Azure Files: partilhas de ficheiros na cloud, SMB e Entra Kerberos

O Azure Files é um serviço de partilhas de ficheiros geridas na cloud, acessíveis por SMB e por NFS a partir de Windows, Linux e macOS. A Microsoft gere os discos, actualiza o sistema e mantém a redundância. Tu montas a partilha no Windows com uma letra de unidade, como qualquer pasta de rede, e os clientes recentes encriptam o tráfego por cima de SMB 3.1.1. Duas posturas de uso: substituir o file server local ou complementá-lo com cache na cloud. Abaixo: a decisão, os passos para criar a partilha, o Entra Kerberos e a montagem em Windows

Azure Files ou file server local?

A decisão pesa custos e física. O file server local responde em milissegundos dentro da LAN e o hardware já está pago. O Azure Files em provisioned v2 cobra storage, IOPS e throughput provisionados, e a latência atravessa a Internet — o custo por operação é do pay-as-you-go, não deste. Aplicação que exige garantia de milissegundos: ganha o disco local. Peso na troca de hardware, backup e teletrabalho: ganha a partilha gerida.

Critério File server local Azure Files
Latência Milissegundos na LAN Depende da Internet e da distância à região
Custo Hardware e licenças à frente Storage, IOPS e throughput provisionados, sem hardware
Manutenção Patching e troca de discos à mão Zero: sem OS para actualizar
Backup Software próprio Snapshots e Azure Backup com calendário GFS
DR Segundo local gerido por ti Redundância ZRS ou GRS da própria conta
Identidade AD DS com linha de vista ao DC Entra Kerberos emite tickets sem DC (ou AD DS)
Teletrabalho Precisa VPN Montagem directa sobre SMB encriptado

ℹ Ponte para a cloud gradual: para manter o on-prem, o Azure File Sync cacheia a mesma partilha Azure num servidor Windows local. O servidor fica rápido na LAN e a cloud guarda a cópia canónica.

Criar a conta de armazenamento e a partilha

A partilha nasce dentro de uma conta de armazenamento. Para partilhas novas de SMB, o modelo recomendado é provisioned v2: conta com kind FileStorage e SKU StandardV2_ZRS (HDD) ou PremiumV2_ZRS (SSD). No portal, é criar a conta e abrir Data storage > File shares > + File share, com nome, quota em GiB e tier. Por CLI, três comandos:

az group create --name rg-ficheiros --location westeurope
az storage account create --resource-group rg-ficheiros --name ficheirosdemo --location westeurope --sku StandardV2_ZRS --kind FileStorage
az storage share create --account-name ficheirosdemo --name equipa --quota 100

Kind StorageV2 + Standard_ZRS = pay-as-you-go clássico em HDD, até 100 TiB por partilha. NFS exige tier SSD e o provider Microsoft.FileShares em implementações novas.

Activar o Entra Kerberos

A conta de armazenamento aceita uma única origem de identidade: Entra Kerberos ou AD DS. No portal, em Data storage > File shares, clica no estado Not configured do Identity-based access, de seguida Set up, activa a caixa Microsoft Entra Kerberos e Save. Para identidades híbridas com ACLs pelo Explorador de Ficheiros, indica o nome do domínio (o DnsRoot) e o GUID (o ObjectGuid) que o Get-ADDomain devolve num cliente associado ao domínio. Por CLI:

az storage account update --resource-group rg-ficheiros --name ficheirosdemo --enable-files-aadkerb true --domain-name corp.contoso.pt --domain-guid OBJECTGUID

O PowerShell alterna o mesmo interruptor:

Set-AzStorageAccount -ResourceGroupName rg-ficheiros -StorageAccountName ficheirosdemo -EnableAzureActiveDirectoryKerberosForFile $true

O Save cria uma aplicação no Entra com o nome [Storage Account] ficheirosdemo.file.core.windows.net. Em App registrations > All applications > API permissions, clica Grant admin consent para os três pedidos (openid, profile, User.Read).

⚠ MFA não entra no SMB. O Entra Kerberos não suporta MFA na montagem da partilha. Exclui a aplicação da conta de armazenamento das políticas de conditional access, senão o net use devolve System error 1327.

Permissões RBAC na partilha

O papel muda-se no âmbito da partilha, não da conta: Storage File Data SMB Share Contributor dá leitura, escrita e eliminação. A propagação demora cerca de 30 minutos:

az role assignment create --role "Storage File Data SMB Share Contributor" --assignee ana@contoso.pt --scope "/subscriptions/SUB_ID/resourceGroups/rg-ficheiros/providers/Microsoft.Storage/storageAccounts/ficheirosdemo/fileServices/default/fileshares/equipa"

Montar a partilha em Windows

O cliente exige Entra joined ou Hybrid joined — nem um PC só no AD local, nem um só no Entra Domain Services. Cada cliente pede o ticket cloud. Via rápida: o registo (a política GPO/Intune cobre o mesmo), depois reinício:

reg add HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters /v CloudKerberosTicketRetrievalEnabled /t REG_DWORD /d 1

Numa máquina Entra-joined com o papel atribuído, a montagem é uma linha, sem chave nenhuma:

net use Z: \\ficheirosdemo.file.core.windows.net\equipa

Em PowerShell, o equivalente persistente é o New-PSDrive com -Persist. Testa a porta primeiro:

Test-NetConnection -ComputerName ficheirosdemo.file.core.windows.net -Port 445
New-PSDrive -Name Z -PSProvider FileSystem -Root "\\ficheirosdemo.file.core.windows.net\equipa" -Persist -Scope global

Se a partilha já foi montada pela chave da conta de armazenamento, desmonta e limpa a credencial em cache (o cmdkey /delete:ficheirosdemo.file.core.windows.net apaga-a): a chave admin em cache bloqueia o uso da identidade.

Armadilhas a verificar antes de produção

  • Híbridos sem sync. Sem Microsoft Entra Connect Sync ou Cloud Sync, a identidade do AD local não entra no ticket. As contas existem no AD e sincronizam, e o papel RBAC vai para os grupos.
  • ACLs em híbridos precisam do DC. Editar permissões NTFS por icacls ou pelo Explorador exige linha de vista ao AD on-prem. Fora da rede, só com VPN. As identidades e grupos cloud-only ficam ainda em preview, só na cloud pública, e a permissão de partilha por defeito é única — avalia com o DPO e com a contabilidade de custo antes de entrar em produção. Nelas, o Explorador de Ficheiros não edita ACLs.
  • Porta 445 e SMB antigo. Muitos ISPs bloqueiam a 445: se o Test-NetConnection falha, o SMB segue tunelado por VPN P2S ou S2S e ExpressRoute. Clientes que só falam SMB 2.1 não montam pelo endpoint público fora da região.
  • Quotas e tiers. Em pay-as-you-go, a partilha cresce até 100 TiB. Em provisioned v2, o mínimo é 32 GiB e o máximo 256 TiB. O tier HDD ou SSD não se troca depois: cria partilha nova e copia os dados. Até 50 partilhas clássicas por conta em provisioned v2.
  • Grupos cloud-only. O ticket carrega no máximo 1.010 SIDs (on-prem mais cloud). A tag kdc_enable_cloud_group_sids no manifest da aplicação da conta faz o Entra incluir os grupos cloud-only no ticket — sem ela, esses grupos não aparecem e as verificações de permissão falham em silêncio. Só para lá do total de 1.010 SIDs é que o ticket deixa de ser emitido.

A empresa que quer parar de gerir o NAS

Imagina uma empresa de revenda com o file server no armazém: um NAS de quatro discos sem backup válido, uma VPN caseira para o teletrabalho e um gestor de sistemas a deslocar-se para trocar discos. O Azure Files corta os três anéis. A partilha passa a recurso cloud com identidade Entra: cada máquina monta a unidade por ticket. O backup passa a snapshots com Azure Backup no ritmo GFS, com soft delete activo por padrão contra eliminações acidentais. A DR não exige segundo armário: a conta ZRS sobrevive a falhas de zona e a GRS replica para outra região. A facturação cobra os três provisionados: storage, IOPS e throughput. Fecho: se a tua rede não garante respostas de milissegundos de qualquer forma, o Azure Files substitui o armário de discos por uma unidade montada na cloud.

Fontes