Acceder a recursos compartidos de archivos de Azure a veces puede provocar errores, especialmente al usar el script de montaje copiado desde Azure Portal. Un problema habitual es el error “Access Denied” error, que puede producirse al configurar Azure Files como parte de un entorno de Azure Virtual Desktop (AVD) . Esta guía explora la causa raíz del problema y ofrece una resolución, comparando el método Net Use command con el script de Azure Portal .
Caso de uso clave
Este escenario de solución de problemas suele surgir en entornos donde:
- FSLogix Profile Containers se usan con Azure Files.
- La cuenta de almacenamiento de Azure está unida a Active Directory (AD) local.
- Los objetos de directiva de grupo (GPO) restringen el almacenamiento de credenciales, lo que provoca fallos de autenticación.
Resumen del problema
Al intentar montar recursos compartidos de archivos de Azure con el script proporcionado por Azure Portal, los usuarios pueden encontrarse con un error “Access Denied” . Este problema persiste incluso cuando:
- Se usa un host AVD nuevo.
- Se prueba con diferentes cuentas de usuario.
Observaciones
- Error en los registros
- Los registros del backend (recopilados con DGrep y Log Collector) muestran un error Access Denied .
- El error incluye “KerberosClientOtherError”, lo que indica que se está usando la autenticación Kerberos en lugar de la clave de cuenta de almacenamiento .
- Métodos que funcionan frente a métodos que no funcionan
- Net Use Command: Monta correctamente el recurso compartido de archivos de Azure con la clave de cuenta de almacenamiento.
- Script de Azure Portal: Falla porque se usa la autenticación Kerberos en lugar de la clave de cuenta de almacenamiento proporcionada.
Causa raíz
El problema se debe a los siguientes factores:
- Comportamiento del Administrador de credenciales
- El script de Azure Portal guarda las credenciales de la cuenta de almacenamiento en el Administrador de credenciales de Windows.
- Si las credenciales no se pueden almacenar en caché (debido a restricciones de GPO o fallos de caché), el script usa de forma predeterminada las credenciales del usuario actual para la autenticación.
- Restricción de directiva de grupo
- La configuración de GPO “Network access: Do not allow storage of passwords and credentials for network authentication” impide que el Administrador de credenciales almacene credenciales.
- Como resultado, se intenta la autenticación Kerberos, que falla debido a permisos NTFS insuficientes.
Pasos de solución de problemas
Paso 1: verificar el error
Realiza un análisis de trazas de red para ambos métodos:
- Net Use Command: Establece correctamente la conexión SMB con la clave de cuenta de almacenamiento.
- Script de Azure Portal: Intenta la autenticación Kerberos, lo que provoca un error Access Denied .
Paso 2: probar con el comando Net Use
El siguiente Net Use command omite el Administrador de credenciales y proporciona directamente la clave de cuenta de almacenamiento para la autenticación:
net use <desired-drive-letter>: \\<storage-account-name>.file.core.windows.net\<share-name> <storage-account-key> /user:Azure\<storage-account-name>
Por qué funciona:
- Las credenciales se proporcionan explícitamente en el comando.
- No depende del Administrador de credenciales ni de la autenticación Kerberos.
Paso 3: analizar la configuración de directiva de grupo
Ejecuta el siguiente comando para comprobar la configuración de directiva de grupo:
gpresult /h c:\temp\computer.html
Inspecciona el archivo HTML resultante para buscar la configuración de GPO:
“Network access: Do not allow storage of passwords and credentials for network authentication”
Si esta configuración está habilitada, el script de Azure Portal no puede guardar credenciales en el Administrador de credenciales, lo que provoca fallos de autenticación.
Paso 4: resolución
Deshabilitar la GPO restrictiva
- Abre Administración de directivas de grupo en el controlador de dominio.
- Localiza la directiva:
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options
- Network access: Do not allow storage of passwords and credentials for network authentication.
- Establece la directiva en Disabled.
Una vez deshabilitada esta directiva, el script de Azure Portal puede almacenar credenciales en el Administrador de credenciales, lo que permite una autenticación correcta.
Comparación: comando Net Use frente a script de Azure Portal
| Método | Mecanismo de autenticación | Dependencia | Resultado |
|---|---|---|---|
| Net Use Command | Clave de cuenta de almacenamiento | Sin Administrador de credenciales | Correcto |
| Script de Azure Portal | Kerberos (recurre a él si falla la caché) | Administrador de credenciales | Falla si la GPO restringe la caché |
Consejos adicionales
- Probar en entornos de laboratorio
Simula el problema habilitando la configuración de GPO:
Network access: Do not allow storage of passwords and credentials for network authentication. - Referencia de documentación
Sigue la guía oficial: Configurar el contenedor de perfiles FSLogix con Azure Files y AD DS o Microsoft Entra Domain Services. - Configuración de red
Asegúrate de que el puerto 445 esté abierto para el tráfico SMB. Si está bloqueado, usa Azure VPN o ExpressRoute para canalizar el tráfico SMB.
Conclusión
El error Access Denied al usar el script de Azure Portal para montar recursos compartidos de archivos de Azure suele deberse a la configuración restrictiva de GPO que impide el almacenamiento en caché de credenciales. Usar el Net Use command ofrece una solución alternativa fiable al omitir el Administrador de credenciales y proporcionar directamente la clave de cuenta de almacenamiento. Deshabilitar la GPO restrictiva resuelve el problema para el método del script de Azure Portal.