L'accès aux partages de fichiers Azure peut parfois entraîner des erreurs, en particulier lors de l'utilisation du script de montage copié depuis le portail Azure. Un problème courant est l'erreur “Access Denied” erreur, qui peut survenir lors de la configuration d'Azure Files dans le cadre d'un environnement Azure Virtual Desktop (AVD) . Ce guide explore la cause première du problème et propose une résolution, en comparant la méthode Net Use command à le script du portail Azure .
Cas d'utilisation clé
Ce scénario de dépannage survient généralement dans les environnements où :
- FSLogix Profile Containers sont utilisés avec Azure Files.
- Le compte de stockage Azure est joint à Active Directory (AD) local.
- Les objets de stratégie de groupe (GPO) limitent le stockage des informations d'identification, ce qui provoque des échecs d'authentification.
Aperçu du problème
Lorsque vous tentez de monter des partages de fichiers Azure à l'aide du script fourni par le portail Azure, vous pouvez rencontrer une erreur “Access Denied” . Ce problème persiste même lorsque :
- Utilisation d'un nouvel hôte AVD.
- Test avec différents comptes d'utilisateur.
Observations
- Erreur dans les journaux
- Les journaux du backend (collectés via DGrep et Log Collector) montrent une erreur Access Denied .
- L'erreur comprend “KerberosClientOtherError”, ce qui indique que l'authentification Kerberos est utilisée au lieu de la clé du compte de stockage .
- Méthodes qui fonctionnent et méthodes qui ne fonctionnent pas
- Net Use Command: Monte correctement le partage de fichiers Azure avec la clé du compte de stockage.
- Script du portail Azure: Échoue car l'authentification Kerberos est utilisée au lieu de la clé du compte de stockage fournie.
Cause première
Le problème est causé par les facteurs suivants :
- Comportement du Gestionnaire d'identification
- Le script du portail Azure enregistre les informations d'identification du compte de stockage dans le Gestionnaire d'identification Windows.
- Si les informations d'identification ne peuvent pas être mises en cache (en raison de restrictions de stratégie de groupe ou d'échecs de cache), le script utilise par défaut les informations d'identification de l'utilisateur actuel pour l'authentification.
- Restriction de stratégie de groupe
- Le paramètre de stratégie de groupe “Network access: Do not allow storage of passwords and credentials for network authentication” empêche le Gestionnaire d'identification de stocker les informations d'identification.
- En conséquence, l'authentification Kerberos est tentée, mais elle échoue en raison de droits NTFS insuffisants.
Étapes de dépannage
Étape 1 : vérifier l'erreur
Effectuez une analyse de trace réseau pour les deux méthodes :
- Net Use Command: Établit la connexion SMB avec succès à l'aide de la clé du compte de stockage.
- Script du portail Azure: Tente l'authentification Kerberos, ce qui entraîne une erreur Access Denied .
Étape 2 : tester avec la commande Net Use
La Net Use command contourne le Gestionnaire d'identification et fournit directement la clé du compte de stockage pour l'authentification :
net use <desired-drive-letter>: \\<storage-account-name>.file.core.windows.net\<share-name> <storage-account-key> /user:Azure\<storage-account-name>
Pourquoi cela fonctionne :
- Les informations d'identification sont fournies explicitement dans la commande.
- Aucune dépendance vis-à-vis du Gestionnaire d'identification ou de l'authentification Kerberos.
Étape 3 : analyser les paramètres de stratégie de groupe
Exécutez la commande suivante pour vérifier la configuration de la stratégie de groupe :
gpresult /h c:\temp\computer.html
Inspectez le fichier HTML obtenu pour y trouver le paramètre de stratégie de groupe :
“Network access: Do not allow storage of passwords and credentials for network authentication”
Si ce paramètre est activé, le script du portail Azure ne peut pas enregistrer les informations d'identification dans le Gestionnaire d'identification, ce qui provoque des échecs d'authentification.
Étape 4 : résolution
Désactiver la stratégie de groupe restrictive
- Ouvrez Gestion des stratégies de groupe sur le contrôleur de domaine.
- Localisez la stratégie :
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options
- Network access: Do not allow storage of passwords and credentials for network authentication.
- Définissez la stratégie sur Disabled.
Une fois cette stratégie désactivée, le script du portail Azure peut stocker les informations d'identification dans le Gestionnaire d'identification, ce qui permet une authentification réussie.
Comparaison : commande Net Use et script du portail Azure
| Méthode | Mécanisme d'authentification | Dépendance | Résultat |
|---|---|---|---|
| Net Use Command | Clé du compte de stockage | Aucun Gestionnaire d'identification | Réussi |
| Script du portail Azure | Kerberos (solution de secours si le cache échoue) | Gestionnaire d'identification | Échoue si la stratégie de groupe restreint le cache |
Conseils supplémentaires
- Tester dans des environnements de laboratoire
Simulez le problème en activant le paramètre de stratégie de groupe :
Network access: Do not allow storage of passwords and credentials for network authentication. - Référence documentaire
Suivez le guide officiel : Configurer le conteneur de profil FSLogix avec Azure Files et AD DS ou Microsoft Entra Domain Services. - Configuration réseau
Assurez-vous que le port 445 soit ouvert pour le trafic SMB. En cas de blocage, utilisez Azure VPN ou ExpressRoute pour acheminer le trafic SMB.
Conclusion
L'erreur Access Denied lors de l'utilisation du script du portail Azure pour monter des partages de fichiers Azure est souvent causée par des paramètres de stratégie de groupe restrictifs qui empêchent la mise en cache des informations d'identification. L'utilisation de Net Use command offre une solution de contournement fiable en contournant le Gestionnaire d'identification et en fournissant directement la clé du compte de stockage. La désactivation de la stratégie de groupe restrictive résout le problème pour la méthode du script du portail Azure.