2025-11-03

Azure File Sync を Managed Identity へ移行する

Azure File Sync は今でも多くの組織で「動いて」いますが、その認証は 2010 年代の仕組み、つまりローカルの X.509 証明書と SAS トークンに依存しています。これらは「所持」に基づく秘密情報であり、持っている者がそのまま「本人」として扱われます。スクリプト、バックアップ、リポジトリ、ログへと散らばりやすく、気づかないうちに期限切れになり、一度漏えいすれば有効な資格情報で静かにデータを持ち出されかねません。それはアイデンティティではなく、迷信に近いものです。現代的な解決策は Managed Identity (MI) です。Storage Sync Service と登録済みサーバーは、それぞれ Entra ID を通じて短命のトークンで認証します。静的なキーも証明書の更新も、証明書エンドポイントのホワイトリスト登録も不要です。シークレットの配布は RBAC に置き換えられ、失効は即時に行え、すべての呼び出しが監査可能になります。移行は大手術ではなく定期的な整備作業です。File Sync エージェントを更新し、Azure VM ではシステム割り当ての MI を有効化し、オンプレミスや他クラウドのサーバーでは Azure Arc と MI を組み合わせ、Storage Sync Service を MI に切り替えれば、Azure が最小権限のロールをストレージアカウントに適用します。

Apple Podcasts · Spotify · YouTube · YouTube Music

Migrate Azure File Sync to Managed Identity (English)