Der Zugriff auf Azure-Dateifreigaben kann manchmal zu Fehlern führen, insbesondere bei Verwendung des Mount-Skripts, das aus dem Azure-Portal kopiert wurde. Ein häufiges Problem ist der Fehler “Access Denied” Fehler, der beim Konfigurieren von Azure Files als Teil einer Azure Virtual Desktop (AVD) -Umgebung auftreten kann. Dieser Leitfaden untersucht die Ursache des Problems und bietet eine Lösung, indem die Methode Net Use command mit dem Azure-Portal-Skript verglichen wird.
Wichtiger Anwendungsfall
Dieses Fehlerbehebungsszenario tritt typischerweise in Umgebungen auf, in denen:
- FSLogix Profile Containers mit Azure Files verwendet werden.
- Das Azure-Speicherkonto ist mit einem lokalen Active Directory (AD) verbunden.
- Gruppenrichtlinienobjekte (GPOs) beschränken die Speicherung von Anmeldeinformationen, was zu Authentifizierungsfehlern führt.
Problemübersicht
Beim Versuch, Azure-Dateifreigaben mit dem vom Azure-Portal bereitgestellten Skript einzubinden, kann bei Benutzern der Fehler “Access Denied” auftreten. Dieses Problem bleibt selbst dann bestehen, wenn:
- Ein neuer AVD-Host verwendet wird.
- Mit verschiedenen Benutzerkonten getestet wird.
Beobachtungen
- Fehler in den Protokollen
- Die Backend-Protokolle (gesammelt über DGrep und Log Collector) zeigen einen Fehler Access Denied .
- Der Fehler enthält “KerberosClientOtherError”, was darauf hinweist, dass die Kerberos-Authentifizierung anstelle des Speicherkonto-Schlüssels verwendet wird.
- Funktionierende im Vergleich zu nicht funktionierenden Methoden
- Net Use Command: Bindet die Azure-Dateifreigabe erfolgreich mit dem Speicherkonto-Schlüssel ein.
- Azure-Portal-Skript: Schlägt fehl, da die Kerberos-Authentifizierung anstelle des bereitgestellten Speicherkonto-Schlüssels verwendet wird.
Ursache
Das Problem wird durch die folgenden Faktoren verursacht:
- Verhalten der Anmeldeinformationsverwaltung
- Das Azure-Portal-Skript speichert die Anmeldeinformationen des Speicherkontos in der Windows-Anmeldeinformationsverwaltung.
- Wenn die Anmeldeinformationen nicht zwischengespeichert werden können (aufgrund von GPO-Einschränkungen oder Cache-Fehlern), verwendet das Skript standardmäßig die Anmeldeinformationen des aktuellen Benutzers zur Authentifizierung.
- Gruppenrichtlinieneinschränkung
- Die GPO-Einstellung “Network access: Do not allow storage of passwords and credentials for network authentication” verhindert, dass die Anmeldeinformationsverwaltung Anmeldeinformationen speichert.
- Infolgedessen wird die Kerberos-Authentifizierung versucht, die aufgrund unzureichender NTFS-Berechtigungen fehlschlägt.
Schritte zur Fehlerbehebung
Schritt 1: Fehler überprüfen
Führen Sie für beide Methoden eine Netzwerk-Trace-Analyse durch:
- Net Use Command: Stellt die SMB-Verbindung erfolgreich mit dem Speicherkonto-Schlüssel her.
- Azure-Portal-Skript: Versucht die Kerberos-Authentifizierung, was zu einem Fehler Access Denied .
Schritt 2: Mit dem Befehl „Net Use“ testen
Der folgende Net Use command umgeht die Anmeldeinformationsverwaltung und stellt den Speicherkonto-Schlüssel direkt zur Authentifizierung bereit:
net use <desired-drive-letter>: \\<storage-account-name>.file.core.windows.net\<share-name> <storage-account-key> /user:Azure\<storage-account-name>
Warum das funktioniert:
- Die Anmeldeinformationen werden explizit im Befehl angegeben.
- Keine Abhängigkeit von der Anmeldeinformationsverwaltung oder der Kerberos-Authentifizierung.
Schritt 3: Gruppenrichtlinieneinstellungen analysieren
Führen Sie den folgenden Befehl aus, um die Gruppenrichtlinienkonfiguration zu überprüfen:
gpresult /h c:\temp\computer.html
Prüfen Sie die resultierende HTML-Datei auf die GPO-Einstellung:
“Network access: Do not allow storage of passwords and credentials for network authentication”
Wenn diese Einstellung aktiviert ist, kann das Azure-Portal-Skript keine Anmeldeinformationen in der Anmeldeinformationsverwaltung speichern, was zu Authentifizierungsfehlern führt.
Schritt 4: Lösung
Restriktive GPO deaktivieren
- Öffnen Sie Gruppenrichtlinienverwaltung auf dem Domänencontroller.
- Suchen Sie die Richtlinie:
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options
- Network access: Do not allow storage of passwords and credentials for network authentication.
- Legen Sie die Richtlinie auf Disabled.
Sobald diese Richtlinie deaktiviert ist, kann das Azure-Portal-Skript Anmeldeinformationen in der Anmeldeinformationsverwaltung speichern, was eine erfolgreiche Authentifizierung ermöglicht.
Vergleich: Net Use-Befehl im Vergleich zum Azure-Portal-Skript
| Methode | Authentifizierungsmechanismus | Abhängigkeit | Ergebnis |
|---|---|---|---|
| Net Use Command | Speicherkonto-Schlüssel | Keine Anmeldeinformationsverwaltung | Erfolgreich |
| Azure-Portal-Skript | Kerberos (Fallback, wenn der Cache fehlschlägt) | Anmeldeinformationsverwaltung | Schlägt fehl, wenn die GPO den Cache einschränkt |
Weitere Tipps
- Testen in Laborumgebungen
Simulieren Sie das Problem, indem Sie die GPO-Einstellung aktivieren:
Network access: Do not allow storage of passwords and credentials for network authentication. - Dokumentationsreferenz
Folgen Sie der offiziellen Anleitung: FSLogix-Profilcontainer mit Azure Files und AD DS oder Microsoft Entra Domain Services einrichten. - Netzwerkkonfiguration
Stellen Sie sicher, dass Port 445 für SMB-Datenverkehr geöffnet ist. Verwenden Sie bei einer Blockierung Azure VPN oder ExpressRoute, um SMB-Datenverkehr zu tunneln.
Fazit
Der Fehler Access Denied bei der Verwendung des Azure-Portal-Skripts zum Einbinden von Azure-Dateifreigaben wird häufig durch restriktive GPO-Einstellungen verursacht, die das Zwischenspeichern von Anmeldeinformationen verhindern. Die Verwendung des Net Use command bietet eine zuverlässige Problemumgehung, indem die Anmeldeinformationsverwaltung umgangen und der Speicherkonto-Schlüssel direkt bereitgestellt wird. Das Deaktivieren der restriktiven GPO behebt das Problem für die Azure-Portal-Skript-Methode.