Uso de AzCopy para copiar blobs entre cuentas de Azure Storage con restricciones de red
En este artículo se presenta cómo copiar blobs entre cuentas de almacenamiento mediante la utilidad de línea de comandos AzCopy. También se explica cómo implementar la operación de copia cuando se configuran restricciones de red para las cuentas de almacenamiento.
Fondo
La copia de archivos de blobs entre dos cuentas de almacenamiento es un requisito común para muchos usuarios de Azure. Azure Storage admite la copia directa de blobs de una cuenta de almacenamiento a otra, que se puede implementar mediante la utilidad de línea de comandos AzCopy. Los usuarios no necesitan descargar archivos en discos o búferes locales y, a continuación, volver a cargarlos.
La copia de blobs entre dos cuentas de almacenamiento mediante AzCopy no depende del ancho de banda de red del equipo local. Este método puede aprovechar el rendimiento de las cuentas de almacenamiento y Azure Virtual Network para lograr un mejor rendimiento que descargar y cargar archivos. No hay cargos de ancho de banda si ambas cuentas de almacenamiento están en la misma región.
Comandos de AzCopy para copiar blobs entre cuentas de almacenamiento
Si proporciona credenciales de autorización mediante el identificador de Entra de Microsoft, use el siguiente comando:
azcopy copy 'https://<source-storage-account-name>.blob.core.windows.net/<container-name>/<blob-path>' 'https://<destination-storage-account-name>.blob.core.windows.net/<container-name>/<blob-path>'En este escenario, debe asegurarse de que la identidad de Microsoft Entra tiene las asignaciones de roles adecuadas para las cuentas de origen y destino.
Si usa un token de firma de acceso compartido (SAS), use el siguiente comando:
azcopy copy 'https://<source-storage-account-name>.blob.core.windows.net/<container-name>/<blob-path><SAS-token>' 'https://<destination-storage-account-name>.blob.core.windows.net/<container-name>/<blob-path><SAS-token>'En este escenario, debe anexar un token de SAS a la dirección URL de origen y destino que se usa en los comandos de AzCopy.
Para más información, consulte Copia de blobs entre cuentas de Azure Storage con AzCopy v10.
Copia de blobs entre cuentas de almacenamiento con restricción de acceso
Si necesita restringir el acceso a las cuentas de almacenamiento de origen y destino a través del firewall de almacenamiento, puede que necesite más configuraciones para copiar blobs entre cuentas de almacenamiento mediante AzCopy. Esto se debe a que la solicitud de copia entre dos cuentas de almacenamiento usa direcciones IP privadas y las direcciones IP son dinámicas.
Estos son dos escenarios admitidos:
Escenario 1: El cliente usa un punto de conexión público para acceder a las cuentas de almacenamiento
En este escenario, debe agregar la dirección IP pública o la red virtual (VNet) del cliente a la lista de permitidos del firewall en las cuentas de almacenamiento de origen y destino.
En la imagen siguiente se muestra el proceso de copia de blobs entre cuentas de almacenamiento en este escenario:
Escenario 2: la red virtual del cliente tiene vínculos privados configurados y usa un punto de conexión privado para acceder a las cuentas de almacenamiento.
En este escenario, no se necesita la lista de permitidos del firewall.
En la imagen siguiente se muestra el proceso de copia de blobs entre cuentas de almacenamiento en este escenario:
Este es el proceso completo de este mecanismo para los dos escenarios:
- El cliente envía una solicitud PutBlockfromURL al almacenamiento de destino.
- El almacenamiento de destino recibe las solicitudes e intenta obtener bloques de la dirección URL de origen especificada. Sin embargo, dado que el firewall de origen no permite el almacenamiento de destino, recibe un error "403 Prohibido".
- Una vez que el almacenamiento de destino recibe el error "403 Prohibido", envía otra solicitud GetBlob en nombre del cliente. Si el cliente tiene acceso al almacenamiento de origen, el destino podrá obtener los bloques del origen y devolver un código de respuesta correcto al cliente.
- El cliente envía PutBlockList al almacenamiento de destino para confirmar los bloques y finalizar el proceso después de recibir un código de respuesta correcto de la solicitud.
Copia de blobs entre cuentas de almacenamiento en una arquitectura en estrella tipo Hub-spoke mediante puntos de conexión privados
Se produce un error 403 al usar AzCopy para copiar blobs entre cuentas de almacenamiento conectadas a puntos de conexión privados en diferentes redes virtuales radiales de una máquina virtual de una red virtual de concentrador. Puede encontrar un error "403 Esta solicitud no está autorizada para realizar esta operación: CannotVerfiyCopySource" en los registros de AzCopy o en los registros de Azure Storage. En el diagrama de arquitectura siguiente se muestra el escenario en el que se produce el error.
Solución alternativa 1: Creación de un punto de conexión privado para la cuenta de almacenamiento de destino en la red virtual de origen
Una posible solución alternativa es crear un punto de conexión privado para la cuenta de almacenamiento de destino en la red virtual de origen. Esta configuración permite que la máquina virtual copie correctamente los blobs entre las cuentas de almacenamiento mediante AzCopy. En el diagrama de arquitectura siguiente se muestra el proceso de copia de blobs entre cuentas de almacenamiento en la solución 1.
Solución alternativa 2: Colocar la máquina virtual en la misma red virtual que la cuenta de almacenamiento de origen y emparejar la red virtual con la red virtual de destino
Otra opción es colocar la máquina virtual dentro de la misma red virtual que la cuenta de almacenamiento de origen. A continuación, establezca el emparejamiento entre esta red virtual y la red virtual de destino. En el diagrama de arquitectura siguiente se muestra el proceso de copia de blobs entre cuentas de almacenamiento en Solución alternativa 2.
Solución alternativa 3: Uso de una cuenta de almacenamiento provisional temporal para copiar los datos
Si no puede implementar las soluciones alternativas mencionadas anteriormente o está restringida a cambiar la configuración de red existente de la cuenta de almacenamiento o la red virtual, puede usar una cuenta de almacenamiento provisional temporal para copiar los datos:
- Cree una cuenta de almacenamiento temporal en la misma región que la cuenta de almacenamiento de origen y la cuenta de almacenamiento de destino.
- Use AzCopy para copiar los datos de la cuenta de almacenamiento de origen en la cuenta de almacenamiento temporal.
- Copie los datos de la cuenta de almacenamiento temporal en la cuenta de almacenamiento de destino. Asegúrese de que la cuenta de almacenamiento temporal tiene un punto de conexión privado en la misma red virtual que la cuenta de almacenamiento de destino antes de realizar la transferencia de datos.
Solución alternativa 4: use una máquina virtual y descargue los datos en la máquina virtual y, a continuación, cargue los datos en la cuenta de almacenamiento de destino.
Use solo esta solución alternativa si otros métodos no son factibles. Use una máquina virtual para descargar los datos de la cuenta de almacenamiento de origen y, a continuación, cargarlos en la cuenta de almacenamiento de destino. Esto se puede hacer con AzCopy. Asegúrese de que el tamaño y la capacidad del disco de la máquina virtual son adecuados para el proceso de transferencia de datos.
Ponte en contacto con nosotros para obtener ayuda
Si tiene preguntas o necesita ayuda, cree una solicitud de soporte o busque consejo en la comunidad de Azure. También puede enviar comentarios sobre el producto con los comentarios de la comunidad de Azure.