Verwenden von DFS-Namespaces mit Azure Files

DFS-Namespaces (Distributed File Systems Namespaces) oder DFS-N bezeichnet eine Windows Server-Serverrolle, die vielfach verwendet wird, um die Bereitstellung und Wartung von SMB-Dateifreigaben in der Produktion zu vereinfachen. DFS-Namespaces ist eine Technologie für die Virtualisierung von Speichernamespaces, mit deren Hilfe Sie eine indirekte Ebene zwischen dem UNC-Pfad Ihrer Dateifreigaben und den eigentlichen Dateifreigaben bereitstellen können. DFS Namespaces funktioniert mit SMB-Dateifreigaben, unabhängig davon, wo diese Dateifreigaben gehostet werden. Sie können SMB-Freigaben verwenden, die auf einem lokalen Windows-Dateiserver mit oder ohne Azure-Dateisynchronisierung gehostet werden, direkte Azure-Dateifreigaben, SMB-Dateifreigaben mit Hosting in Azure NetApp Files oder anderen Drittanbieterangeboten oder sogar Dateifreigaben, die in anderen Clouds gehostet werden.

Im Kern bietet DFS-Namespaces eine Zuordnung zwischen einem benutzerfreundlichen UNC-Pfad wie \\contoso\shares\ProjectX und dem zugrunde liegenden UNC-Pfad der SMB-Freigabe, z. B. \\Server01-Prod\ProjectX oder \\storageaccount.file.core.windows.net\projectx. Wenn der Endbenutzer zu seiner Dateifreigabe navigieren möchte, gibt er den benutzerfreundlichen UNC-Pfad ein, aber der zugehörige SMB-Client greift auf den zugrunde liegenden SMB-Pfad der Zuordnung zu. Es ist zudem möglich, dieses grundlegende Konzept zu erweitern, um einen Namen eines vorhandenen Dateiservers wie beispielsweise \\MyServer\ProjectX zu übernehmen. Sie können diese Funktion verwenden, um die folgenden Szenarien zu unterstützen:

• Geben Sie einen migrationssicheren Namen für einen logischen Satz von Daten an. In diesem Beispiel verfügen Sie über eine Zuordnung wie \\contoso\shares\Engineering, die \\OldServer\Engineering zugeordnet ist. Wenn Sie die Migration zu Azure Files durchführen, können Sie Ihre Zuordnung ändern, damit Ihr benutzerfreundlicher UNC-Pfad auf \\storageaccount.file.core.windows.net\engineering zeigt. Wenn ein Endbenutzer auf den benutzerfreundlichen UNC-Pfad zugreift, wird er nahtlos an den Azure-Dateifreigabepfad umgeleitet.

• Richten Sie einen allgemeinen Namen für einen logischen Satz von Daten ein, der auf mehrere Server an verschiedenen physischen Standorten verteilt wird, etwa über die Azure-Dateisynchronisierung. In diesem Beispiel wird ein Name wie \\contoso\shares\FileSyncExample mehreren UNC-Pfaden wie beispielsweise \\FileSyncServer1\ExampleShare, \\FileSyncServer2\DifferentShareName, \\FileSyncServer3\ExampleShare zugeordnet. Wenn der Benutzer auf den benutzerfreundlichen UNC-Pfad zugreift, wird ihm eine Liste möglicher UNC-Pfade angezeigt, und er kann basierend auf Windows Server Active Directory-Standortdefinitionen (AD) den nächstgelegenen Standort auswählen.

• Erweitern Sie einen logischen Satz von Daten über Größen-, E/A- oder andere Schwellenwerte für die Skalierung hinweg. Dies ist häufig bei Benutzerverzeichnissen der Fall, bei denen jeder Benutzer einen eigenen Ordner auf einer Freigabe erhält, oder bei temporären Freigaben, bei denen Benutzer beliebigen Speicherplatz erhalten, um temporäre Datenanforderungen zu erfüllen. Mit DFS-Namespaces werden mehrere Ordner zu einem kohäsiven Namespace miteinander verbunden. Beispielsweise wird \\contoso\shares\UserShares\user1 zu \\storageaccount.file.core.windows.net\user1 zugeordnet, \\contoso\shares\UserShares\user2 zu \\storageaccount.file.core.windows.net\user2 usw.

Ein Beispiel für die Verwendung von DFS-Namespaces mit Ihrer Azure Files-Bereitstellung finden Sie in der folgenden Videoübersicht. Beachten Sie, dass Azure Active Directory jetzt Microsoft Entra ID ist. Weitere Informationen finden Sie unter Neuer Name für Azure AD.

Wenn Sie bereits über einen DFS-Namespace verfügen, sind keine besonderen Schritte erforderlich, um ihn mit Azure Files und der Dateisynchronisierung zu verwenden. Wenn Sie über die lokale Bereitstellung auf Ihre Azure-Dateifreigabe zugreifen, gelten normale Netzwerküberlegungen. Weitere Informationen finden Sie unter Azure Files – Überlegungen zum Netzwerkbetrieb.

Gilt für:

Dateifreigabetyp	SMB	NFS
Standard-Dateifreigaben (GPv2), LRS/ZRS
Standard-Dateifreigaben (GPv2), GRS/GZRS
Premium-Dateifreigaben (FileStorage), LRS/ZRS

Namespacetypen

DFS-Namespaces bietet zwei grundlegende Arten von Namespaces:

• Domänenbasierter Namespace: Ein Namespace, der als Teil Ihrer Windows Server AD-Domäne gehostet wird. Namespaces, die als Teil von AD gehostet werden, umfassen einen UNC-Pfad, der den Namen Ihrer Domäne enthält. Dieser lautet z. B. \\contoso.com\shares\myshare, wenn Ihre Domäne contoso.com heißt. Domänenbasierte Namespaces unterstützen höhere Skalierungsgrenzwerte und integrierte Redundanz über AD. Es darf sich nicht um eine Clusterressource in einem Failovercluster handeln.
• Eigenständiger Namespace: Ein Namespace, der nicht als Teil der Windows Server AD-Instanz, sondern auf einem einzelnen Server gehostet wird. Der Name eines eigenständige Namespaces basiert auf dem Namen des eigenständigen Servers. Er kann z. B. \\MyStandaloneServer\shares\myshare lauten, wenn Ihr eigenständiger Server den Namen MyStandaloneServer hat. Eigenständige Namespaces unterstützen niedrigere Skalierungsziele als domänenbasierte Namespaces, können aber als Clusterressource in einem Failovercluster gehostet werden.

Anforderungen

Um DFS-Namespaces mit Azure Files und Dateisynchronisierung verwenden zu können, benötigen Sie die folgenden Ressourcen:

• Eine Active Directory-Domäne. Diese kann an einem beliebigen Ort gehostet werden, z. B. lokal, auf einer Azure-VM oder sogar in einer anderen Cloud.
• Eine Windows Server-Instanz, die den Namespace hosten kann. Ein gängiges Muster für die Bereitstellung von DFS-Namespaces ist die Verwendung des Active Directory-Domänencontrollers zum Hosten der Namespaces. Die Namespaces können jedoch von jedem Server mit installierter DFS-Namespaces-Serverrolle eingerichtet werden. DFS-Namespaces ist für alle unterstützten Windows Server-Versionen verfügbar.
• Eine SMB-Dateifreigabe, die in einer Umgebung mit Domäneneinbindung gehostet wird, z. B. eine Azure-Dateifreigabe, die über ein in die Domäne eingebundenes Speicherkonto gehostet wird, oder eine Dateifreigabe, die auf einem in die Domäne eingebundenen Windows-Dateiserver mithilfe der Azure-Dateisynchronisierung gehostet wird. Weitere Informationen zum Domänenbeitritt für Ihr Speicherkonto finden Sie im Artikel über die identitätsbasierte Authentifizierung. Windows-Dateiserver werden in gleicher Weise in die Domäne eingebunden, unabhängig von der Verwendung der Azure-Dateisynchronisierung.
• Die SMB-Dateifreigaben, die Sie mit DFS-Namespaces verwenden möchten, müssen über Ihre lokalen Netzwerke erreichbar sein. Dies ist in erster Linie für Azure-Dateifreigaben von Bedeutung, gilt aber technisch gesehen für alle Dateifreigaben, die in der Cloud gehostet werden. Weitere Informationen finden Sie unter Überlegungen zum Netzwerkbetrieb für Direktzugriff.

Installieren der DFS-Namespaces-Serverrolle

Wenn Sie bereits DFS-Namespaces verwenden oder DFS-Namespaces auf Ihrem Domänencontroller einrichten möchten, können Sie diese Schritte überspringen.

Install-WindowsFeature -Name "FS-DFS-Namespace", "RSAT-DFS-Mgmt-Con"

Übernehmen vorhandener Servernamen mit Stammkonsolidierung

Eine wichtige Verwendung für DFS-Namespaces besteht darin, den Namen eines vorhandenen Servers zu übernehmen, um die physische Anordnung der Dateifreigaben anzupassen. Angenommen, Sie möchten im Rahmen einer Modernisierungsmigration die Dateifreigaben mehrerer alter Dateiserver auf einem einzelnen Dateiserver konsolidieren. Traditionell beschränken Endbenutzerkenntnisse und Dokumentverknüpfung Ihre Fähigkeit, Dateifreigaben von unterschiedlichen Dateiservern auf einem gemeinsamen Host zu konsolidieren. Die DFS-Namespaces Stammkonsolidierungsfunktion ermöglicht es Ihnen jedoch, einen einzelnen Server für mehrere Servernamen einzurichten und an den entsprechenden Freigabenamen weiterzuleiten.

Obwohl dies für verschiedene Szenarien der Migration von Rechenzentren nützlich ist, ist die Stammkonsolidierung vor allem bei der Einführung von Cloud-nativen Azure-Dateifreigaben sinnvoll, denn:

• Azure-Dateifreigaben ermöglichen es Ihnen nicht, vorhandene lokale Servernamen beizubehalten.
• Der Zugriff auf Azure-Dateifreigaben muss über den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) des Speicherkontos erfolgen. Beispielsweise wird auf eine Azure-Dateifreigabe mit dem Namen share im Speicherkonto storageaccount immer über den UNC-Pfad \\storageaccount.file.core.windows.net\share zugegriffen. Dies kann für Endbenutzer verwirrend sein, die einen Kurznamen wie etwa \\MyServer\share oder als Namen eine Unterdomäne des Domänennamens der Organisation erwarten (z. B. \\MyServer.contoso.com\share).

Die Stammkonsolidierung kann nur mit eigenständigen Namespaces verwendet werden. Wenn Sie bereits über einen domänenbasierten Namespace für Ihre Dateifreigaben verfügen, müssen Sie keinen konsolidierten Stammnamespace erstellen.

Aktivieren der Stammkonsolidierung

Aktivieren Sie die Stammkonsolidierung durch Festlegen der folgenden Registrierungsschlüssel aus einer PowerShell-Sitzung mit erhöhten Rechten (oder mithilfe von PowerShell-Remoting).

New-Item `
    -Path "HKLM:SYSTEM\CurrentControlSet\Services\Dfs" `
    -Type Registry `
    -ErrorAction SilentlyContinue
New-Item `
    -Path "HKLM:SYSTEM\CurrentControlSet\Services\Dfs\Parameters" `
    -Type Registry `
    -ErrorAction SilentlyContinue
New-Item `
    -Path "HKLM:SYSTEM\CurrentControlSet\Services\Dfs\Parameters\Replicated" `
    -Type Registry `
    -ErrorAction SilentlyContinue
Set-ItemProperty `
    -Path "HKLM:SYSTEM\CurrentControlSet\Services\Dfs\Parameters\Replicated" `
    -Name "ServerConsolidationRetry" `
    -Value 1

Erstellen von DNS-Einträgen für vorhandene Dateiservernamen

Damit DFS-Namespaces auf vorhandene Dateiservernamen antworten können, erstellen Sie Aliaseinträge (CNAME) für Ihre vorhandenen Dateiserver, die auf den Servernamen der DFS-Namespaces verweisen. Das genaue Verfahren zum Aktualisieren Ihrer DNS-Einträge hängt davon ab, welche Server Ihre Organisation verwendet und ob Ihre Organisation benutzerdefinierte Tools verwendet, um die DNS-Verwaltung zu automatisieren. Die folgenden Schritte gelten für den DNS-Server, der in Windows Server enthalten ist und automatisch von Windows AD verwendet wird.

# Variables
$oldServer = "MyServer"
$domain = Get-CimInstance -ClassName "Win32_ComputerSystem" | `
    Select-Object -ExpandProperty Domain
$dfsnServer = "CloudDFSN.$domain"

# Create CNAME record
Import-Module -Name DnsServer
Add-DnsServerResourceRecordCName `
    -Name $oldServer `
    -HostNameAlias $dfsnServer `
    -ZoneName $domain

Erstellen eines Namespace

Die grundlegende Verwaltungseinheit für DFS-Namespaces ist der Namespace. Der Namespacestamm bzw. -name ist der Ausgangspunkt des Namespace. Beispielsweise lautet im UNC-Pfad \\contoso.com\Public\ der Namespacestamm Public.

Wenn Sie DFS-Namespaces verwenden, um einen vorhandenen Servernamen per Stammkonsolidierung zu übernehmen, muss der Namespacename dem zu übernehmenden Servernamen einschließlich dem Präfix # entsprechen. Wenn Sie beispielsweise einen vorhandenen Server mit dem Namen MyServer übernehmen möchten, erstellen Sie einen DFS-N-Namespace mit dem Namen #MyServer. Der folgende PowerShell-Abschnitt sorgt dafür, dass das Zeichen # vorangestellt wird. Wenn Sie den Namespace jedoch über die DFS-Verwaltungskonsole erstellen, müssen Sie das Voranstellen entsprechend vornehmen.

# Variables
$namespace = "Public"
$type = "DomainV2" # "Standalone"
$takeOverName = $false # $true

$namespace = if ($takeOverName -and $type -eq "Standalone" -and $namespace[0] -ne "#") { 
    "#$namespace" 
} else { $namespace }
$dfsnServer = $env:ComputerName
$namespaceServer = if ($type -eq "DomainV2") { 
    Get-CimInstance -ClassName "Win32_ComputerSystem" | `
    Select-Object -ExpandProperty Domain
} else { $dfsnServer }

# Create share for DFS-N namespace
$smbShare = "C:\DFSRoots\$namespace"
if (!(Test-Path -Path $smbShare)) { New-Item -Path $smbShare -ItemType Directory }
New-SmbShare -Name $namespace -Path $smbShare -FullAccess Everyone

# Create DFS-N namespace
Import-Module -Name DFSN
$namespacePath = "\\$namespaceServer\$namespace"
$targetPath = "\\$dfsnServer\$namespace"
New-DfsnRoot -Path $namespacePath -TargetPath $targetPath -Type $type

Konfigurieren von Ordnern und Ordnerzielen

Damit ein Namespace nützlich ist, muss er Ordner und Ordnerziele enthalten. Jeder Ordner kann eines oder mehrere Ordnerziele umfassen, bei denen es sich um Zeiger auf die SMB-Dateifreigaben handelt, die diesen Inhalt hosten. Wenn Benutzer einen Ordner mit Ordnerzielen durchsuchen, erhält der Clientcomputer einen Verweis, über den der Clientcomputer transparent an eines der Ordnerziele umgeleitet wird. Sie können auch Ordner ohne Ordnerziele verwenden, um dem Namespace Struktur und Hierarchie hinzuzufügen.

Sie können sich DFS-Namespaceordner wie Dateifreigaben vorstellen.

# Variables
$shareName = "MyShare"
$targetUNC = "\\storageaccount.file.core.windows.net\myshare"

# Create folder and folder targets
$sharePath = "$namespacePath\$shareName"
New-DfsnFolder -Path $sharePath -TargetPath $targetUNC

Nachdem Sie nun einen Namespace, einen Ordner und ein Ordnerziel erstellt haben, sollten Sie Ihre Dateifreigabe über DFS-Namespaces einbinden können. Wenn Sie einen domänenbasierten Namespace verwenden, sollte der vollständige Pfad für Ihre Freigabe \\<domain-name>\<namespace>\<share> lauten. Bei Verwendung eines eigenständigen Namespace sollte der vollständige Pfad für Ihre Freigabe \\<DFS-server>\<namespace>\<share> lauten. Wenn Sie einen eigenständigen Namespace mit Stammkonsolidierung verwenden, können Sie direkt über Ihren alten Servernamen zugreifen, z. B. \\<old-server>\<share>.

Zugriffsbasierte Aufzählung (Access-Based Enumeration, ABE)

Die Verwendung von ABE zum Steuern der Sichtbarkeit von Dateien und Ordnern in Azure-SMB-Dateifreigaben ist derzeit kein unterstütztes Szenario. ABE ist ein Feature von DFS-N, sodass es möglich ist, die identitätsbasierte Authentifizierung zu konfigurieren und das ABE-Feature zu aktivieren. Dies gilt jedoch nur für die DFS-N-Ordnerziele; sie gilt nicht rückwirkend auf die zielbezogenen Dateifreigaben selbst. Dies liegt daran, dass DFS-N durch Empfehlung funktioniert, anstatt als Proxy vor dem Ordnerziel.

Wenn der Benutzer z. B. den Pfad \\mydfsnserver\share eingibt, ruft der SMB-Client den Verweis von \\mydfsnserver\share => \\server123\share ab und nimmt damit die Einbindung vor.

Aus diesem Grund funktioniert ABE nur in Fällen, in denen der DFS-N-Server die Liste der Benutzernamen vor der Umleitung hostet:

\\DFSServer\users\contosouser1 => \\SA.file.core.windows.net\contosouser1

\\DFSServer\users\contosouser1 => \\SA.file.core.windows.net\users\contosouser1

(Wobei contosouser1 ein Unterordner der Benutzerfreigabe ist)

Wenn jeder Benutzer nach der Umleitung ein Unterordner ist, funktioniert ABE nicht:

\\DFSServer\SomePath\users --> \\SA.file.core.windows.net\users

Siehe auch

• Bereitstellen einer Azure-Dateifreigabe: Planung für eine Azure Files-Bereitstellung und Erstellen einer Azure-Dateifreigabe
• Konfigurieren des Zugriffs auf Dateifreigaben: Identitätsbasierte Authentifizierung und Azure Files – Überlegungen zum Netzwerkbetrieb
• Übersicht über DFS-Namespaces