Microsoft Azure ファイル共有に接続する

ABBYY FlexiCapture Application Server を Microsoft Azure Files のファイル共有に接続し、資格情報を Credential Manager に保存して、IIS アプリケーション プールを設定します。

ABBYY FlexiCapture Application Server を Microsoft Azure のファイル共有に接続できます。共有の資格情報は、Windows Credential Manager または Azure Key Vault に保存します。

Microsoft Azure Files ですでにストレージ アカウントが作成されており、ABBYY FlexiCapture で使用できる状態であることを前提としています。

​

Windows Credential Manager を使用して接続する

1. ストレージ アカウントで Files サービスを開く

   Azure ポータルで、この例では abbyystorage のストレージ アカウントを開き、ストレージ アカウント ペインで Files をクリックします。

   
2. ファイル共有を作成する

   この例では、名前を fcstorage に設定し、容量クォータを指定します。

   
3. 新しいファイル共有を開いて Connect をクリックする

   Connect ペインに、次の手順で必要となるコマンドが表示されます。

   
4. cmdkey コマンドを Clipboard にコピーする

   Connect ペインからコピーします。

   
5. Application Server で cmdkey コマンドを実行する

   FlexiCapture Application Server が稼働している仮想マシンにログオンします。この例では、FlexiCapture サービスにアクセスする権限を持つ fcuser というシステム ユーザーを使用します。

   コマンドライン プロンプトを開き、cmdkey コマンドを貼り付けて実行します。これにより、ファイル共有の資格情報が Windows Credential Manager に追加されます。

   
6. ユーザーがファイル共有にアクセスできることを確認する

   Windows Explorer を開き、アクセスできることを確認します。

   
7. FlexiCapture アプリケーション プールの設定を開く

   Internet Information Services (IIS) Manager で FlexiCapture アプリケーション プールを選択し、Advanced Settings をクリックします。

   
8. プール ID を設定してユーザー プロファイルをロードする

   プール ID を必要な権限を持つ FlexiCapture ユーザー アカウントに変更し、Load User Profile を True に設定します。OK をクリックしてから、アプリケーション プールをリサイクルします。

   
9. ABBYY FlexiCapture で共有を指定する

   管理および監視コンソールで Use external file storage を選択し、Microsoft Azure のファイル共有へのパスを指定します。

   

​

Azure Key Vault を使用して Microsoft Azure Files に接続する

Azure Key Vault は、API キー、パスワード、証明書などのシークレットを安全に保存するためのクラウド サービスです。クラウド アプリケーションやサービスで使用する機密データを保護します。

Key Vault は Azure ポータル で作成および管理できます。詳細については、Microsoft のドキュメントの Azure Key Vault の基本概念を参照してください。

まず Azure ポータルを構成し、次に各 Application Server を構成します。

​

Azure ポータルで

1. Application Server 用の仮想マシンを設定する

   Application Server を実行するすべての仮想マシンを Azure Active Directory に登録する必要があります。詳細については、Microsoft のドキュメントのシステム割り当てマネージド ID の構成を参照してください。

   
2. 新しいキー コンテナーを作成する

   アクセス許可モデルで、Azure ロールベースのアクセス制御を選択します。

   
3. シークレットの保存と表示を許可する 2 つのロールを追加する

   アカウントには Key Vault Secrets Officer を、仮想マシン オブジェクトには Key Vault Secrets User を追加します。詳細については、Microsoft のドキュメントの仮想マシンへの Azure Resource Manager アクセスの付与を参照してください。

4. ストレージ アカウントのアクセス キーをシークレットとしてキー コンテナーに追加する

   シークレット名はストレージ アカウント名と一致している必要があります。一致しない場合、Azure Files への接続に失敗します。詳細については、Microsoft のドキュメントのキー コンテナーへのシークレットの追加を参照してください。

   

   

​

各 Application Server で

Azure Files にアクセスできるよう、システム アカウントを構成します。

1. 各 Application Server 仮想マシンに接続スクリプトを保存する

   Param(
       [Parameter(Mandatory=$true)][Alias("Share")][ValidateNotNullOrEmpty()][String]$ShareRoot,
       [Parameter(Mandatory=$true)][Alias("Uri")][ValidateNotNullOrEmpty()][String]$VaultUri
   )
   
   $StorageAccount = $ShareRoot | Select-String -pattern "(?<=\\)(.*?)(?=(\\|[.]))" | Select-Object -ExpandProperty Matches | Select-Object -ExpandProperty Value
   $ShareUser = "Azure\" + $StorageAccount
   
   # Azure Key Vaultからパラメーターを取得する
   $Response = Invoke-RestMethod -UseBasicParsing -Uri 'https://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fvault.azure.net' -Method GET -Headers @{Metadata="true"}
   $BearerToken = $Response.access_token
   
   # SharePass（共有パスワード）
   $Uri = ($VaultUri).TrimEnd('/') + "/secrets/" + $StorageAccount + "?api-version=2016-10-01"
   $Response = Invoke-RestMethod -UseBasicParsing -Uri $Uri -Method GET -Headers @{Authorization="Bearer $BearerToken"}
   $SharePass = $Response.value
   $ShareCredential = New-Object PSCredential($ShareUser, (ConvertTo-SecureString -AsPlainText -Force -String $SharePass))
   
   New-PSDrive -Name "Flexicapture" -PSProvider FileSystem -Root $ShareRoot -Credential $ShareCredential -Scope Global
   

   スクリプトは次の 2 つのパラメーターを受け取ります。

   • ネットワーク Azure フォルダーのルート パス。例: \\<name of Azure Storage account>.file.core.windows.net\<name of network folder>。
   • Azure Storage アカウント のアクセス キーを格納する Key Vault の URI。Azure ポータルの Overview タブにある Vault URI field からコピーします。

   

   次のようにスクリプトを実行します。

   powershell.exe <path to file with script> -share \\<name of Azure Storage account>.file.core.windows.net\<name of network folder> -uri https://<name of Azure key vault>.vault.azure.net/
   
2. システム起動時にスクリプトが実行されるようスケジュールする

   システム起動イベントをトリガーとして実行されるタスクを Task Scheduler で作成します。このタスクは、System、Network Service、または Local Service のユーザー アカウントで実行します。IIS のアプリケーション プールも同じアカウントで実行する必要があります。

   

   
3. スクリプトの後に IIS サービスが起動するよう遅延させる

   World Wide Web Publishing Service Properties ダイアログを開きます。General タブで、Startup type リストから Automatic (Delayed Start) を選択します。

   
4. Application Server を再起動する

   スクリプトは起動時に実行され、IIS が起動する前に共有をマップします。