Dela via

Översikt över auktorisering och åtkomstkontroll för Azure Files

Gäller för: ✔️ SMB Azure-fildelningar

Oavsett vilken identitetskälla du väljer för identitetsbaserad autentisering på ditt lagringskonto måste du konfigurera auktorisering och åtkomstkontroll. Azure Files tillämpar auktorisering för användaråtkomst på både resursnivå och katalog-/filnivå.

Du kan tilldela behörigheter på resursnivå till Microsoft Entra-användare eller grupper som hanteras via Azure RBAC. Med Azure RBAC bör de autentiseringsuppgifter som du använder för filåtkomst vara tillgängliga eller synkroniserade med Microsoft Entra-ID. Du kan tilldela inbyggda Azure-roller som Storage File Data SMB Share Reader till användare eller grupper i Microsoft Entra-ID för att bevilja åtkomst till en filresurs.

På katalog-/filnivå har Azure Files stöd för att bevara, ärva och framtvinga Windows-ACL:er. Du kan välja att behålla Windows-ACL:er när du kopierar data via SMB mellan din befintliga filresurs och dina Azure-filresurser. Oavsett om du planerar att framtvinga auktorisering eller inte kan du använda Azure-filresurser för att säkerhetskopiera ACL:er tillsammans med dina data.

Konfigurera behörigheter på delningsnivå

När du har aktiverat en identitetskälla på ditt lagringskonto måste du göra något av följande för att få åtkomst till filresursen:

  • Ange en standardbehörighet på resursnivå som gäller för alla autentiserade användare och grupper
  • Tilldela inbyggda Azure RBAC-roller till användare och grupper, eller
  • Konfigurera anpassade roller för Microsoft Entra-identiteter och tilldela åtkomsträttigheter till filresurser i ditt lagringskonto.

Med den tilldelade behörigheten på resursnivå kan den beviljade identiteten endast få åtkomst till resursen, inget annat, inte ens rotkatalogen. Du måste fortfarande konfigurera katalog- och filnivåbehörigheter separat.

Mer information finns i Tilldela behörigheter på resursnivå.

Anmärkning

Du kan inte tilldela behörigheter på resursnivå till datorkonton (datorkonton) med hjälp av Azure RBAC, eftersom datorkonton inte kan synkroniseras med en identitet i Microsoft Entra-ID. Om du vill tillåta att ett datorkonto får åtkomst till Azure-filresurser med identitetsbaserad autentisering använder du en standardbehörighet på resursnivå eller överväger att använda ett konto för tjänstinloggning i stället.

Konfigurera behörigheter på katalog- och filnivå

Azure-filresurser tillämpar windows-standard-ACL:er på både katalog- och filnivå, inklusive rotkatalogen. Konfiguration av katalog- eller filnivåbehörigheter stöds över både SMB och REST.

Mer information finns i Konfigurera katalog- och filnivåbehörigheter.

Bevara katalog- och fil-ACL:er när data importeras till Azure Files

Azure Files har stöd för att bevara ACL:er på katalog- eller filnivå när data kopieras till Azure-filresurser. Du kan kopiera ACL:er på en katalog eller fil till Azure-filresurser med hjälp av antingen Azure File Sync eller vanliga verktygsuppsättningar för filflytt. Du kan till exempel använda robocopy med /copy:s flaggan för att kopiera data och ACL:er till en Azure-filresurs. ACL:er bevaras som standard, så du behöver inte aktivera identitetsbaserad autentisering på ditt lagringskonto för att bevara ACL:er.

Nästa steg

Mer information finns i: