Настройка разрешений на уровне каталога и файлов для общих папок Azure

Область применения: ✔️ файловые хранилища SMB Azure

Перед началом работы с этой статьей убедитесь, что вы назначили разрешения на уровне общего ресурса объекту идентификации с помощью управления доступом на основе ролей Azure (RBAC).

После назначения разрешений на уровне общего доступа можно настроить списки управления доступом Windows (ACL), также называемые разрешениями NTFS, на корневом, каталоге или на уровне файлов.

Совместная работа Azure RBAC и списков управления доступом Windows

Хотя разрешения на уровне доступа к общим ресурсам (RBAC) действуют как высокоуровневый контролёр доступа, который определяет, может ли пользователь получить доступ к общей папке, списки управления доступом Windows (списки ACL/разрешения NTFS) работают на более детальном уровне, чтобы управлять операциями, которые пользователь может осуществлять на уровне каталога или файла.

Когда пользователь пытается получить доступ к файлу или каталогу, применяются разрешения уровня общего доступа и файлов или каталогов. Если между ними есть разница, применяется только самый строгий. Например, если у пользователя есть доступ на чтение и запись на уровне файла, но только чтение на уровне общего ресурса, то он может считывать только этот файл. То же правило применяется, если разрешения отменяются: если у пользователя есть доступ на чтение и запись на уровне общего ресурса, но только чтение на уровне файла, они по-прежнему могут читать только файл.

В следующей таблице показано, как сочетание разрешений на уровне общей папки и списков управления доступом Windows работают вместе, чтобы определить доступ к файлу или каталогу в Azure Files.

Поддерживаемые списки управления доступом (ACL) Windows

Служба "Файлы Azure" поддерживает полный набор базовых и расширенных списков управления доступом (ACL) Windows.

Корневой каталог общей папки включает следующие разрешения:

• BUILTIN\Administrators:(OI)(CI)(F)
• BUILTIN\Users:(RX)
• BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
• NT AUTHORITY\Authenticated Users:(OI)(CI)(M)
• NT AUTHORITY\SYSTEM:(OI)(CI)(F)
• NT AUTHORITY\SYSTEM:(F)
• CREATOR OWNER:(OI)(CI)(IO)(F)

Дополнительные сведения об этих разрешениях см. в справочнике командной строки icacls.

Монтирование общей папки с доступом на уровне администратора

Перед настройкой списков управления доступом windows подключите общую папку с доступом на уровне администратора. Вы можете воспользоваться двумя способами:

• Используйте модель разрешений Windows для администратора SMB (рекомендуется): назначьте встроенную роль RBAC Storage File Data SMB Admin, которая включает необходимые разрешения для пользователей, настраивающих ACL. Затем подключите файловый ресурс с помощью проверки подлинности на основе удостоверений и настройте списки контроля доступа. Этот подход более безопасный, так как для подключения общей папки не требуется ключ учетной записи хранения.

• Используйте ключ учетной записи хранения (менее безопасный): используйте его для подключения общей папки, а затем настройте списки управления доступом (ACLs). Ключ учетной записи хранения — это конфиденциальные учетные данные. По соображениям безопасности используйте этот параметр только в том случае, если не удается использовать проверку подлинности на основе удостоверений.

Использование модели разрешений Windows для администратора SMB

Мы рекомендуем использовать модель разрешений Windows для администратора SMB вместо использования ключа учетной записи хранения. Эта функция позволяет назначать пользователям роль RBAC Storage File Data SMB Admin, что позволяет им взять на себя ответственность за файл или каталог для настройки списков управления доступом (ACLs).

Роль администратора данных файлов SMB в RBAC включает следующие три действия с данными.

• Microsoft.Storage/storageAccounts/fileServices/readFileBackupSemantics/action
• Microsoft.Storage/storageAccounts/fileServices/writeFileBackupSemantics/action
• Microsoft.Storage/storageAccounts/fileServices/takeOwnership/action

Чтобы использовать модель разрешений Windows для администратора SMB, выполните следующие действия.

1. Назначьте пользователям, которые настраивают ACL, роль RBAC Storage File Data SMB Admin. Инструкции по назначению роли см. в статье "Назначение ролей Azure" с помощью портала Azure.

2. Пользователи должны подключить общую папку, используя свой идентификатор домена. Если для учетной записи хранения настроена идентификационная проверка подлинности, вы можете подключить общую папку и настроить и изменять списки управления доступом Windows без использования ключа учетной записи хранения.

   Войдите на устройство, присоединенное к домену, или устройство, которое имеет свободное сетевое подключение к контроллерам домена (как пользователь Microsoft Entra, если ваш источник AD — доменные службы Microsoft Entra). Откройте командную строку Windows и подключите общую папку, выполнив следующую команду. Замените <YourStorageAccountName> и <FileShareName> собственными значениями. Если буква диска "Z:" уже используется, замените её на доступную.

   Используйте команду net use для подключения общей папки на этом этапе, вместо PowerShell. Если вы используете PowerShell для подключения сетевого диска, этот диск не отображается в Проводнике Windows или в cmd.exe, и у вас возникнут сложности с настройкой списков управления доступом Windows (ACL).

   net use Z: \\<YourStorageAccountName>.file.core.windows.net\<FileShareName>
   

Подключите общую папку с помощью ключа учетной записи хранения (не рекомендуется)

Войдите на устройство, присоединенное к домену, или устройство, которое имеет свободное сетевое подключение к контроллерам домена (как пользователь Microsoft Entra, если ваш источник AD — доменные службы Microsoft Entra). Откройте командную строку Windows и подключите общую папку, выполнив следующую команду. Замените <YourStorageAccountName>, <FileShareName> и <YourStorageAccountKey> собственными значениями. Если буква диска "Z:" уже используется, замените её на доступную. Ключ учетной записи хранения можно найти в портале Azure, перейдя в учетную запись хранения и выбрав Безопасность и сетевое взаимодействие>Ключи доступа, или вы можете использовать командлет PowerShell.

Используйте команду net use для подключения общей папки на этом этапе, вместо PowerShell. Если вы используете PowerShell для подключения сетевого диска, этот диск не отображается в Проводнике Windows или в cmd.exe, и у вас возникнут сложности с настройкой списков управления доступом Windows (ACL).

net use Z: \\<YourStorageAccountName>.file.core.windows.net\<FileShareName> /user:localhost\<YourStorageAccountName> <YourStorageAccountKey>

Настройка Windows ACL

Процесс настройки списков управления доступом Windows отличается в зависимости от того, выполняется ли проверка подлинности гибридных или облачных удостоверений.

• Для облачных удостоверений (предварительная версия) необходимо использовать портал Azure или PowerShell. Проводник Windows и icacls в настоящее время не поддерживаются для учетных записей, существующих только в облаке.

• Для гибридных идентичностей можно настроить списки управления доступом Windows с помощью icacls или использовать Проводник Windows. Вы также можете использовать команду Set-ACL PowerShell. Если у вас есть каталоги или файлы на локальных файловых серверах с списками управления доступом Windows, настроенными для удостоверений AD DS, их можно скопировать в файлы Azure при сохранении списков управления доступом с помощью традиционных средств копирования файлов, таких как Robocopy или последняя версия Azure AzCopy. Если каталоги и файлы передаются на уровень в службу "Файлы Azure" с помощью службы "Синхронизация файлов Azure", ваши списки управления доступом переносятся и сохраняются в собственном формате.

Настройка списков управления доступом Windows с помощью портала Azure

Если вы настроили Microsoft Entra Kerberos в качестве источника удостоверений, вы можете настроить списки управления доступом Windows для каждого пользователя или группы Entra с помощью портала Azure. Этот метод работает как для гибридных, так и облачных удостоверений, только если Microsoft Entra Kerberos используется в качестве источника удостоверений.

1. Войдите на портал Azure с помощью этого конкретного URL-адреса: https://aka.ms/portal/fileperms

2. Перейдите к общей папке, для которой требуется настроить списки управления доступом Windows.

3. В меню сервиса выберите Обзор. Если вы хотите задать ACL в корневой папке, выберите "Управление доступом " в верхнем меню.

   

4. Чтобы задать ACL для файла или каталога, щелкните правой кнопкой мыши файл или каталог, а затем выберите "Управление доступом".

   

5. Теперь вы увидите доступных пользователей и групп. При необходимости можно добавить нового пользователя или группу. Щелкните значок карандаша в правом углу любого пользователя или группы, чтобы добавить или изменить разрешения для пользователя или группы, чтобы получить доступ к указанному файлу или каталогу.

   

6. Измените разрешения. Запрет всегда имеет приоритет над Разрешением, если оба установлены. Если ни одно из них не задано, разрешения по умолчанию наследуются.

   

7. Нажмите кнопку "Сохранить", чтобы задать ACL.

Настройка списков управления доступом (ACL) Windows для идентичностей в облаке с помощью PowerShell

Если вам нужно назначить списки управления доступом пользователям, работающим только в облаке, можно использовать модуль RestSetAcls PowerShell для автоматизации процесса с помощью REST API файлов Azure.

Например, если вы хотите задать корневой ACL, который позволит пользователю [email protected] только в облаке иметь доступ на чтение:

$AccountName = "<storage-account-name>" # replace with the storage account name 
$AccountKey = "<storage-account-key>" # replace with the storage account key 
$context = New-AzStorageContext -StorageAccountName $AccountName -StorageAccountKey $AccountKey 
Add-AzFileAce -Context $context -FileShareName test -FilePath "/" -Type Allow -Principal "[email protected]" -AccessRights Read,Synchronize -InheritanceFlags ObjectInherit,ContainerInherit 

Настройка списков управления доступом Windows с помощью icacls

Чтобы предоставить полные разрешения всем каталогам и файлам в общей папке, включая корневой каталог, выполните следующую команду Windows с компьютера, имеющего бесперебойное сетевое подключение к контроллеру домена AD. Не забудьте заменить значения заполнителей в примере собственными значениями. Если источник AD является доменными службами Microsoft Entra, то это <user-upn><user-email>.

icacls <mapped-drive-letter>: /grant <user-upn>:(f)

Дополнительные сведения об использовании icacls для настройки списков Windows ACL и поддерживаемых типах разрешений см. в руководстве по использованию icacls в командной строке.

Настройка списков управления доступом Windows с помощью Проводника Windows

Если вы вошли в клиент Windows, присоединенный к домену, можно использовать проводник Windows для предоставления полного разрешения всем каталогам и файлам в общей папке, включая корневой каталог. Использование Проводника работает только для гибридных идентичностей. он не работает с облачными идентичностями.

Выполните следующие действия, чтобы настроить ACL (списки управления доступом) с помощью Проводника Windows.

1. Откройте проводник Windows, щелкните правой кнопкой мыши файл или каталог и выберите пункт "Свойства".
2. Выберите вкладку Безопасность.
3. Чтобы изменить разрешения, нажмите Изменить.
4. Измените разрешения существующих пользователей или нажмите кнопку "Добавить", чтобы предоставить разрешения новым пользователям.
5. В окне приглашения для добавления новых пользователей введите имя пользователя, которому вы хотите предоставить разрешения, в поле Введите имена объектов и выберите Проверить имена, чтобы найти полное имя нужного пользователя. Возможно, вам потребуется указать доменное имя и GUID домена для локальной службы AD. Эти сведения можно получить от администратора домена или локального клиента, присоединенного к AD.
6. Нажмите ОК.
7. На вкладке Безопасность выберите все разрешения, которые необходимо предоставить новому пользователю.
8. Выберите Применить.

Следующий шаг

После настройки разрешений на уровне каталога и файлов можно подключить общую папку SMB в Windows или Linux.