Se connecter à un partage de fichiers Microsoft Azure

Vous pouvez connecter le serveur d’applications ABBYY FlexiCapture à un partage de fichiers dans Microsoft Azure. Stockez les identifiants du partage soit dans le Gestionnaire d’identifiants Windows, soit dans Azure Key Vault.

Ces instructions supposent qu’un compte de stockage existe déjà dans Microsoft Azure Files et qu’il est accessible par ABBYY FlexiCapture.

Se connecter à l’aide du Gestionnaire d’identifiants Windows

Ouvrez le service Files dans votre compte de stockage

Dans le portail Azure, accédez à votre compte de stockage, abbyystorage dans cet exemple, puis cliquez sur Files dans le volet du compte de stockage.

Capture d’écran du portail Microsoft Azure montrant le volet du compte de stockage abbyystorage avec le service Files mis en évidence.

Créez le partage de fichiers

Attribuez-lui un nom, fcstorage dans cet exemple, ainsi qu’un quota d’espace.

Capture d’écran du portail Microsoft Azure montrant la création d’un partage de fichiers nommé fcstorage avec un nom et un quota spécifiés.

Ouvrez le nouveau partage de fichiers et cliquez sur Connect

Le volet Connect affiche la commande dont vous aurez besoin à l’étape suivante.

Capture d’écran du portail Microsoft Azure montrant le partage de fichiers créé, avec l’option Connect sélectionnée.

Copiez la commande cmdkey dans le Presse-papiers

Copiez-la depuis le volet Connect.

Capture d’écran du volet Connect du portail Microsoft Azure montrant la commande cmdkey en cours de copie dans le Presse-papiers.

Exécutez la commande cmdkey sur le serveur d’applications

Connectez-vous à la machine virtuelle exécutant le serveur d’applications FlexiCapture. Utilisez un compte utilisateur système autorisé à accéder aux services FlexiCapture, fcuser dans cet exemple.Ouvrez l’invite de commandes, puis collez et exécutez la commande cmdkey. Les identifiants du partage de fichiers sont ainsi ajoutés au Gestionnaire d’identifiants Windows.

Capture d’écran de l’invite de commandes Windows dans laquelle la commande cmdkey est collée et exécutée afin d’ajouter les identifiants du partage de fichiers au Gestionnaire d’identifiants Windows.

Vérifiez que l’utilisateur peut accéder au partage de fichiers

Ouvrez l’Explorateur Windows et vérifiez l’accès au partage.

Capture d’écran de l’Explorateur Windows confirmant que l’utilisateur peut accéder au partage de fichiers Azure connecté.

Ouvrez les paramètres du pool d’applications FlexiCapture

Dans le Gestionnaire des services Internet (IIS), sélectionnez le pool d’applications FlexiCapture et cliquez sur Advanced Settings.

Capture d’écran du Gestionnaire IIS avec le pool d’applications FlexiCapture sélectionné et l’option Advanced Settings mise en évidence.

Définissez l’identité du pool et chargez le profil utilisateur

Modifiez l’identité du pool pour utiliser le compte d’utilisateur FlexiCapture disposant des autorisations requises, puis définissez Load User Profile sur True. Cliquez sur OK, puis recyclez le pool d’applications.

Indiquez à ABBYY FlexiCapture le partage à utiliser

Dans l’Administration and Monitoring Console, sélectionnez stockage de fichiers externe et spécifiez le chemin d’accès au partage de fichiers Microsoft Azure.

Capture d’écran de l’Administration and Monitoring Console avec l’option stockage de fichiers externe sélectionnée et le chemin d’accès au partage de fichiers Microsoft Azure spécifié.

Utiliser Azure Key Vault pour se connecter à Microsoft Azure Files

Azure Key Vault est un service cloud qui permet de stocker en toute sécurité des secrets, tels que des clés d’API, des mots de passe et des certificats. Il protège les données sensibles utilisées par vos applications et services cloud. Vous créez et gérez des coffres de clés via le portail Azure. Pour plus d’informations, consultez Concepts de base d’Azure Key Vault dans la documentation Microsoft. Configurez d’abord le portail Azure, puis chaque serveur d’applications.

Dans le portail Azure

Configurer des machines virtuelles pour vos serveurs d’applications

Chaque machine virtuelle exécutant le serveur d’applications doit être inscrite dans Azure Active Directory. Pour plus d’informations, consultez la section Configuration d’une identité managée attribuée par le système de la documentation Microsoft.

Capture d’écran du portail Azure montrant une machine virtuelle du serveur d’applications ABBYY FlexiCapture inscrite dans Azure Active Directory.

Créer un coffre de clés

Sous Modèle d’autorisation, sélectionnez Contrôle d’accès Azure basé sur les rôles.

Ajouter les deux rôles permettant d’enregistrer et d’afficher les secrets

Ajoutez le rôle Key Vault Secrets Officer à votre compte et le rôle Key Vault Secrets User aux objets de machine virtuelle. Pour plus d’informations, consultez la section Accorder à une machine virtuelle l’accès à Azure Resource Manager de la documentation Microsoft.

Ajouter la clé d’accès de votre compte de stockage au coffre de clés en tant que secret

Le nom du secret doit correspondre au nom de votre compte de stockage, sans quoi la connexion à Azure Files échouera. Pour plus d’informations, consultez la section Ajouter un secret à un coffre de clés de la documentation Microsoft.

Capture d’écran du portail Azure montrant l’ajout d’un secret au coffre de clés, dont le nom correspond à celui du compte Azure Storage.

Capture d’écran de la page Clés d’accès d’un compte Azure Storage dans le portail Azure, où est copiée la clé d’accès utilisée comme secret du coffre de clés.

Sur chaque serveur d’applications

Configurez votre compte système pour accéder à Azure Files.

Enregistrez le script de connexion sur chaque machine virtuelle du serveur d’applications

Param(
    [Parameter(Mandatory=$true)][Alias("Share")][ValidateNotNullOrEmpty()][String]$ShareRoot,
    [Parameter(Mandatory=$true)][Alias("Uri")][ValidateNotNullOrEmpty()][String]$VaultUri
)

$StorageAccount = $ShareRoot | Select-String -pattern "(?<=\\)(.*?)(?=(\\|[.]))" | Select-Object -ExpandProperty Matches | Select-Object -ExpandProperty Value
$ShareUser = "Azure\" + $StorageAccount

# Récupérer les paramètres depuis Azure Key Vault
$Response = Invoke-RestMethod -UseBasicParsing -Uri 'https://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fvault.azure.net' -Method GET -Headers @{Metadata="true"}
$BearerToken = $Response.access_token

# SharePass
$Uri = ($VaultUri).TrimEnd('/') + "/secrets/" + $StorageAccount + "?api-version=2016-10-01"
$Response = Invoke-RestMethod -UseBasicParsing -Uri $Uri -Method GET -Headers @{Authorization="Bearer $BearerToken"}
$SharePass = $Response.value
$ShareCredential = New-Object PSCredential($ShareUser, (ConvertTo-SecureString -AsPlainText -Force -String $SharePass))

New-PSDrive -Name "Flexicapture" -PSProvider FileSystem -Root $ShareRoot -Credential $ShareCredential -Scope Global

Le script accepte deux paramètres :

Le chemin d’accès à la racine du dossier réseau Azure, par exemple : \\<name of Azure Storage account>.file.core.windows.net\<name of network folder>.
L’URI du coffre de clés qui stocke la clé d’accès de votre compte Azure Storage. Copiez-le depuis le champ Vault URI de l’onglet Vue d’ensemble du portail Azure.

Capture d’écran de l’onglet Vue d’ensemble du coffre de clés dans le portail Azure, avec le champ Vault URI mis en évidence.

Exécutez le script comme suit :

powershell.exe <path to file with script> -share \\<name of Azure Storage account>.file.core.windows.net\<name of network folder> -uri https://<name of Azure key vault>.vault.azure.net/

Planifiez l’exécution du script au démarrage du système

Créez une tâche dans le Planificateur de tâches qui se déclenche au démarrage du système. Exécutez la tâche sous le compte d’utilisateur System, Network Service ou Local Service. Le pool d’applications IIS doit s’exécuter sous ce même compte.

Capture d’écran du Planificateur de tâches montrant une nouvelle tâche déclenchée au démarrage du système.

Capture d’écran de la tâche du Planificateur de tâches configurée pour s’exécuter sous le compte System, également utilisé pour le pool d’applications IIS.

Différez le démarrage du service IIS jusqu’à l’exécution du script

Ouvrez la boîte de dialogue World Wide Web Publishing Service Properties. Dans l’onglet General, sélectionnez Automatic (Delayed Start) dans la liste Startup type.

Capture d’écran de la boîte de dialogue World Wide Web Publishing Service Properties avec Startup type défini sur Automatic (Delayed Start).

Redémarrez le serveur d’applications

Le script s’exécute alors au démarrage et mappe le partage avant le démarrage d’IIS.

​Se connecter à l’aide du Gestionnaire d’identifiants Windows

​Utiliser Azure Key Vault pour se connecter à Microsoft Azure Files

​Dans le portail Azure

​Sur chaque serveur d’applications

Se connecter à l’aide du Gestionnaire d’identifiants Windows

Utiliser Azure Key Vault pour se connecter à Microsoft Azure Files

Dans le portail Azure

Sur chaque serveur d’applications