2025-11-03

Azure File Sync auf Managed Identity migrieren

Azure File Sync funktioniert für viele Organisationen noch, allerdings mit einer Authentifizierung aus den 2010er-Jahren: lokale X.509-Zertifikate und SAS-Tokens. Dabei handelt es sich um besitzbasierte Geheimnisse – wer sie besitzt, gilt als „Sie“. Sie breiten sich in Skripten, Backups, Repositories und Logs aus, laufen unbemerkt ab, und ein einziges Leck gewährt über gültige Zugangsdaten eine stille Datenexfiltration. Das ist keine echte Identität, sondern Aberglaube. Die moderne Lösung ist Managed Identity (MI). Jeder Storage Sync Service und jeder registrierte Server authentifiziert sich über Entra ID mit kurzlebigen Tokens; keine statischen Schlüssel, keine Zertifikatserneuerungen, keine Whitelists für Zertifikatsendpunkte. RBAC ersetzt die Verteilung von Geheimnissen, der Widerruf wirkt sofort, und jeder Aufruf ist prüfbar. Die Migration ist Routinearbeit und keine Operation am offenen Herzen: Den File-Sync-Agenten aktualisieren, die systemseitig zugewiesene Managed Identity auf Azure-VMs aktivieren (bzw. Azure Arc mit MI für lokale Server oder Server in anderen Clouds), den Storage Sync Service auf MI umstellen und Azure die Least-Privilege-Rollen auf das Speicherkonto anwenden lassen.

Apple Podcasts · Spotify · YouTube · YouTube Music

Migrate Azure File Sync to Managed Identity (English)