Mover recursos de sincronização de ficheiros do Azure para um grupo de recursos diferente, subscrição ou para um locatário do Microsoft Entra

Este artigo descreve como fazer alterações no grupo de recursos, na subscrição ou no tenant do Microsoft Entra para os recursos de nuvem do Azure File Sync e contas de armazenamento do Azure.

Ao planejar fazer alterações nos recursos de nuvem do Azure File Sync, é importante considerar os recursos de armazenamento ao mesmo tempo. Existem os seguintes recursos:

Recursos do Azure File Sync (em ordem hierárquica)

  • Serviço de sincronização de armazenamento
    • Servidor registado
    • Grupo de sincronização
      • Ponto de extremidade na nuvem
      • Ponto de extremidade do servidor

Na Sincronização de Arquivos do Azure, o único recurso capaz de se mover é o recurso do Serviço de Sincronização de Armazenamento. Todos os subrecursos estão vinculados ao seu recurso principal e não podem ser transferidos para um outro Serviço de Armazenamento em Sincronização.

Recursos de armazenamento do Azure (em ordem hierárquica)

  • Conta de armazenamento
    • Partilha de ficheiros

O único recurso capaz de se mover é a conta de armazenamento. Um compartilhamento de arquivos do Azure, como um subrecurso, não pode ser movido para uma conta de armazenamento diferente.

Combinações suportadas

Ao planear uma transferência de recurso, as contas de armazenamento e o recurso de topo do Azure File Sync, chamado Storage Sync Service, devem ser considerados em conjunto.

Como prática recomendada, o Serviço de Sincronização de Armazenamento e as contas de armazenamento com compartilhamentos de arquivos de sincronização devem sempre residir na mesma assinatura. Estas combinações são suportadas:

  • O Serviço de Sincronização de Armazenamento e as contas de armazenamento estão localizados em grupos de recursos diferentes (mesmo locatário do Azure)
  • O Serviço de Sincronização de Armazenamento e as contas de armazenamento encontram-se em assinaturas diferentes (mesmo tenant Azure)

Importante

Por meio de diferentes combinações de movimentos, um Serviço de Sincronização de Armazenamento e contas de armazenamento podem acabar em assinaturas diferentes, governadas por diferentes locatários do Microsoft Entra. A sincronização até parece estar funcionando, mas essa não é uma configuração suportada. A sincronização pode parar no futuro, sem capacidade de voltar a um estado funcional.

Ao planear o teu movimento de recursos, escolhe a secção que corresponde ao teu cenário:

Ao planejar sua movimentação de recursos, há considerações diferentes para mover dentro do mesmo locatário do Microsoft Entra e passar para um locatário diferente do Microsoft Entra. Ao mover locatários do Microsoft Entra, sempre mova os recursos de sincronização e armazenamento juntos.

Mover dentro do mesmo locatário do Microsoft Entra

Uma imagem mostrando o portal do Azure para um recurso do Serviço de Sincronização de Armazenamento, com o comando Mover expandido. Ele mostra as opções de movimentação do grupo de recursos e movimentação de assinatura.

Uma maneira conveniente de mover um recurso do Serviço de Sincronização de Armazenamento é usar o portal do Azure. Navegue até o Serviço de Sincronização de Armazenamento que deseja mover e selecione Mover na barra de comandos. As mesmas etapas se aplicam à movimentação de uma conta de armazenamento. Você também pode mover todos os recursos em um grupo de recursos dessa maneira. Mover um grupo de recursos inteiro é recomendado quando você tem o Serviço de Sincronização de Armazenamento e todas as suas contas de armazenamento usadas nesse grupo de recursos.

Depois de concluir a mudança, reautorize o acesso sincronizado às suas contas de armazenamento. Veja autorização de acesso ao armazenamento Azure File Sync.

Mover para um novo tenant do Microsoft Entra

Recursos individuais, como um Serviço de Sincronização de Armazenamento ou uma conta de armazenamento, não podem ser movidos sozinhos para um locatário diferente do Microsoft Entra. Apenas as subscrições do Azure podem ser transferidas entre tenants do Microsoft Entra. Pense na estrutura da sua subscrição no novo hospedeiro do Microsoft Entra. Você pode usar uma assinatura dedicada para o Azure File Sync.

  1. Crie uma assinatura do Azure (ou determine uma existente no locatário antigo que deve ser movida).
  2. Execute uma movimentação de assinatura dentro do mesmo locatário do Microsoft Entra do seu Serviço de Sincronização de Armazenamento e de todas as contas de armazenamento associadas.
  3. A sincronização será interrompida. Conclua a movimentação do locatário imediatamente ou restaure a capacidade da sincronização de acessar as contas de armazenamento que foram movidas. Em seguida, poderás mover-te para o novo inquilino do Microsoft Entra mais tarde.

Depois de sequestrar todos os recursos relacionados do Azure File Sync para a sua própria subscrição, está pronto para transferir toda a subscrição para o inquilino Microsoft Entra alvo. O guia de subscrição de transferência ajuda-o a planear e executar essa transferência.

Uma imagem mostrando o portal do Azure, folha Visão Geral da Assinatura, destacando o comando Alterar barra de ferramentas do diretório no centro, na parte superior da página.

Você estará pronto para iniciar a migração assim que tiver um plano e as permissões necessárias:

  1. No portal do Azure, navegue até o painel Visão geral da sua subscrição.
  2. Selecione Alterar diretório.
  3. Siga as etapas do assistente para atribuir a nova instância do Microsoft Entra.

Depois de concluir a mudança, reautorize o acesso sincronizado às suas contas de armazenamento. Veja autorização de acesso ao armazenamento Azure File Sync.

Autorização de acesso ao armazenamento do Azure File Sync

Quando as contas de armazenamento são movidas para uma nova assinatura ou são movidas dentro de uma assinatura para um novo locatário do Microsoft Entra, a sincronização será interrompida. O RBAC (controle de acesso baseado em função) é usado para autorizar o Azure File Sync a acessar uma conta de armazenamento, e essas atribuições de função não são migradas com os recursos.

Entidade de serviço do Azure File Sync

Uma imagem mostrando o portal do Azure, gerenciamento de assinaturas, provedores de recursos registrados.

O principal de serviço do Azure File Sync deve existir no seu inquilino do Microsoft Entra antes que você possa autorizar o acesso de sincronização com uma conta de armazenamento.

Quando você cria uma nova assinatura do Azure hoje, o provedor de recursos do Azure File Sync Microsoft.StorageSync é registrado automaticamente com sua assinatura. O registo do fornecedor de recursos disponibiliza um principal de serviço para sincronização no tenant Microsoft Entra que regula a subscrição. Um principal de serviço é semelhante a uma conta de utilizador no Microsoft Entra ID. Você pode usar o principal de serviço do Azure File Sync para autorizar o acesso a recursos por meio do controle de acesso baseado em função (RBAC). Os únicos recursos que a sincronização precisa acessar são suas contas de armazenamento que contêm os compartilhamentos de arquivos que devem ser sincronizados. Microsoft.StorageSync deve ser atribuído à função interna Leitor e Acesso a dados na conta de armazenamento.

Essa atribuição é feita automaticamente por meio do contexto de usuário do usuário conectado quando você adiciona um compartilhamento de arquivos a um grupo de sincronização ou, em outras palavras, cria um ponto de extremidade na nuvem. Quando uma conta de armazenamento é movida para uma nova assinatura ou locatário do Microsoft Entra, essa atribuição de função é perdida e deve ser restabelecida manualmente.

Importante

Se a assinatura do Azure de destino não tiver sido criada recentemente, verifique se o provedor de recursos Microsoft.StorageSync está registrado com a assinatura. Se não estiver, adicione-o manualmente na mesma folha do portal.

Estabelecer acesso de sincronização a uma conta de armazenamento

A entidade de serviço do Azure File Sync deve ser usada para autorizar o acesso a uma conta de armazenamento por meio do RBAC (controle de acesso baseado em função). Microsoft.StorageSync deve ser atribuído à função interna Leitor e Acesso a dados na conta de armazenamento.

Essa atribuição geralmente é feita automaticamente por meio do contexto de usuário do usuário conectado quando você adiciona um compartilhamento de arquivos a um grupo de sincronização ou, em outras palavras, cria um ponto de extremidade na nuvem. No entanto, quando uma conta de armazenamento é movida para uma nova subscrição ou locatário do Microsoft Entra, essa atribuição de função perde-se e deve ser restabelecida manualmente.

Uma imagem exibindo o principal de serviço Microsoft.StorageSync atribuído à função Leitor e Acesso a Dados numa conta de armazenamento.

  1. Entre no portal do Azure e navegue até a conta de armazenamento à qual você precisa reautorizar o acesso de sincronização.
  2. Selecione Controle de acesso (IAM) no sumário à esquerda.
  3. Selecione a guia Atribuições de função para listar os usuários e aplicativos (entidades de serviço) que têm acesso à sua conta de armazenamento.
  4. Selecione Adicionar.
  5. Na guia Função , pesquise e selecione a função Leitor e Acesso a Dados .
  6. Na guia Membros , tenha Acesso atribuído a selecionado como Usuário, grupo ou entidade de serviço, clique em Selecionar membros e, no campo Selecionar, digite Microsoft.StorageSync. Selecione a função e selecione Salvar. Se a entidade de serviço Microsoft.StorageSync não for encontrada, digite Serviço de Sincronização de Arquivos Híbridos (nome da entidade de serviço antiga), selecione a função e selecione Salvar.

Restauração do acesso para topologia de identidade gerida

Esta secção aplica-se quando utiliza identidades geridas para autorizar o acesso Azure File Sync a contas de armazenamento, em vez de usar a abordagem principal de serviço descrita na autorização de acesso ao armazenamento Azure File Sync.

Se ativares identidades geridas e moveres recursos de armazenamento para outro tenant, a sincronização para. Identidades geridas e funções RBAC não se transferem. Depois de concluir a transferência de recursos, reative as identidades geridas e reatribua os papéis RBAC.

Importante

Mesmo quando transfere recursos dentro do mesmo inquilino Microsoft Entra, as atribuições de funções RBAC não avançam com os recursos. Você deve recriá-los manualmente após a mudança para restaurar o acesso de sincronização. Embora o sistema remova automaticamente as atribuições de funções órfãs, remova-as antes da mudança para manter uma configuração limpa.

Depois de mover o seu Serviço de Sincronização de Armazenamento, use o PowerShell para atribuir novas identidades geridas.

Set-AzStorageSyncService -ResourceGroupName <ResourceGroupName> -Name <ManagedIdentityName> -IdentityType <IdentityType>

Quando vir o novo SPN, pode ir ao portal para criar as atribuições de funções nas Contas de Armazenamento e Partilhas de Ficheiros de Conta de Armazenamento.

Para saber mais sobre como gerenciar atribuições de função, consulte Listar atribuições de função do Azure e Atribuir funções do Azure.

Mover para uma região diferente do Azure

O recurso de Sincronização de Ficheiros do Azure Storage Sync Service e as contas de armazenamento que contêm partilhas de ficheiros que estão a sincronizar têm uma região do Azure onde estão implantados. Você determina essa região ao criar um recurso. A região do Serviço de Sincronização de Armazenamento e os recursos da conta de armazenamento devem corresponder. Essas regiões não podem ser alteradas em nenhum dos tipos de recursos após sua criação.

Para te moveres eficazmente para outra região do Azure, desprovisiona os teus recursos e contas de armazenamento atuais do Azure File Sync. Depois, disponibilize novos recursos na região alvo e restabelece a sincronização. Para passos detalhados de desprovisionamento, veja Modify Azure File Sync topology.

Atribuir uma região diferente a um recurso é diferente de um failover regional, que pode ser suportado dependendo da configuração de redundância da conta de armazenamento.

Failover de região

O Ficheiros do Azure oferece opções de redundância geográfica para contas de armazenamento. A geo-redundância é uma opção válida e recomendada para proteger contra desastres regionais. No entanto, há uma consideração importante ao usar a geo-redundância com o Azure File Sync: o subsistema de armazenamento do Azure realiza replicação de armazenamento entre regiões, independentemente do Azure File Sync. Como o Azure File Sync sincroniza continuamente ficheiros de e para partilhas de ficheiros do Azure, a camada de replicação de armazenamento não tem visibilidade sobre o estado de sincronização. Esta condição significa que, se ocorrer um failover antes de todas as operações de sincronização em curso serem replicadas para a região secundária, pode haver perda de dados ou inconsistências na secundária. Em funcionamento normal, a geo-redundância não causa perda de dados. O risco é específico da janela durante um evento de failover.

Atenção

O failover nunca é uma alternativa apropriada para o aprovisionamento dos seus recursos na região correta do Azure. Se seus recursos estiverem na região "errada", você precisará considerar interromper a sincronização e configurar a sincronização novamente para novos compartilhamentos de arquivos do Azure implantados na região desejada.

Um failover regional pode ser iniciado pela Microsoft em um evento catastrófico que tornará os data centers em uma região do Azure incapacitados por um longo período de tempo. A definição de tempo de inatividade que sua empresa pode suportar pode ser menor do que o tempo que a Microsoft está preparada para deixar passar antes de iniciar um failover regional. Para uma situação como essa, os failovers também podem ser iniciados pelos clientes.

Importante

Em caso de failover, abra um pedido de suporte para os seus Serviços de Sincronização de Armazenamento afetados para que a sincronização volte a funcionar.

Ver também

  • Last updated on