Azure「Deploy Azure File Sync」の変更点｜2026年6月の権限要件を解説

Azure の「Deploy Azure File Sync」は、2026年6月12日の更新で、クラウドエンドポイントの作成・更新に必要なストレージアカウント権限が明確化されました。

結論として、Storage Sync Service に「Azure File Sync Administrator」が割り当てられているだけでは、操作内容によっては権限が不足します。ストレージアカウント側が「Reader」のみの場合、対象のファイル共有を参照できても、クラウドエンドポイントの作成や更新に失敗する可能性があります。

既存の同期構成を直ちに作り直す必要はありません。ただし、新規導入、同期グループの追加、クラウドエンドポイントの変更、マネージドIDへの移行を予定している管理者は、作業前にRBAC設定を確認する必要があります。

Azure の新機能・変更点：Deploy Azure File Sync で何が変わったか

Microsoftの公式ドキュメントリポジトリでは、2026年6月12日に「Deploy Azure File Sync」に対して3件の更新が行われました。変更の中心は、Azure File Syncの機能追加ではなく、Storage Sync Serviceとストレージアカウントの権限要件の明確化です。(GitHub)

主な変更点を整理すると、次のとおりです。

確認項目	2026年6月12日の更新内容
Storage Sync Serviceの権限	サーバー登録や同期構成の管理には、Azure File Sync Administrator、Owner、Contributorなどが必要
ストレージアカウントの権限	クラウドエンドポイントの作成・更新には、Storage Sync Service側とは別の権限が必要
Readerの扱い	ストレージアカウントのReaderだけでは作成・更新できないことが明記された
非マネージドID構成	`listKeys/action`と`ListAccountSas/action`を含むロールが必要
マネージドID構成	Azure File SyncのマネージドIDやサービスプリンシパルに、ストレージ側の適切なロールが必要

特に重要なのは、「ストレージアカウントが見える」ことと「クラウドエンドポイントを作成できる」ことは別という点です。Readerが割り当てられていればAzureポータル上でストレージアカウントを選択できますが、必要なアクションが不足しているため、作成処理の途中で失敗することがあります。(GitHub)

今回の変更で影響を受けるユーザー

一般のファイル共有利用者が設定を変更する必要はありません。主に影響を受けるのは、Azure File Syncを構築・変更する管理者や自動化処理です。

利用状況	影響
既存の構成で同期を継続するだけ	今回の権限更新による直接的な影響は限定的
新しい同期グループを作成する	ストレージアカウント側の権限確認が必要
クラウドエンドポイントを追加・更新する	影響が大きい
Readerのみで運用している	作成・更新に失敗する可能性が高い
Terraformやスクリプトで構築している	実行用サービスプリンシパルの確認が必要
マネージドIDへ移行する	マネージドID用ロールとエージェントバージョンの確認が必要
DFS-Rから移行する	新しいエンドポイントの作成前に権限を準備する必要がある

実務上、注意したいのは自動化アカウントです。管理者本人に十分な権限があっても、Azure CLI、PowerShell、IaC、CI/CDが別のサービスプリンシパルで動いていれば、そのプリンシパルにも必要な権限が必要です。

Azure File Syncで必要になる権限

Storage Sync Service側の権限

Windows Serverの登録やAzure File Syncリソースの管理には、Storage Sync Serviceのスコープで、次のいずれかの管理ロールが必要です。

Azure File Sync Administrator
Owner
Contributor

最小権限を重視する場合は、Azure File Sync専用の組み込みロールである「Azure File Sync Administrator」が候補になります。このロールはStorage Sync Serviceを管理できる一方、ロール割り当てについてはABAC条件で対象ロールとプリンシパルが制限されています。(Microsoft Learn)

ただし、このロールだけでストレージアカウントに対するすべての操作が許可されるわけではありません。クラウドエンドポイントを作成・更新する場合は、次に説明するストレージアカウント側の権限も確認します。

非マネージドID構成で必要な権限

共有キーなどを利用する非マネージドID構成では、操作する管理者やサービスプリンシパルのロールに、少なくとも次のアクションが含まれている必要があります。

Microsoft.Storage/storageAccounts/listKeys/action
Microsoft.Storage/storageAccounts/ListAccountSas/action

公式ドキュメントでは、これらを含む組み込みロールとして「Reader and Data Access」または「Storage Account Contributor」が例示されています。(GitHub)

主なロールの違いは次のとおりです。

ロール	主な用途	注意点
Reader	リソースの参照	クラウドエンドポイントの作成・更新には不足
Reader and Data Access	参照とキー・SAS取得	アカウントキーを通じてデータへアクセスできる強い権限
Storage Account Contributor	ストレージアカウントの管理	管理範囲が広く、最小権限にはなりにくい
Azure File Sync Administrator	Storage Sync Serviceの管理	ストレージアカウント側の権限を別途確認する
Storage File Data Privileged Contributor	マネージドIDによるファイルデータ操作	ACLを上書きできる強いデータプレーン権限

「Reader and Data Access」は名称がReaderに似ていますが、単純な読み取り専用ロールではありません。ストレージアカウントキーとAccount SASの取得アクションを含み、キーを利用してアカウント内のデータへアクセスできます。割り当てる場合は、サブスクリプション全体ではなく、対象のストレージアカウントまでスコープを絞ることが重要です。(Microsoft Learn)

マネージドID構成で必要な権限

Azure File Syncは、エージェントバージョン20.0.0.0以降でシステム割り当てマネージドIDを利用できます。マネージドIDを有効にすると、共有キーを使わず、Microsoft Entra IDによる認証へ切り替えられます。

公式の設定処理では、主に次のロールが割り当てられます。

対象ID	割り当て先	ロール
Storage Sync ServiceのマネージドID	ストレージアカウント	Storage Account Contributor
Storage Sync ServiceのマネージドID	Azureファイル共有	Storage File Data Privileged Contributor
登録済みサーバーのマネージドID	Azureファイル共有	Storage File Data Privileged Contributor

AzureポータルのStorage Sync Serviceから「Managed identity」を有効にするか、Set-AzStorageSyncServiceIdentityを実行すると、必要なIDの有効化とロール割り当てが行われます。実行者には、Azure File Sync Administrator、Owner、またはMicrosoft.Authorization/roleAssignments/writeを含む権限が必要です。(Microsoft Learn)

マネージドID構成では、Storage Sync Service、登録サーバー、マネージドID、ストレージアカウントのRBAC割り当てを同じMicrosoft Entraテナント内に置く必要があります。クロステナント構成はサポートされません。(Microsoft Learn)

Azureポータルで権限を確認する手順

操作主体を特定する

最初に、誰の権限でクラウドエンドポイントを作成するのかを確認します。

確認対象は、管理者本人だけとは限りません。

Azureポータルへサインインするユーザー
Azure CLIやPowerShellを実行するユーザー
TerraformやBicepを実行するサービスプリンシパル
Azure DevOpsやGitHub Actionsで使うID
Storage Sync Serviceと登録サーバーのマネージドID

権限エラーが発生したときは、実際に処理を実行しているプリンシパルを取り違えていないか確認してください。

Storage Sync ServiceのIAMを確認する

Azureポータルで対象のStorage Sync Serviceを開きます。
「アクセス制御（IAM）」を選択します。
「アクセスの確認」または「ロールの割り当て」で、操作主体を検索します。
Azure File Sync Administrator、Owner、Contributorのいずれかが、有効なスコープで割り当てられているか確認します。
グループや上位スコープから継承された割り当ても確認します。

ストレージアカウントのIAMを確認する

クラウドエンドポイントが参照するストレージアカウントを開きます。
「アクセス制御（IAM）」を選択します。
操作主体またはマネージドIDを検索します。
非マネージドID構成では、listKeys/actionとListAccountSas/actionを含むロールがあるか確認します。
マネージドID構成では、Storage Account ContributorやStorage File Data Privileged Contributorが適切なIDに割り当てられているか確認します。

Azure RBACのロールを新たに割り当てる管理者には、Role Based Access Control AdministratorやUser Access Administratorなど、Microsoft.Authorization/roleAssignments/writeを持つロールが必要です。(Microsoft Learn)

Azure CLIでは、次のコマンドで対象プリンシパルのロール割り当てを確認できます。

az role assignment list \
  --assignee-object-id <オブジェクトID> \
  --scope <ストレージアカウントのリソースID> \
  --include-inherited \
  --output table

カスタムロールを使用している場合は、ロール名だけで判断せず、必要な2つのアクションが定義に含まれているか確認します。(Microsoft Learn)

ストレージアカウント設定を確認する

公式のデプロイガイドでは、Azure File Syncで使用するストレージアカウントについて、次の設定が前提として示されています。

SMB 3.1.1を許可する
NTLM v2認証を許可する
AES-128-GCM暗号化を許可する
「Allow storage account key access」を有効にする

特に非マネージドID構成では、RBACが正しくてもストレージアカウントキーへのアクセスが無効になっていると、想定どおりに処理できない可能性があります。組織のAzure Policyで共有キーアクセスを禁止している場合は、例外設定を追加する前にマネージドID構成への移行を検討してください。(Microsoft Learn)

エージェント更新は必要か

2026年6月12日の変更は、Azure File Syncエージェントの必須更新ではなく、クラウドエンドポイントの権限要件に関するドキュメント更新です。そのため、RBACエラーをエージェントの再インストールだけで解消することはできません。

一方、エージェントは別途、サポート期限を管理する必要があります。2026年6月12日時点で公式リリースノートに掲載されている新しいバージョンは22.3.0.0で、Windows Server 2016、2019、2022、2025がサポート対象です。Microsoft Updateによる更新を有効にし、定期的に最新バージョンを確認する運用が推奨されます。(Microsoft Learn)

Azure File Syncエージェントには有効期限があります。有効期限切れのエージェントはStorage Sync Serviceへ接続できず、同期が停止します。Azure Monitorでは、有効期限の90日前から警告するアラートを設定できます。(Microsoft Learn)

既存環境の更新・移行で確認すること

今回の権限変更だけを理由に、既存の同期グループやクラウドエンドポイントを削除・再作成する必要はありません。

ただし、次の作業を行うときは、新しい権限要件に基づいて事前確認します。

新しいAzureファイル共有をクラウドエンドポイントとして追加する
クラウドエンドポイントの設定を更新する
Storage Sync Serviceやストレージアカウントを移動する
DFS-RからAzure File Syncへ移行する
サーバーを入れ替えて新しいエンドポイントを作成する
共有キー認証からマネージドIDへ切り替える

マネージドIDへ移行する場合、エージェント20.0.0.0以降が必要です。有効化後、登録済みサーバーがマネージドIDを実際に利用し始めるまで最大15分程度かかる場合があります。移行直後は、Storage Sync Serviceの「Managed identity」画面やActiveAuthTypeを確認してから作業を完了してください。(Microsoft Learn)

料金への影響

2026年6月12日のドキュメント更新では、Azure File Syncの料金改定は案内されていません。RBACロールを追加すること自体にも利用料金は発生しません。

Azure File Syncの総コストは、主に次の要素で決まります。

費用項目	確認内容
Azure File Sync	クラウドエンドポイントへ接続するサーバー数に応じた月額料金
Azure Files	ファイル共有の使用容量
トランザクション	読み取り、書き込み、一覧取得などのアクセス
データ転送	Azureリージョン外への送信データ
スナップショットやバックアップ	保持する差分データと期間
クラウド階層化	Azure側の容量やファイル呼び戻しによるトランザクション

正確な料金はリージョン、契約、Azure Filesの課金モデルによって異なるため、Azure料金計算ツールや実際の契約価格で確認してください。(Microsoft Azure)

また、2026年1月から、Software Assuranceがあり、Azure Arcに接続されたサーバーでエージェントバージョン22以降を使用する場合、サーバー単位の割引を受けられる制度が案内されています。対象環境では、権限確認とあわせてArc接続状態、エージェントバージョン、ライセンス条件を確認するとよいでしょう。(Microsoft Learn)

対応期限はあるか

2026年6月12日の更新には、権限設定を変更するための一律の移行期限やサービス終了日は記載されていません。

ただし、新規のクラウドエンドポイント作成や既存設定の更新を行う時点では、現在の権限要件を満たしている必要があります。次回の構成変更日に初めて権限不足が判明すると、移行や切り替え作業が止まる可能性があります。

エージェントの有効期限は別の問題です。権限対応に期限がなくても、エージェント期限切れでは同期が停止するため、Azure Monitorの有効期限アラートは早めに設定してください。

失敗しやすいポイント

ReaderとReader and Data Accessを混同する

「Reader」は読み取り専用です。「Reader and Data Access」はキーとAccount SASを取得できる別のロールです。

名前が似ていますが、権限の強さは大きく異なります。単純にReaderを追加しても、クラウドエンドポイントの作成エラーは解消しません。

Storage Sync Serviceだけにロールを割り当てる

Azure File Sync AdministratorをStorage Sync Serviceに割り当てても、ストレージアカウント側の権限がなければクラウドエンドポイントを作成できません。

Storage Sync Serviceとストレージアカウントは、別々のIAM画面で確認します。

間違ったプリンシパルに権限を付与する

管理者本人ではなく、Azure DevOpsのサービス接続やGitHub Actionsのサービスプリンシパルが処理しているケースがあります。

エラーログやデプロイ設定から、実際のオブジェクトIDを特定して確認してください。

必要以上に広いスコープへ権限を付与する

問題を早く解消するために、サブスクリプション全体へOwnerやStorage Account Contributorを付与するのは避けるべきです。

まず対象のストレージアカウントにスコープを限定し、必要な操作だけを許可します。

権限エラーと同期遅延を混同する

Azureファイル共有を直接変更した場合、Azure File Syncの変更検出ジョブが実行されるまで、サーバー側へ反映されないことがあります。通常の変更検出はクラウドエンドポイントごとに24時間に1回開始されるため、権限修正後もファイルがすぐ同期されない場合は、同期状態と変更検出を別々に確認してください。(Microsoft Learn)

管理者が今すぐ確認するチェックリスト

[ ] クラウドエンドポイントを操作するユーザー、サービスプリンシパル、マネージドIDを特定する
[ ] Storage Sync Service側の管理ロールを確認する
[ ] ストレージアカウント側でReaderのみになっていないか確認する
[ ] 非マネージドID構成では、必要な2つのアクションがロールに含まれているか確認する
[ ] マネージドID構成では、Storage Account ContributorとStorage File Data Privileged Contributorの割り当てを確認する
[ ] ロールのスコープが必要以上に広くないか確認する
[ ] Azure File Syncエージェントのバージョンと有効期限アラートを確認する
[ ] Software AssuranceとAzure Arcによる料金割引の対象か確認する
[ ] 次回の本番変更前に、非本番環境でクラウドエンドポイントの作成・更新をテストする

今回の変更で最優先すべき作業は、Azure File Syncの再構築ではなく、操作主体とRBACスコープの棚卸しです。特にReaderのみで運用している環境と、自動化用サービスプリンシパルを利用している環境は、次回の設定変更前に権限を確認してください。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

Azure「Deploy Azure File Sync」の変更点｜2026年6月の権限要件を解説

Azure の新機能・変更点：Deploy Azure File Sync で何が変わったか

今回の変更で影響を受けるユーザー