Freigeben über

Konfigurieren von Speicher für das Tool für konsistente Momentaufnahmen in Azure-Anwendungen

  • Artikel

Dieser Artikel enthält eine Installationsanleitung für das Konfigurieren von Azure-Speicher für die Verwendung mit dem Tool für konsistente Momentaufnahmen in Azure-Anwendungen (AzAcSnap).

Wählen Sie den Speicher aus, den Sie mit AzAcSnap verwenden.

Richten Sie entweder eine vom System verwaltete Identität ein (empfohlen), oder generieren Sie die Authentifizierungsdatei des Dienstprinzipals.

Wenn Sie die Kommunikation mit Azure NetApp Files überprüfen, schlägt die Kommunikation möglicherweise fehl, oder es tritt ein Timeout auf. Stellen Sie sicher, dass Firewallregeln den ausgehenden Datenverkehr von dem System nicht blockiert, das AzAcSnap für die folgenden Adressen und TCP/IP-Ports ausführt:

  • (https://)management.azure.com:443
  • (https://)login.microsoftonline.com:443

Aktivieren der Kommunikation mit dem Speicher

In diesem Abschnitt wird erläutert, wie Sie die Kommunikation mit dem Speicher aktivieren. Verwenden Sie die folgenden Registerkarten, um das von Ihnen verwendete Speicher-Back-End korrekt auszuwählen.

Es gibt zwei Möglichkeiten, sich beim Azure Resource Manager mithilfe einer systemseitig verwalteten Identität oder einer Dienstprinzipaldatei zu authentifizieren. Die Optionen werden hier beschrieben.

Systemseitig verwaltete Azure-Identität

Von AzAcSnap 9 aus ist es möglich, eine systemseitig verwaltete Identität anstelle eines Dienstprinzipals für den Betrieb zu verwenden. Die Verwendung dieses Features vermeidet die Notwendigkeit, Anmeldeinformationen des Dienstprinzipals auf einem virtuellen Computer (VM) zu speichern. Führen Sie die folgenden Schritte aus, um eine von Azure verwaltete Identität mithilfe von Azure Cloud Shell einzurichten:

  1. Verwenden Sie in einer Cloud Shell-Sitzung mit Bash das folgende Beispiel, um die Shellvariablen entsprechend festzulegen und auf das Abonnement anzuwenden, in dem Sie die von Azure verwaltete Identität erstellen möchten. Legen Sie SUBSCRIPTION, VM_NAME und RESOURCE_GROUP auf Ihre sitespezifischen Werte fest.

    export SUBSCRIPTION="99z999zz-99z9-99zz-99zz-9z9zz999zz99"
export VM_NAME="MyVM"
export RESOURCE_GROUP="MyResourceGroup"
export ROLE="Contributor"
export SCOPE="/subscriptions/${SUBSCRIPTION}/resourceGroups/${RESOURCE_GROUP}"

  2. Legen Sie Cloud Shell auf das richtige Abonnement fest:

    az account set -s "${SUBSCRIPTION}"

  3. Erstellen Sie die verwaltete Identität für den virtuellen Computer. Der folgende Befehl legt die verwaltete Identität der azAcSnap-VM fest (oder zeigt an, ob sie bereits festgelegt ist):

    az vm identity assign --name "${VM_NAME}" --resource-group "${RESOURCE_GROUP}"

  4. Rufen Sie die Prinzipal-ID zum Zuweisen einer Rolle ab:

    PRINCIPAL_ID=$(az resource list -n ${VM_NAME} --query [*].identity.principalId --out tsv)

  5. Weisen Sie der Prinzipal-ID die Rolle „Mitwirkender” zu.

    az role assignment create --assignee "${PRINCIPAL_ID}" --role "${ROLE}" --scope "${SCOPE}"

Optionale RBAC

Es ist möglich, die Berechtigungen für die verwaltete Identität mithilfe einer benutzerdefinierten Rollendefinition in der rollenbasierten Zugriffssteuerung (RBAC) einzuschränken. Erstellen Sie eine geeignete Rollendefinition für den virtuellen Computer, um Momentaufnahmen verwalten zu können. Sie finden Beispiele für Berechtigungseinstellungen unter Tipps und Tricks zur Verwendung des Tools für konsistente Momentaufnahmen in Azure-Anwendungen.

Weisen Sie die Rolle dann der Azure VM-Prinzipal-ID zu (auch als SystemAssignedIdentity angezeigt):

az role assignment create --assignee ${PRINCIPAL_ID} --role "AzAcSnap on ANF" --scope "${SCOPE}"

Generieren einer Dienstprinzipaldatei

  1. Stellen Sie in einer Cloud Shell-Sitzung sicher, dass Sie bei dem Abonnement angemeldet sind, in dem Sie standardmäßig dem Dienstprinzipal zugeordnet werden möchten:

    az account show

  2. Wenn das Abonnement nicht stimmt, verwenden Sie den Befehl az account set:

    az account set -s <subscription name or id>

  3. Erstellen Sie einen Dienstprinzipal mithilfe der Azure CLI, wie in diesem Beispiel gezeigt:

    az ad sp create-for-rbac --name "AzAcSnap" --role Contributor --scopes /subscriptions/{subscription-id} --sdk-auth

    Der Befehl sollte die Ausgabe wie in diesem Beispiel generieren:

    {
  "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "clientSecret": "Dd4Ee~5Ff6.-Gg7Hh8Ii9Jj0Kk1Ll2_Mm3Nn4Oo5",
  "subscriptionId": "cccc2c2c-dd3d-ee4e-ff5f-aaaaaa6a6a6a",
  "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "activeDirectoryEndpointUrl": "https://login.microsoftonline.com",
  "resourceManagerEndpointUrl": "https://management.azure.com/",
  "activeDirectoryGraphResourceId": "https://graph.windows.net/",
  "sqlManagementEndpointUrl": "https://management.core.windows.net:8443/",
  "galleryEndpointUrl": "https://gallery.azure.com/",
  "managementEndpointUrl": "https://management.core.windows.net/"
}

    Dieser Befehl weist dem Dienstprinzipal automatisch auf Abonnementebene die Rolle „RBAC-Mitwirkender” zu. Sie können den Bereich auf die bestimmte Ressourcengruppe einschränken, in der Ihre Tests die Ressourcen erstellen.

  4. Kopieren Sie den ausgegebenen Inhalt in eine Datei namens azureauth.json, die auf demselben System wie der Befehl azacsnap gespeichert ist. Sichern Sie die Datei mit den entsprechenden Systemberechtigungen.

    Stellen Sie sicher, dass das Format der JSON-Datei genau wie im vorherigen Schritt beschrieben ist, wobei die URLs in doppelte Anführungszeichen (") eingeschlossen sein müssen.

Nächste Schritte