Azure 파일 공유에 액세스하면 특히 Azure Portal에서 복사한 탑재 스크립트를 사용할 때 오류가 발생할 수 있습니다. 일반적인 문제는 “Access Denied” 오류로, Azure Files를 Azure Virtual Desktop (AVD) 환경의 일부로 구성할 때 발생할 수 있습니다. 이 가이드는 문제의 근본 원인을 살펴보고, Net Use command 방식과 Azure Portal 스크립트 방식을 비교하면서 해결 방법을 제공합니다.
주요 사용 사례
이 문제 해결 시나리오는 일반적으로 다음과 같은 환경에서 발생합니다.
- FSLogix Profile Containers 이(가) Azure Files와 함께 사용됩니다.
- Azure 스토리지 계정 이 온-프레미스 Active Directory(AD)에 가입되어 있습니다.
- 그룹 정책 개체(GPO)가 자격 증명 저장을 제한하여 인증 실패를 일으킵니다.
문제 개요
Azure Portal에서 제공하는 스크립트를 사용하여 Azure 파일 공유를 탑재하려고 하면 다음과 같은 오류가 발생할 수 있습니다. “Access Denied” 이 문제는 다음과 같은 경우에도 계속 발생합니다.
- 새 AVD 호스트를 사용하는 경우.
- 다른 사용자 계정으로 테스트하는 경우.
관찰 결과
- 로그의 오류
- 백엔드 로그(DGrep 및 Log Collector를 통해 수집)에는 다음과 같은 오류가 표시됩니다. Access Denied 오류입니다.
- 오류에는 다음이 포함됩니다. “KerberosClientOtherError”, 이는 스토리지 계정 키 자격 증명 대신 Kerberos 인증이 사용되고 있음을 나타냅니다.
- 작동하는 방법과 작동하지 않는 방법
- Net Use Command: 스토리지 계정 키를 사용하여 Azure 파일 공유를 성공적으로 탑재합니다.
- Azure Portal 스크립트: 제공된 스토리지 계정 키 대신 Kerberos 인증이 사용되어 실패합니다.
근본 원인
이 문제는 다음 요인으로 인해 발생합니다.
- 자격 증명 관리자 동작
- Azure Portal 스크립트는 스토리지 계정 자격 증명을 다음 위치에 저장합니다. Windows 자격 증명 관리자.
- 자격 증명을 캐시할 수 없는 경우(GPO 제한 또는 캐시 실패로 인해) 스크립트는 기본적으로 현재 사용자의 자격 증명을 사용하여 인증합니다.
- 그룹 정책 제한
- GPO 설정 “Network access: Do not allow storage of passwords and credentials for network authentication” 으로 인해 자격 증명 관리자가 자격 증명을 저장할 수 없습니다.
- 그 결과 Kerberos 인증이 시도되지만 NTFS 권한이 부족하여 실패합니다.
문제 해결 단계
1단계: 오류 확인
두 방법 모두에 대해 네트워크 추적 분석을 수행합니다.
- Net Use Command: 스토리지 계정 키를 사용하여 SMB 연결을 성공적으로 설정합니다.
- Azure Portal 스크립트: Kerberos 인증을 시도하여 다음과 같은 오류가 발생합니다. Access Denied 오류입니다.
2단계: Net Use 명령으로 테스트
다음 Net Use command 은(는) 자격 증명 관리자를 우회하고 스토리지 계정 키를 인증용으로 직접 제공합니다.
net use <desired-drive-letter>: \\<storage-account-name>.file.core.windows.net\<share-name> <storage-account-key> /user:Azure\<storage-account-name>
이 방법이 작동하는 이유:
- 자격 증명이 명령에 명시적으로 제공됩니다.
- 자격 증명 관리자나 Kerberos 인증에 의존하지 않습니다.
3단계: 그룹 정책 설정 분석
다음 명령을 실행하여 그룹 정책 구성을 확인합니다.
gpresult /h c:\temp\computer.html
생성된 HTML 파일을 검사하여 GPO 설정을 찾습니다.
“Network access: Do not allow storage of passwords and credentials for network authentication”
이 설정이 활성화된 경우 Azure Portal 스크립트는 자격 증명 관리자에 자격 증명을 저장할 수 없어 인증 실패가 발생합니다.
4단계: 해결 방법
제한적인 GPO 비활성화
- 그룹 정책 관리 을(를) 도메인 컨트롤러에서 엽니다.
- 다음 정책을 찾습니다.
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options
- Network access: Do not allow storage of passwords and credentials for network authentication.
- 정책을 Disabled으로 설정합니다.
이 정책을 비활성화하면 Azure Portal 스크립트가 자격 증명 관리자에 자격 증명을 저장할 수 있어 인증에 성공할 수 있습니다.
비교: Net Use 명령과 Azure Portal 스크립트
| 방법 | 인증 메커니즘 | 종속성 | 결과 |
|---|---|---|---|
| Net Use Command | 스토리지 계정 키 | 자격 증명 관리자 없음 | 성공 |
| Azure Portal 스크립트 | Kerberos(캐시 실패 시 대체) | 자격 증명 관리자 | GPO가 캐시를 제한하면 실패합니다 |
추가 팁
- 랩 환경에서 테스트
GPO 설정
Network access: Do not allow storage of passwords and credentials for network authentication을(를) 활성화하여 문제를 시뮬레이션합니다. - 문서 참조
공식 가이드 Azure Files 및 AD DS 또는 Microsoft Entra Domain Services를 사용한 FSLogix 프로필 컨테이너 설정를 따르세요. - 네트워크 구성
포트 445 가 SMB 트래픽에 대해 열려 있는지 확인합니다. 차단된 경우 Azure VPN 또는 ExpressRoute를 사용하여 SMB 트래픽을 터널링합니다.
결론
Azure Portal 스크립트를 사용하여 Azure 파일 공유를 탑재할 때 발생하는 Access Denied 오류는 자격 증명 캐싱을 방해하는 제한적인 GPO 설정으로 인해 발생하는 경우가 많습니다. 다음 Net Use command 을(를) 사용하면 자격 증명 관리자를 우회하고 스토리지 계정 키를 직접 제공함으로써 안정적인 해결 방법을 얻을 수 있습니다. 제한적인 GPO를 비활성화하면 Azure Portal 스크립트 방식의 문제가 해결됩니다.