhamentos de arquivos do Azure (função de Colaborador Privilegiado de Dados de Arquivo de Armazenamento).
• Configura o Serviço de Sincronização de Armazenamento para usar a identidade gerenciada atribuída ao sistema.
• Configura o(s) servidor(es) registrado(s) para usar a identidade gerenciada atribuída ao sistema.

Use o cmdlet Set-AzStorageSyncServiceIdentity sempre que precisar configurar servidores registrados adicionais para usar identidades gerenciadas.

Para verificar se o Serviço de Sincronização de Armazenamento está a usar uma identidade gerida atribuída pelo sistema, siga estes passos no portal Azure:

1. Vá para o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade gerenciada.

2. Na seção Servidores Registrados , se você tiver pelo menos um servidor listado no bloco Usando ID Gerenciado , seu serviço será configurado para usar identidades gerenciadas.

Para verificar se o Serviço de Sincronização de Armazenamento está usando uma identidade gerenciada atribuída ao sistema, execute o seguinte comando em uma janela elevada do PowerShell:

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

Verifique se o valor da propriedade UseIdentity é True. Se o valor for False, o Serviço de Sincronização de Armazenamento está usando chaves compartilhadas para autenticar nos compartilhamentos de arquivos do Azure.

Para verificar se um servidor registado está configurado para usar uma identidade gerida atribuída pelo sistema, siga estes passos no portal Azure:

1. Vá para o Serviço de Sincronização de Armazenamento no portal do Azure, expanda Configurações e selecione Identidade gerenciada.

2. Na seção Servidores Registrados , selecione o bloco Usando ID Gerenciado e verifique se o servidor está listado.

Para verificar se um servidor registrado está configurado para usar uma identidade gerenciada atribuída ao sistema, execute o seguinte comando em uma janela elevada do PowerShell:

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

Verifique se a propriedade ApplicationId tem um GUID que indica que o servidor está configurado para usar a identidade gerenciada. O valor da propriedade ActiveAuthType atualiza para Managed Identity após o servidor utilizar a identidade gerida atribuída pelo sistema.