如何将托管标识与 Azure 文件同步配合使用（预览版）

Azure 文件同步对系统分配的托管标识的支持现处于预览阶段。

托管标识支持通过利用 Microsoft Entra ID 提供的系统分配的托管标识，消除对使用共享密钥作为身份验证方法的需求。

启用此配置时，系统分配的托管标识将用于以下场景：

• 存储同步服务向 Azure 文件共享进行身份验证
• Azure 文件共享的注册服务器身份验证
• 已注册的服务器向存储同步服务进行身份验证

若要详细了解使用托管标识的好处，请参阅 Azure 资源的托管标识。

若要配置 Azure 文件同步部署以利用系统分配的托管标识，请遵循后续部分中的指导。

• 需要先部署存储同步服务并至少有一个已注册服务器。

• 必须在已注册的服务器上安装 Azure 文件同步代理版本 19.1.0.0 或更高版本。

• 在 Azure 文件同步使用的存储帐户中：

  • 必须是“所有者管理角色的成员”，或者具有“Microsoft.Authorization/roleassignments/write”权限。
  • 必须为预览版启用“允许受信任的服务列表中的 Azure 服务访问此存储帐户”的例外。 了解详细信息
  • 必须为预览版启用“允许存储帐户密钥访问”。 若要检查此设置，请导航到存储帐户，然后选择“设置”部分下的“配置”。

• Az.StorageSync PowerShell 模块版本 2.2.0 或更高版本必须安装在计算机上，该机器将用于配置 Azure 文件同步以使用托管标识。 若要安装最新的 Az.StorageSync PowerShell 模块，请从提升的 PowerShell 窗口运行以下命令：

  Install-Module Az.StorageSync -Force
  

支持系统分配的托管标识（预览版）的 Azure 文件同步在支持 Azure 文件同步的所有区域中可用。

在将 Azure 文件同步配置为使用托管标识之前，已注册的服务器必须具有系统分配的托管标识，该标识将用于对 Azure 文件同步服务和 Azure 文件共享进行身份验证。

若要在安装了 Azure 文件同步版本 19 代理的已注册服务器上启用系统分配的托管标识，请执行以下步骤：

• 如果服务器托管在 Azure 外部，则它必须是“已启用 Azure Arc 的服务器”才能具有系统分配的托管标识。 有关已启用 Azure Arc 的服务器以及如何安装 Azure Connected Machine 代理的详细信息，请参阅：已启用 Azure Arc 的服务器概述。
• 如果服务器是 Azure 虚拟机，请在 VM 上启用系统分配的托管标识设置。 有关详细信息，请参阅：在 Azure 虚拟机上配置托管标识。

若要检查已注册服务器是否具有系统分配的托管标识，请运行以下 PowerShell 命令：

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

验证 LatestApplicationId 属性是否具有 GUID，该 GUID 指示服务器具有系统分配的托管标识，但当前未配置为使用托管标识。

如果 ActiveAuthType 属性的值是 Certificate，并且 LatestApplicationId 不具有 GUID，则服务器没有系统分配的托管标识，并且它将使用共享密钥对 Azure 文件共享进行身份验证。

若要配置存储同步服务和已注册服务器以使用系统分配的托管标识，请从提升的 PowerShell 窗口运行以下命令：

Set-AzStorageSyncServiceIdentity -ResourceGroupName <string> -StorageSyncServiceName <string> -Verbose

Set-AzStorageSyncServiceIdentity cmdlet 可执行以下步骤，将需要几分钟时间才能完成（对于大型拓扑则需要更长时间）：

• 验证至少一个已注册服务器具有系统分配的托管标识。
  • 如果没有具有系统分配的托管标识的已注册服务器，则 cmdlet 将在此步骤中停止。
• 为存储同步服务资源启用系统分配的托管标识。
• 授予存储同步服务系统分配的托管标识对存储帐户的访问权限（存储帐户参与者角色）。
• 授予存储同步服务系统分配的托管标识对 Azure 文件共享的访问权限（存储文件数据特权参与者角色）。
• 授予已注册服务器系统分配的托管标识对 Azure 文件共享的访问权限（存储文件数据特权参与者角色）。
• 将存储同步服务配置为使用系统分配的托管标识。
• 将已注册服务器配置为使用系统分配的托管标识。

随时在需要时使用 Set-AzStorageSyncServiceIdentity cmdlet 配置其他已注册服务器以使用托管标识。

若要检查存储同步服务是否正在使用系统分配的托管标识，请从提升的 PowerShell 窗口运行以下命令：

Get-AzStorageSyncService -ResourceGroupName <string> -StorageSyncServiceName <string>

验证 UseIdentity 属性的值是否为 True。 如果值为 False，则存储同步服务使用共享密钥对 Azure 文件共享进行身份验证。

若要检查已注册服务器是否已配置为使用系统分配的托管标识，请从提升的 PowerShell 窗口运行以下命令：

Get-AzStorageSyncServer -ResourceGroupName <string> -StorageSyncServiceName <string>

验证 ApplicationId 属性是否包含一个 GUID，以表明服务器已配置为使用托管标识。 服务器使用系统分配的托管标识后，ActiveAuthType 属性的值将更新为 ManagedIdentity。

将存储同步服务和已注册服务器配置为使用系统分配的托管标识后：

• 创建的新终结点（云或服务器）将使用系统分配的托管标识对 Azure 文件共享进行身份验证。
• 随时在需要时使用 Set-AzStorageSyncServiceIdentity cmdlet 来配置其他已注册服务器以使用托管标识。

如果遇到问题，请参阅：解决 Azure 文件同步托管标识问题。