適用対象: ✔️ SMB ファイル共有
この記事では、Azure ポータルでファイル共有を参照するときに、Azure Files データへのアクセスを承認する方法について説明します。 ファイル共有への SMB アクセスに対する ID ベースの認証の設定については説明しません。 詳細については、「Azure Files ID ベースの認証の概要」を参照してください。
Azure ポータルを使用してファイル データにアクセスすると、ポータルは Azure Files サービスに要求を行います。 Microsoft Entra アカウント (推奨) またはストレージ アカウント アクセス キー (安全性が低い) のいずれかを使用して、Azure ポータルでファイル データへのアクセスを承認できます。 ポータルには、使用している方法が表示され、適切なアクセス許可がある場合は、2 つの方法を切り替えることができます。 既定では、ポータルでは、すべてのファイル共有を承認するために既に使用している方法が使用されます。 この設定は、個々のファイル共有操作に対して変更できます。
Warnung
storageアカウント キーを使用してファイル共有にアクセスすると、固有のセキュリティ リスクがあります。 可能であれば、Microsoft Entra を使用して常に認証を行います。 キーを保護および管理する方法については、「Manage storage account access keys」を参照>。
ファイル データにアクセスするためのアクセス許可を取得する
Azure portalでファイル データへのアクセスを承認する方法に応じて、特定の権限が必要です。 ほとんどの場合、これらのアクセス許可は、Azure ロールベースのaccess control (Azure RBAC) を使用して取得します。
| 認証方法 | 必要なロール | 追加の権限 |
|---|---|---|
| Microsoft Entra アカウント (推奨) | Storage File Data Privileged Reader または Storage File Data Privileged Contributor、および Azure Resource Manager Reader |
readFileBackupSemantics と writeFileBackupSemantics のアクション |
| ストレージ アカウント アクセス キー |
Microsoft.Storage/storageAccounts/listkeys/action を含むすべてのロール |
None |
Microsoft Entra アカウントを使用する (推奨)
Entra アカウントを使用してAzure portalからファイル データをaccessするには、次のステートメントの両方が true である必要があります。
- 組み込みのロールまたはカスタムロールが割り当てられ、ファイルデータへのアクセス権が与えられます。
- Azure Resource Manager Reader ロールが、最低でもストレージ アカウントのレベルまたはそれ以上の範囲で割り当てられています。 閲覧者ロールは、最も制限されたアクセス許可を付与しますが、ストレージ アカウント管理リソースへのアクセスを許可する別の Azure Resource Manager ロールも許容されます。
Azure Resource Manager 閲覧者ロールを使用すると、ユーザーはストレージ アカウント リソースを表示できますが、変更することはできません。 Azure Storage内のデータに対する読み取りアクセス許可は提供されませんが、アカウント管理リソースに対してのみアクセスできます。 ユーザーが Azure portal でファイル共有に移動できるようにするには、閲覧者ロールが必要です。
2 つの組み込みロールには、OAuth を使用してファイル データをaccessするために必要なアクセス許可があります。
ファイル データへのアクセスをサポートする組み込みロールの詳細については、Microsoft Entra ID を使用して Azure Files OAuth で REST を通じて Azure ファイル共有にアクセスする方法を参照してください。
注
ストレージ ファイル データ特権共同作成者ロールには、Azure ファイル共有内のファイルとディレクトリに対する ACL/NTFS アクセス許可の読み取り、書き込み、削除、および変更を行うアクセス許可があります。 Azure ポータルでは、ACL/NTFS アクセス許可の変更はサポートされていません。
カスタム ロールは、組み込みロールが提供するのと同じアクセス許可のさまざまな組み合わせをサポートできます。 詳細については、「Azureカスタム ロールおよびAzure リソースのロール定義の管理を参照してください。
ストレージ アカウントのアクセス キーを使用する (推奨されません)
ストレージ アカウントのアクセス キーを使用してファイル データにアクセスするには、Azure RBAC アクション Microsoft.Storage/storageAccounts/listkeys/actionを含む Azure ロールが割り当てられている必要があります。 この Azure ロールは、組み込みでもカスタムでもかまいません。
次の組み込みロールは、 Microsoft.Storage/storageAccounts/listkeys/actionをサポートします。 これらは、最小限から最大のアクセス許可の順に一覧表示されます。
- 閲覧者とデータ アクセス
- ストレージ アカウント共同作成者
- Azure Resource Manager の共同作成者
- Azure Resource Manager の所有者
Azure portal でファイル データにアクセスしようとすると、最初に、 Microsoft.Storage/storageAccounts/listkeys/actionを持つロールがあるかどうかをポータルで確認します。 このアクションを持つロールがある場合、ポータルはストレージ アカウント キーを使用してファイル データにアクセスします。 このアクションを持つロールがない場合、ポータルはMicrosoft Entra アカウントを使用してデータへのアクセスを試みます。
重要
Resource Manager ReadOnly ロックを使用してストレージ アカウントをロックする場合、そのストレージ アカウントに対して listKeys 操作を実行することはできません。
listKeys操作はPOST操作であり、POST ロックがアカウントに対して構成されている場合、すべてのReadOnly操作は防止されます。
このため、ReadOnly ロックを使用してアカウントをロックする場合は、Microsoft Entra アカウントを使用してポータルのファイル データにアクセスする必要があります。 Microsoft Entra IDを使用してAzure portal内のファイル データにアクセスする方法については、「 Microsoft Entra アカウントの使用」を参照してください。
従来のサブスクリプション管理者ロールであるサービス管理者と共同管理者には、Azure Resource Manager の所有者ロールと同等のものが含まれています。 所有者ロールには、 Microsoft.Storage/storageAccounts/listkeys/action アクションを含むすべてのアクションが含まれます。 これらの管理ロールのいずれかが割り当てられている場合は、ストレージ アカウント キーを使用してファイル データにアクセスすることもできます。 詳細については、「Azure ロール、Microsoft Entra ロール、クラシック サブスクリプション管理者ロールを参照してください。
特定のファイル共有に対する操作を承認する方法を指定する
個々のファイル共有の認証方法を変更できます。 既定では、ポータルは現在の認証方法を使用します。 現在の認証方法を確認するには、次の手順に従います。
Azure portal で、ストレージ アカウントに移動します。
サービス メニューの [ データ ストレージ] で、[ クラシック ファイル共有] を選択します。
ファイル共有を選択します。
を選択し、を参照します。
認証方法 は、現在、ストレージ アカウント アクセス キーと Entra アカウントのどちらを使用してファイル共有操作を認証および承認しているかを示します。
ストレージ アカウントのアクセス キーを使用して現在認証を行っている場合は、次の図に示すように、 アクセス キー が認証方法として指定されます。 Entra アカウントを使用して認証する場合は、代わりに Microsoft Entra ユーザー アカウント が指定されます。
Microsoft Entra アカウントを使用して認証する (推奨)
Microsoft Entra アカウントを使用するには、[ユーザー アカウントMicrosoft Entra切り替える] を選択します。 割り当てられたAzureロールを通じて適切なアクセス許可がある場合は、続行できます。 必要なアクセス許可がない場合は、Microsoft Entra IDでユーザー アカウントを使用してデータを一覧表示するアクセス許可がないことを示すエラー メッセージが表示されます。
Microsoft Entra アカウントには、次の 2 つの追加の RBAC アクセス許可も必要です。
Microsoft.Storage/storageAccounts/fileServices/readFileBackupSemantics/actionMicrosoft.Storage/storageAccounts/fileServices/writeFileBackupSemantics/action
これらのアクセス許可により、Azure ポータルでファイル共有の内容を参照できます。 ストレージ ファイル データの特権閲覧者ロールまたは共同作成者ロールには含まれていないため、個別に割り当てる必要があります。
Entra アカウントに表示する権限がない場合、一覧にファイル共有が表示されません。
ストレージ アカウントのアクセスキーを使用して認証することは推奨されません。
アカウント アクセス キーの使用に切り替えるには、[アクセス キー に切り替える] というリンクを選択します。 ストレージ アカウント キーにアクセスできる場合は、続行できます。 アカウント キーにアクセスできない場合は、アクセス キーを使用してデータを一覧表示するアクセス許可がないことを示すエラー メッセージが表示されます。
storage アカウントのaccess キーにaccessがない場合、ファイル共有は一覧に表示されません。
Azure ポータルでの Microsoft Entra 認証のデフォルト設定
新しいストレージ アカウントを作成するときに、ファイル データにアクセスするときにMicrosoft Entra IDを使用して、Azure ポータルが既定で承認するように指定できます。 既存のstorage アカウントに対してこの設定を構成することもできます。 この設定では、既定の承認方法のみを指定します。 この設定をオーバーライドし、ストレージ アカウント キーを使用してデータ アクセスを承認することを選択できます。
ストレージ アカウントを作成するときに、データ アクセスに対してポータルで既定で Entra 承認を使用するよう指定するには、次の手順を実行します。
「Azure ストレージ アカウントの作成」の手順に従って、新しい ストレージ アカウントを作成します。
[ 詳細設定 ] タブの [ セキュリティ ] セクションで、 Azure portal の [既定の Microsoft Entra 承認] チェック ボックスをオンにします。
Review + create を選択して検証を実行し、storage アカウントを作成します。
既存のstorage アカウントのこの設定を更新するには、次の手順に従います。
Azure portalのstorage アカウントの概要に移動します。
[設定] の下で [構成] を選択します。
Azure portal で Microsoft Entra 承認を既定に設定するを、有効 に設定します。
