適用対象: ✔️ SMB ファイル共有
この記事では、オンプレミスまたはAzureで ID ベースの認証を使用して、サーバー メッセージ ブロック (SMB) プロトコル経由のAzure Filesへの ID ベースのアクセスを有効にする方法について説明します。 Windowsファイル サーバーと同様に、共有、ディレクトリ、またはファイル レベルで ID にアクセス許可を付与できます。 ストレージ アカウントで ID ベースの認証を有効にするための追加のサービス料金はありません。
Azure Filesでは、Windows、Linux、および macOS クライアントの SMB 経由の ID ベースの認証がサポートされます。 Azure Filesは現在、ネットワーク ファイル システム (NFS) ファイル共有の ID ベースの認証をサポートしていません。
ID ベースの認証を使用する理由
セキュリティ上の理由から、ストレージ アカウント キーではなく、ID ベースの認証を使用して SMB ファイル共有にアクセスします。 また、多くのシナリオでストレージ アカウント キーを使用するよりも便利です。
ID ベースの認証を使用すると、オンプレミスのファイル サーバーを置き換えるときにシームレスな移行エクスペリエンスが提供され、エンド ユーザーは同じ資格情報でデータに引き続きアクセスできます。
ID ベースの認証により、アプリケーションをクラウドに移行するときにディレクトリ サービスを変更する必要がなくなり、クラウドの導入が迅速化されます。
ファイル共有 DR シナリオでは、フェールオーバー時に適切なアクセス制御の適用をサポートするように ID ベースの認証を構成できます。
しくみ
Azure Filesは、Kerberos プロトコルを使用して ID ソースで認証します。 クライアントで実行されているユーザーまたはアプリケーションに関連付けられている ID がAzure Files内のデータにアクセスしようとすると、ID を認証するための要求が ID ソースに送信されます。 認証が成功した場合、ID ソースは Kerberos チケットを返します。 その後、クライアントは Kerberos チケットを含む要求を送信し、Azure Filesはそのチケットを使用して要求を承認します。 Azure Files サービスは Kerberos チケットのみを受け取り、ユーザーのアクセス資格情報は受け取りません。
ストレージ アカウントの ID ソースを選択する
ストレージ アカウントで ID ベースの認証を有効にする前に、使用する ID ソースを決定します。 ほとんどの企業や組織では、何らかの種類のドメイン環境が構成されているため、既に構成されている可能性があります。 確認するには、Active Directory (AD) または IT 管理者に問い合わせてください。 ID ソースがまだない場合は、ID ベースの認証を有効にする前に、ID ソースを構成する必要があります。
サポートされる認証シナリオ
SMB 経由の ID ベースの認証を有効にするには、
オンプレミス AD DS: ストレージ アカウントは、オンプレミスの AD DS に参加します。 AD DSのIDは、ドメイン参加クライアントやドメインコントローラーへの妨げのないネットワーク接続を持つクライアントからSMB Azureファイル共有に安全にアクセスできます。 オンプレミスの AD DS 環境は、オンプレミスの Microsoft Entra Connect アプリケーションまたは Microsoft Entra 管理センターからインストールできる軽量エージェントである Microsoft Entra Connect cloud sync のいずれかを使用して、Microsoft Entra ID に同期する必要があります。 すべての前提条件の一覧をご覧ください。
Microsoft Entra Kerberos: Microsoft Entra ID を使用して、hybrid またはクラウドのみの ID を認証し、エンド ユーザーがAzureファイル共有にアクセスできるようにします。 ハイブリッド ID を認証する場合は、既存の AD DS 展開が必要です。その後、Microsoft Entra テナントと同期します。 前提条件を参照してください。
Microsoft Entra Domain Services: Microsoft Entra Domain Services に参加しているクラウドベースの VM は、Microsoft Entra資格情報Azureファイル共有にアクセスできます。 このソリューションでは、Microsoft Entra IDは、顧客のMicrosoft Entra テナントの子である従来の Windows Server AD ドメインを実行します。 前提条件を参照してください。
次のガイドラインを使って、選ぶ ID ソースを決めてください。
組織に既にオンプレミスの Active Directoryがあり、ID をクラウドに移動する準備ができていない場合、クライアント、VM、アプリケーションがドメインに参加しているか、ドメイン コントローラーへのネットワーク接続が妨げられていない場合は、AD DS を選択します。
もし一部のクライアントまたはすべてのクライアントがAD DSへのネットワーク接続が妨げられていない場合や、Microsoft Entraで結合されたVMのためにFSLogixプロファイルをAzureファイル共有に保存している場合は、Microsoft Entra Kerberosを選択してください。
既存のオンプレミスの Active Directoryがあるが、アプリケーションをクラウドに移行する予定で、ID をオンプレミスとクラウド (ハイブリッド) の両方に存在させる場合は、Kerberos Microsoft Entra選択します。
ドメイン コントローラーを使用せずにクラウド専用 ID を認証する場合は、Kerberos Microsoft Entra選択します。
Microsoft Entra Domain Servicesを既に使用している場合は、ID ソースとしてMicrosoft Entra Domain Servicesを選択します。
macOS クライアントを認証する必要がある場合は、Kerberos Microsoft Entra選択します。
Tip
要件が変われば、後でストレージアカウントのアイデンティティソースを変更することもできます。 例えば、オンプレミスのAD DSからクラウドオンリーやMicrosoft Entra IDによるハイブリッドIDに移行する場合、ストレージアカウントをAD DSからMicrosoft Entra Kerberos認証に移行できます。 ガイダンスについては、「Azureファイル共有のアイデンティティソースを変更する」をご覧ください。
ストレージ アカウントで ID ソースを有効にする
ID ソースを選択したら、ストレージ アカウントで有効にします。
AD DS
AD DS 認証では、AZURE VM またはオンプレミスで AD ドメイン コントローラーをホストできます。 いずれの場合も、クライアントはドメイン コントローラーへのネットワーク接続を妨げないようにする必要があります。そのため、クライアントはドメイン サービスの企業ネットワークまたは仮想ネットワーク (VNET) 内に存在する必要があります。 ユーザーが共有にアクセスするたびに明示的な資格情報を指定する必要がないように、クライアント コンピューターまたは VM をドメイン参加することをお勧めします。
次の図は、オンプレミスの AD DS 認証が SMB を通じて Azure ファイル共有に接続する様子を示しています。 オンプレミスのAD DSをMicrosoft Entra IDに同期させるには、Microsoft Entra Connect SyncまたはMicrosoft Entra Connectのクラウドシンクを使用してください。オンプレミスのAD DSとMicrosoft Entra IDの両方に存在するハイブリッドユーザーIDのみが認証され、Azureファイル共有へのアクセスを許可されます。 この要件は、共有レベルの権限をMicrosoft Entra IDで表現されるアイデンティティに基づいて設定するため存在しますが、ディレクトリおよびファイルレベルの権限はAD DSでそれで強制されます。 同じハイブリッドユーザーに対して権限を正しく設定してください。
AD DS 認証を有効にするには、最初に Overview - Azure ファイル共有に対する SMB 経由のオンプレミスのActive Directory Domain Services認証を読み取り、 Azure ファイル共有に対する AD DS 認証を有効にする> を参照してください。
Microsoft Entra Kerberos
Microsoft Entra IDを有効化・設定してハイブリッドまたはクラウドのみのIDを認証することで、Microsoft EntraユーザーはKerberos認証を利用してAzureファイル共有にアクセスできます。 この構成はMicrosoft Entra IDを用いて、業界標準のSMBプロトコルを用いてファイル共有にアクセスするためのKerberosチケットを発行します。 つまり、エンド ユーザーは、ドメイン コントローラーへのネットワーク接続を必要とせずに、Azureファイル共有にアクセスできます。
重要
Microsoft Entra Kerberosを使ってハイブリッドIDを認証するには、従来のAD DS展開が必要です。 Microsoft Entra Connect SyncまたはMicrosoft Entra Connect Cloud Syncを使ってMicrosoft Entra IDに同期する必要があります。クライアントはMicrosoft Entraに加入しているか、Microsoft Entraのハイブリッドでなければなりません。
以下の図は、SMB上のハイブリッド(クラウドのみではない)IDに対するMicrosoft Entra Kerberos認証のワークフローを示しています。
詳細については、「Azure Files での Microsoft Entra ケルベロス認証を有効にする」を参照してください。
この機能を使って、Microsoft Entraで結合されたVM用のAzureファイル共有にFSLogixプロファイルを保存することもできます。 詳細については、「Microsoft Entra ID を使用した Azure Files での FSLogix プロファイル コンテナーの保存」に関する情報を参照してください。
Microsoft Entra Domain Services
Microsoft Entra Domain Services認証を行うには、Microsoft Entra Domain Servicesを有効にし、仮想マシンをドメインに結合する必要があります。 これらの仮想マシンはKerberos認証を利用してAzureファイル共有にアクセスします。 これらの仮想マシンは、Microsoft Entra Domain Services管理ドメインへのネットワーク接続が必要です。
認証フローはオンプレミスの AD DS 認証に似ていますが、次の違いがあります。
- このプロセスでは、有効化中にストレージ アカウント ID が自動的に作成されます。
- すべてのMicrosoft Entra IDユーザーは認証して承認できます。 ユーザーは、クラウドのみでもハイブリッドでもかまいません。 プラットフォームは、Microsoft Entra IDからMicrosoft Entra Domain Servicesへのユーザー同期を管理します。
Microsoft Entra Domain Servicesのアクセス要件
ドメイン サービス認証を使用して認証するには、クライアントが次の要件を満たしている必要があります。
- Kerberos認証はクライアントがドメインサービス管理ドメインに加入する必要があります。
- Azure以外のクライアントはDomain Services管理ドメインに参加できません。
- ドメイン参加していないクライアントは、クライアントがVPNやその他の対応接続を通じてDomain Servicesドメインコントローラーと妨げられていないネットワーク接続がある場合に限り、明示的な認証情報を使ってAzureファイル共有にアクセスできます。
詳細については、
