Kommentar
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Gäller för: ✔️ SMB-fildelningar
Den här artikeln beskriver hur du kan använda identitetsbaserad autentisering, antingen lokalt eller i Azure, för att aktivera identitetsbaserad åtkomst till Azure Files via SMB-protokollet (Server Message Block). Precis som Windows filservrar kan du bevilja behörigheter till en identitet på resurs-, katalog- eller filnivå. Det finns ingen extra tjänstavgift för att aktivera identitetsbaserad autentisering på ditt lagringskonto.
Azure Files stöder identitetsbaserad autentisering över SMB för Windows-, Linux- och macOS-klienter. För att konfigurera Linux-klienter, se Konfigurera Linux-klienter för Azure Files med lokal AD DS eller Konfigurera Linux-klienter för Azure Files med Microsoft Entra Domain Services. Azure Files stöder för närvarande inte identitetsbaserad autentisering för NFS-filresurser (Network File System).
Varför ska jag använda identitetsbaserad autentisering?
Av säkerhetsskäl använder du identitetsbaserad autentisering för att komma åt SMB-filresurser i stället för lagringskontonyckeln. Det är också enklare än att använda lagringskontonycklar i många scenarier:
Med identitetsbaserad autentisering får du en smidig migrering när du ersätter lokala filservrar, vilket gör att slutanvändarna kan fortsätta att komma åt sina data med samma autentiseringsuppgifter.
Identitetsbaserad autentisering eliminerar behovet av att ändra katalogtjänsten när du flyttar program till molnet, vilket påskyndar molnimplementeringen.
För dr-scenarier för filresurser kan du konfigurera identitetsbaserad autentisering för att stödja korrekt åtkomstkontroll vid redundansväxling.
Hur det fungerar
Azure Files använder Kerberos-protokollet för att autentisera med en identitetskälla. När en identitet som är associerad med en användare eller ett program som körs på en klient försöker komma åt data i Azure Files skickas begäran till identitetskällan för att autentisera identiteten. Om autentiseringen lyckas returnerar identitetskällan en Kerberos-biljett. Klienten skickar sedan en begäran som innehåller Kerberos-biljetten och Azure Files använder den biljetten för att auktorisera begäran. Tjänsten Azure Files tar bara emot Kerberos-biljetten, inte användarens åtkomstautentiseringsuppgifter.
Alla tre identitetskällor kräver att Kerberos aktiveras under autentiseringsmetoder i lagringskontots SMB-säkerhetsinställningar. För instruktioner, se SMB:s säkerhetsinställningar.
Välj en identitetskälla för ditt lagringskonto
Innan du aktiverar identitetsbaserad autentisering på ditt lagringskonto ska du bestämma vilken identitetskälla som ska användas. De flesta företag och organisationer har någon typ av domänmiljö konfigurerad, så du har förmodligen redan en. Kontakta din služba Active Directory (AD) eller IT-administratören för att vara säker. Om du inte redan har en identitetskälla måste du konfigurera en innan du kan aktivera identitetsbaserad autentisering.
Autentiseringsscenarier som stöds
Du kan aktivera identitetsbaserad autentisering via SMB med någon av tre identitetskällor:
Använd följande tabell för att välja en identitetskälla.
| Identitetskälla | Bästa passform | Identiteter och klienter | Viktiga krav |
|---|---|---|---|
| AD DS | Organisationer med en befintlig AD DS-miljö och klienter som kan nå dess domänkontrollanter | AD DS-användare på Windows och Linux | Synkronisera identiteter till Microsoft Entra ID för användar- och gruppspecifika delningsbehörigheter. Klienterna måste nå domänkontrollerna. Hantera fil- och katalogbehörigheter från en Windows-klient genom att använda Filutforskaren eller icacls. |
| Microsoft Entra Domain Services | Organisationer som redan använder eller behöver en hanterad domän i Azure | Endast moln- eller hybrididentiteter på Windows och Linux | Koppla klienter till den hanterade domänen och tillhandahåll anslutning till dess domänkontroller. Hantera fil- och katalogbehörigheter från en Windows-klient genom att använda Filutforskaren eller icacls. |
| Microsoft Entra Kerberos | Molnförsta- eller hybrid-/blandade miljöer, Microsoft Entra-anslutna klienter, FSLogix-profiler, macOS-klienter eller klienter utan domänkontrolleranslutning | Hybrid- eller molnidentiteter på Windows och macOS (förhandsvisning). Linux-användarautentisering stöds inte. | Klienter behöver inte domänkontrolleranslutning för autentisering. Uteslut lagringskontoapplikationen från tillämpliga multifaktorautentiseringspolicys (MFA). För molnidentiteter, hantera fil- och katalogbehörigheter genom att använda Azure-portalen eller RestSetAcls. Organisationer med en blandning av klienter som i första hand eller enbart är molnbaserade och lokalt domänanslutna klienter bör konfigurera de lokalt domänanslutna klienterna med cloud trust och konfigurera klienter som i första hand eller enbart är molnbaserade för att använda Microsoft Entra Kerberos. |
För applikationer och Azure-beräkningsarbetsbelastningar som behöver nyckellös SMB-åtkomst, överväg att använda en hanterad identitet. Managed identity är separat från de tre användaridentitetskällorna och kan samexistera med användaridentitetsbaserad autentisering på samma lagringskonto.
Efter att du valt en identitetskälla:
- Aktivera identitetskällan på lagringskontot.
- Tilldela behörigheter på delningsnivå.
- Konfigurera fil- och katalogbehörigheter.
- Konfigurera nätverksåtkomst och DNS.
- Förbered klienterna och montera fildelningen.
Autentisering är bara en del av åtkomsten. För att komma åt en fil eller katalog behöver identiteten behörighet på delningsnivå och lämplig fil- eller katalogbehörighet. Konfigurera nätverksanslutningen separat.
Tip
Du kan ändra identitetskällan på ett lagringskonto senare om dina krav ändras. Till exempel, om du går från lokal AD DS till molnbaserade eller hybrididentiteter som backas upp av Microsoft Entra ID, kan du migrera lagringskontot från AD DS till Microsoft Entra Kerberos-autentisering. Att ändra identitetskällan avbryter tillfälligt identitetsbaserad åtkomst till alla fildelningar i lagringskontot. För vägledning, se Byt identitetskälla för Azure-fildelningar.
Aktivera en identitetskälla på ditt lagringskonto
När du har valt en identitetskälla aktiverar du den på ditt lagringskonto.
AD DS
För AD DS-autentisering kan du vara värd för dina AD-domänkontrollanter på Azure virtuella datorer eller lokalt. Hur som helst måste dina klienter ha obehindrat nätverksanslutning till domänkontrollanten, så de måste vara inom företagsnätverket eller det virtuella nätverket (VNET) för domäntjänsten. Vi rekommenderar att du ansluter dina klientdatorer eller virtuella datorer till domänen, så att användarna inte behöver ange autentiseringsuppgifter varje gång de får åtkomst till delningen.
Följande diagram visar lokal AD DS-autentisering till Azure-filandelar via SMB. Du måste synka den lokala AD DS till Microsoft Entra ID genom att använda Microsoft Entra Connect Sync eller Microsoft Entra Connect cloud sync. Endast hybrida användaridentiteter som finns i både lokal AD DS och Microsoft Entra ID kan autentiseras och auktoriseras för åtkomst till Azure-fildelning. Detta krav finns eftersom du konfigurerar delningsnivåbehörigheten mot identiteten som representeras i Microsoft Entra ID, medan katalog- och filnivåbehörigheten upprätthålls med den i AD DS. Konfigurera behörigheterna korrekt för samma hybridanvändare.
Om du vill aktivera AD DS-autentisering läser du först Overview – lokal Doménové služby Active Directory autentisering via SMB för Azure filresurser och läser sedan Aktivera AD DS-autentisering för Azure filresurser.
Microsoft Entra Kerberos
Genom att aktivera och konfigurera Microsoft Entra ID för att autentisera hybrid- eller molnidentiteter kan Microsoft Entra-användare komma åt Azure-fildelningar genom att använda Kerberos-autentisering. Denna konfiguration använder Microsoft Entra ID för att utfärda Kerberos-biljetter för åtkomst till fildelningen med hjälp av det branschstandardiserade SMB-protokollet. Det innebär att slutanvändare kan komma åt Azure filresurser utan att kräva nätverksanslutning till domänkontrollanter.
Viktigt!
För att använda Microsoft Entra Kerberos för att autentisera hybrididentiteter behöver du en traditionell AD DS-distribution. Du måste synka det till Microsoft Entra ID genom att använda Microsoft Entra Connect Sync eller Microsoft Entra Connect cloud sync. Klienter måste vara Microsoft Entra-anslutna eller Microsoft Entra-hybridanslutna.
Följande diagram visar arbetsflödet för Microsoft Entra Kerberos-autentisering för hybrididentiteter (det vill säga inte endast molnbaserade) över SMB.
Mer information finns i Enable Microsoft Entra Kerberos-autentisering på Azure Files.
Du kan också använda denna funktion för att lagra FSLogix-profiler på Azure-fildelningar för Microsoft Entra-anslutna virtuella maskiner. Mer information finns i Store FSLogix profilcontainrar på Azure Files med Microsoft Entra ID.
Microsoft Entra domäntjänster
För autentisering av Microsoft Entra Domain Services måste du aktivera Microsoft Entra Domain Services och ansluta de virtuella datorerna till domänen. Dessa virtuella maskiner får tillgång till Azure-fildelningar genom att använda Kerberos-autentisering. Dessa virtuella maskiner behöver nätverksanslutning till Microsoft Entra Domain Services hanterade domän.
Autentiseringsflödet liknar lokal AD DS-autentisering med följande skillnader:
- Processen skapar automatiskt lagringskontoidentiteten under aktiveringen.
- Alla Microsoft Entra ID användare kan autentisera och auktoriseras. Användare kan vara molnbaserade eller hybrida. Plattformen hanterar användarsynkronisering från Microsoft Entra ID till Microsoft Entra Domain Services.
Åtkomstkrav för Microsoft Entra Domain Services
Klienter måste uppfylla följande krav för att autentisera med hjälp av Domain Services-autentisering.
- Kerberos-autentisering kräver att klienten är ansluten till domänen som hanteras av Domain Services.
- Icke-Azure-klienter kan inte kopplas till domänen som hanteras av Domain Services.
- Klienter som inte är domänanslutna kan fortfarande komma åt Azure-fildelningar genom att använda explicita inloggningsuppgifter endast om klienten har obehindrad nätverksanslutning till domänkontrollanterna i Domain Services, till exempel via VPN eller andra stödda anslutningar.
Mer information finns i Enable Microsoft Entra Domain Services authentication on Azure Files.