Dela via

Konfigurera lagring för Azure Application Consistent Snapshot-verktyget

  • Artikel

Den här artikeln innehåller en guide för att konfigurera Azure Storage som ska användas med verktyget Azure Application Consistent Snapshot (AzAcSnap).

Välj den lagring du använder med AzAcSnap.

Konfigurera antingen en systemhanterad identitet (rekommenderas) eller generera tjänstens huvudnamns autentiseringsfil.

När du validerar kommunikationen med Azure NetApp Files kan kommunikationen misslyckas eller överskrida tidsgränsen. Kontrollera att brandväggsregler inte blockerar utgående trafik från systemet som kör AzAcSnap till följande adresser och TCP/IP-portar:

  • (https://)management.azure.com:443
  • (https://)login.microsoftonline.com:443

Aktivera kommunikation med lagring

I det här avsnittet beskrivs hur du aktiverar kommunikation med lagring. Använd följande flikar för att korrekt välja den lagringsserverdel som du använder.

Det finns två sätt att autentisera till Azure Resource Manager med antingen en systemhanterad identitet eller en tjänsthuvudnamnsfil. Alternativen beskrivs här.

Systemhanterad identitet i Azure

Från AzAcSnap 9 är det möjligt att använda en systemhanterad identitet i stället för ett huvudnamn för tjänsten för drift. Med den här funktionen undviker du behovet av att lagra autentiseringsuppgifter för tjänstens huvudnamn på en virtuell dator (VM). Följ dessa steg för att konfigurera en hanterad Azure-identitet med hjälp av Azure Cloud Shell:

  1. I en Cloud Shell-session med Bash använder du följande exempel för att ange gränssnittsvariablerna på rätt sätt och tillämpa dem på den prenumeration där du vill skapa den hanterade Azure-identiteten. Ange SUBSCRIPTION, VM_NAMEoch RESOURCE_GROUP till dina platsspecifika värden.

    export SUBSCRIPTION="99z999zz-99z9-99zz-99zz-9z9zz999zz99"
export VM_NAME="MyVM"
export RESOURCE_GROUP="MyResourceGroup"
export ROLE="Contributor"
export SCOPE="/subscriptions/${SUBSCRIPTION}/resourceGroups/${RESOURCE_GROUP}"

  2. Ställ in Cloud Shell på rätt prenumeration:

    az account set -s "${SUBSCRIPTION}"

  3. Skapa den hanterade identiteten för den virtuella datorn. Följande kommandouppsättningar (eller visar om den redan har angetts) den virtuella AzAcSnap-datorns hanterade identitet:

    az vm identity assign --name "${VM_NAME}" --resource-group "${RESOURCE_GROUP}"

  4. Hämta huvud-ID:t för att tilldela en roll:

    PRINCIPAL_ID=$(az resource list -n ${VM_NAME} --query [*].identity.principalId --out tsv)

  5. Tilldela rollen Deltagare till huvud-ID:t:

    az role assignment create --assignee "${PRINCIPAL_ID}" --role "${ROLE}" --scope "${SCOPE}"

Valfri RBAC

Det går att begränsa behörigheterna för den hanterade identiteten med hjälp av en anpassad rolldefinition i rollbaserad åtkomstkontroll (RBAC). Skapa en lämplig rolldefinition för den virtuella datorn för att kunna hantera ögonblicksbilder. Du hittar exempel på behörighetsinställningar i Tips och råd om hur du använder verktyget Azure Application Consistent Snapshot.

Tilldela sedan rollen till huvud-ID:t för den virtuella Azure-datorn (visas även som SystemAssignedIdentity):

az role assignment create --assignee ${PRINCIPAL_ID} --role "AzAcSnap on ANF" --scope "${SCOPE}"

Generera en tjänsthuvudnamnsfil

  1. I en Cloud Shell-session kontrollerar du att du är inloggad på den prenumeration där du vill associeras med tjänstens huvudnamn som standard:

    az account show

  2. Om prenumerationen inte är korrekt använder du az account set kommandot:

    az account set -s <subscription name or id>

  3. Skapa ett huvudnamn för tjänsten med hjälp av Azure CLI, som du ser i det här exemplet:

    az ad sp create-for-rbac --name "AzAcSnap" --role Contributor --scopes /subscriptions/{subscription-id} --sdk-auth

    Kommandot bör generera utdata som det här exemplet:

    {
  "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "clientSecret": "Dd4Ee~5Ff6.-Gg7Hh8Ii9Jj0Kk1Ll2_Mm3Nn4Oo5",
  "subscriptionId": "cccc2c2c-dd3d-ee4e-ff5f-aaaaaa6a6a6a",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "activeDirectoryEndpointUrl": "https://login.microsoftonline.com",
  "resourceManagerEndpointUrl": "https://management.azure.com/",
  "activeDirectoryGraphResourceId": "https://graph.windows.net/",
  "sqlManagementEndpointUrl": "https://management.core.windows.net:8443/",
  "galleryEndpointUrl": "https://gallery.azure.com/",
  "managementEndpointUrl": "https://management.core.windows.net/"
}

    Det här kommandot tilldelar automatiskt rollen RBAC-deltagare till tjänstens huvudnamn på prenumerationsnivå. Du kan begränsa omfånget till den specifika resursgrupp där dina tester skapar resurserna.

  4. Klipp ut och klistra in utdatainnehållet i en fil med namnet azureauth.json som lagras i samma system som azacsnap kommandot. Skydda filen med lämpliga systembehörigheter.

    Kontrollera att JSON-filens format är exakt enligt beskrivningen i föregående steg, med URL:erna omgivna inom dubbla citattecken (").

Nästa steg