この記事では、Azure File Syncのデプロイメントでシステム割り当てのマネージドIDを使用する設定方法について説明します。 マネージド・アイデンティティのサポートにより、Microsoft Entra IDが提供するシステム割り当てのマネージドIDを使用することで、認証手段としての共有鍵の必要性を排除します。
この構成を有効にすると、システム割り当てマネージド ID が次のシナリオで使用されます。
- Azure ファイル共有に対するストレージ同期サービスの認証
- Azure ファイル共有に対する登録済みサーバーの認証
- ストレージ同期サービスに対する登録済みサーバーの認証
マネージド ID を使用する利点の詳細については、Azure リソース用マネージド ID に関する記事を参照してください。
Important
テナント間トポロジはサポートされていません。 ストレージ同期サービス、サーバー リソース (Azure Arc 対応サーバーまたは Azure VM)、マネージド ID、ストレージ アカウントの RBAC 割り当てはすべて、同じ Microsoft Entra テナント内にある必要があります。 テナント間のセットアップは認証/承認に失敗し、サーバーは接続できません。
前提条件
Azure File Sync エージェント バージョン 20.0.0.0 以降 を登録済みサーバーにインストールする必要があります。
Azure File Sync によって使用される ストレージ アカウント では、 Azure File Sync 管理者または所有者管理ロールのメンバー であるか、"Microsoft.Authorization/roleassignments/write" アクセス許可を持っている必要があります。
Azure File Sync 管理者ロールを割り当てるときは、次の手順に従って最小限の特権を確保します。
[ 条件 ] タブで、[ 選択したプリンシパルにのみ選択したロールを割り当てることができるようにユーザーに許可する ]を選択します (権限が少なくなります)。
[ ロールとプリンシパルの選択 ] をクリックし、[条件 1] で [ アクションの追加] を選択します。
[ ロールの割り当ての作成] を選択し、[ 選択] をクリックします。
[ 式の追加] を選択し、[要求] を選択 します。
[属性ソース] で [属性] の [ロールの定義 ID] を選択し、[演算子] の [ForAnyOfAnyValues:GuidEquals] を選択します。
[ ロールの追加] を選択します。 閲覧者とデータ アクセス、ストレージ ファイル データ特権共同作成者、ストレージ アカウント共同作成者ロールを追加し、[保存] を選択します。
リージョン別の提供状況
システム割り当てマネージド ID に対する Azure File Sync のサポートは、Azure File Sync をサポート するすべての Azure パブリック リージョンと Gov リージョン で利用できます。
登録サーバー上でシステム割り当てマネージド ID を有効にする
マネージド ID を使用するように Azure File Sync を構成するには、Azure File Sync サービスと Azure ファイル共有への認証に使用されるシステム割り当てマネージド ID が登録サーバーに割り当てられている必要です。
Azure File Sync v20エージェントがインストールされている登録サーバーでシステム割り当てのマネージドIDを有効にするには、以下の手順に従ってください:
- サーバーが Azure の外部でホストされている場合、システム割り当てマネージド ID を割り当てるには、Azure Arc 対応サーバーである必要があります。 Azure Arc 対応サーバーの詳細と Azure Connected Machine エージェントのインストール方法については、Azure Arc 対応サーバーの概要に関する記事を参照してください。
- サーバーが Azure 仮想マシンの場合は、VM 上でシステム割り当てマネージド ID 設定を有効にします。 詳細については、「Azure 仮想マシン上でマネージド ID を構成する」を参照してください。
メモ
ストレージ同期サービスを管理型IDに設定した後も、システムに割り当てられた管理型IDを持たない登録サーバーは、Azureファイル共有に共有鍵を使い続けます。
登録サーバーにシステム割り当てマネージド ID が割り当てられているかどうかを確認する方法
登録サーバーにシステム割り当てのマネージデンティティがあるかどうかを確認するには、Azureポータルで以下の手順を踏みます。
Azure portal で ストレージ同期サービス に移動し、[ 設定] を 展開して [ マネージド ID] を選択します。
[ 登録済みサーバー ] セクションで、[ マネージド ID を使用する準備完了 ] タイルを選択します。 このタイルには、システム割り当てマネージド ID を持つサーバーの一覧が表示されます。 サーバーが一覧にない場合は、登録済みサーバーで システム割り当てマネージド ID を有効にする手順を実行します。
システム割り当てマネージド ID を使用するように Azure File Sync デプロイを構成する
ストレージ同期サービスおよび登録サーバーをシステム割り当てのマネージドIDを使用するように設定するには、Azureポータルで以下の手順に従ってください。
Azure portal で ストレージ同期サービス に移動し、[ 設定] を 展開して [ マネージド ID] を選択します。
[ マネージド ID を有効にする] を 選択してセットアップを開始します。
次の手順が実行され、完了するまでに数分 (または大規模なトポロジの場合は長くなります) かかります。
ストレージ同期サービス リソースのシステム割り当てマネージド ID を有効にします。
ストレージ同期サービスのシステム割り当てマネージド ID に、ストレージ アカウントへのアクセス権 (ストレージ アカウント共同作成者ロール) を付与します。
ストレージ同期サービスのシステム割り当てマネージド ID に、Azure ファイル共有へのアクセス権 (ストレージ ファイル データ特権共同作成者ロール) を付与します。
登録サーバーのシステム割り当てマネージド ID に、Azure ファイル共有へのアクセス権 (ストレージ ファイル データ特権共同作成者ロール) を付与します。
システム割り当てマネージド ID を使用するようにストレージ同期サービスを構成します。
システム割り当てマネージド ID を使用するように登録サーバーを構成します。
メモ
登録サーバーにシステム割り当てのマネージドIDを設定した後、サーバーがシステム割り当てのマネージドIDを使ってストレージ同期サービスやファイル共有に認証するまでに最大15分かかることがあります。
ストレージ同期サービスがシステム割り当てマネージド ID を使用しているかどうかを確認する方法
ストレージ同期サービスがシステムに割り当てられたマネージドアイデンティティを使用しているかどうかを確認するには、Azureポータルの以下の手順に従ってください:
Azure portal で ストレージ同期サービス に移動し、[ 設定] を展開して、[ マネージド ID] を選択します。
[ 登録済みサーバー] セクションで、[ マネージド ID の使用 ] タイルに少なくとも 1 つのサーバーが一覧表示されている場合、サービスはマネージド ID を使用するように構成されます。
登録サーバーがシステム割り当てマネージド ID を使用するように構成されているかどうかを確認する方法
登録サーバーがシステム割り当てのマネージデンティティを使用するよう設定されているかを確認するには、Azureポータルで以下の手順に従ってください:
Azure portal で ストレージ同期サービス に移動し、[ 設定] を展開して、[ マネージド ID] を選択します。
[ 登録済みサーバー ] セクションで、[ マネージド ID の使用 ] タイルを選択し、サーバーが一覧表示されていることを確認します。
設定後:次のステップとトラブルシューティング
ストレージ同期サービスと登録されたサーバーをシステム割り当てのマネージドIDを使用するように設定した後、新しい同期エンドポイント(クラウドエンドポイントや既に設定されたサーバー上のエンドポイント)は、システム割り当てのマネージドIDを使ってAzureファイル共有に認証します。
しかし、全く新しいWindows ServerマシンをStorage Sync Serviceに登録した場合は、そのサーバーでSet-AzStorageSyncServiceServiceIdentityコマンドレットを再度実行するか(ポータルでTurn on Managed ididを使用してください)。 新たに登録されたサーバーは管理ID設定を自動的に継承しないので、明示的に有効にする必要があります。
問題が発生した場合は、「Azure File Sync マネージド ID の問題をトラブルシューティングする」を参照してください。
