Azure

Azure Files

Allgemeine Infos

Azure Files stellt Dateifreigaben in einem Storage Account bereit. SMB-Freigaben funktionieren mit Windows, Linux und macOS, NFS-Freigaben nur mit Linux. Typische Einsätze sind der Ersatz von Dateiservern, FSLogix-Profile für Azure Virtual Desktop, gemeinsame Konfigurationsablagen und Lift-and-Shift-Anwendungen.

Für SMB-Zugriffe mit Benutzerrechten wählst Du pro Storage Account eine Identitätsquelle: lokales Active Directory (AD DS), Microsoft Entra Domain Services oder Microsoft Entra Kerberos. Entra Kerberos funktioniert ohne Sichtverbindung zum Domänencontroller und unterstützt hybride sowie Cloud-only-Identitäten auf Windows, macOS ist laut Microsoft noch in Preview.

Abrechnungsmodelle: Microsoft empfiehlt für neue Freigaben das Modell Provisioned v2, bei dem Du Speicher, IOPS und Durchsatz getrennt bereitstellst, auf SSD oder HDD. Daneben gibt es Provisioned v1 (nur SSD) und Pay-as-you-go (nur HDD mit den Ebenen Transaction Optimized, Hot und Cool). Abgrenzung: Azure File Sync ist ein eigener Dienst, der Freigaben auf Windows-Servern zwischenspeichert.

Funktionsweise & Details

Aufbau einer SMB-Freigabe mit Benutzerberechtigungen:

  1. Storage Account anlegen (GPv2 für HDD, FileStorage für SSD) und Freigabe mit Kapazität, IOPS und Durchsatz bereitstellen.
  2. Identitätsbasierte Authentifizierung aktivieren, etwa Entra Kerberos oder den Domain Join des Kontos ins lokale AD.
  3. Berechtigungen auf Freigabeebene per Azure RBAC vergeben (zum Beispiel Storage File Data SMB Share Contributor).
  4. NTFS-Berechtigungen auf Verzeichnis- und Dateiebene wie gewohnt per Explorer oder icacls setzen.
  5. Clients binden die Freigabe per UNC-Pfad \\<konto>.file.core.windows.net\<freigabe> ein. SMB benötigt ausgehend TCP 445, das viele Provider im Internet sperren. Deshalb erfolgt der Zugriff meist über VPN, ExpressRoute oder Private Endpoint.

Schutz bieten Freigabe-Snapshots, Soft Delete und Azure Backup. Bei Provisioned v2 lassen sich Werte jederzeit erhöhen, Senkungen sind frühestens 24 Stunden nach der letzten Erhöhung möglich.

Vorteile & Nutzen

  • Kein Dateiserver-Betriebssystem mehr patchen und sichern, weil Microsoft die Plattform betreibt.
  • Entra Kerberos erlaubt Zugriff von Entra-joined Clients ohne Domänencontroller in Reichweite, was Cloud-first-Szenarien vereinfacht.
  • Provisioned v2 macht Leistung planbar, da IOPS und Durchsatz unabhängig von der Kapazität eingestellt werden.
  • FSLogix-Profile auf Premium-Freigaben liefern für AVD die nötige Latenz ohne eigene Storage-Infrastruktur.
  • Mit Azure File Sync bleiben häufig genutzte Dateien lokal schnell verfügbar, während die Gesamtdaten in Azure liegen.

Praxisbeispiel

Ein Steuerberatungsbüro mit 60 Mitarbeitenden betreibt Azure Virtual Desktop für alle Arbeitsplätze. Die FSLogix-Profile lagen anfangs auf einer VM mit Dateiserver-Rolle, die regelmäßig volllief. Die IT verschiebt die Profile auf eine SSD-Freigabe mit Provisioned v2, aktiviert Entra Kerberos für die hybriden Benutzer und bindet die Freigabe per Private Endpoint an. Die Anmeldezeiten werden kürzer und die Dateiserver-VM entfällt.

Worauf sollte man achten?

  • Plane die Identitätsquelle vor dem Rollout, da pro Storage Account nur eine Quelle aktiv sein kann.
  • Port 445 ist aus vielen Netzen gesperrt. Nutze Private Endpoints über VPN oder ExpressRoute statt den öffentlichen Endpunkt.
  • Schließe die App des Storage Accounts bei Entra Kerberos laut Microsoft von MFA-Richtlinien aus, sonst schlägt der Zugriff fehl.
  • Wähle Provisioned v2 für neue Freigaben und dimensioniere IOPS und Durchsatz nach Messwerten, nicht nach Kapazität.
  • Aktiviere Azure Backup oder zumindest Snapshots und Soft Delete, denn eine Freigabe ohne Sicherung ist kein Dateiserver-Ersatz.

Lizenz & Verfügbarkeit

Abrechnung über das Azure-Abonnement je nach Modell: Provisioned v2 (SSD und HDD) nach bereitgestellter Kapazität, IOPS und Durchsatz, Provisioned v1 (SSD) nach Kapazität, Pay-as-you-go (HDD) nach genutzter Kapazität, Transaktionen und Datenübertragung. Reservierungen gelten nur für Provisioned v1 und HDD Pay-as-you-go. Identitätsbasierte Anmeldung kostet nichts extra. Stand: Oktober 2026.

Fazit

Azure Files ersetzt klassische Dateiserver und ist der Standard für FSLogix-Profile in AVD. Kläre Identitätsquelle, Netzwerkweg und Abrechnungsmodell, bevor Du produktive Daten verschiebst.

Weiterführende Links

Verwandte Artikel