Acessar compartilhamentos de arquivos do Azure às vezes pode resultar em erros, especialmente ao usar o script de montagem copiado do Portal do Azure. Um problema comum é o erro “Access Denied” erro, que pode ocorrer ao configurar o Azure Files como parte de um ambiente Azure Virtual Desktop (AVD) . Este guia explora a causa raiz do problema e oferece uma resolução, comparando o método Net Use command com o script do Portal do Azure .
Caso de uso principal
Este cenário de solução de problemas geralmente surge em ambientes onde:
- FSLogix Profile Containers são usados com o Azure Files.
- A conta de armazenamento do Azure está ingressada no Active Directory (AD) local.
- Objetos de Política de Grupo (GPOs) restringem o armazenamento de credenciais, causando falhas de autenticação.
Visão geral do problema
Ao tentar montar compartilhamentos de arquivos do Azure usando o script fornecido pelo Portal do Azure, os usuários podem encontrar um erro “Access Denied” . Esse problema persiste mesmo quando:
- Usar um novo host AVD.
- Testar com diferentes contas de usuário.
Observações
- Erro nos logs
- Os logs de backend (coletados via DGrep e Log Collector) mostram um erro Access Denied .
- O erro inclui “KerberosClientOtherError”, o que indica que a autenticação Kerberos está sendo usada em vez da chave da conta de armazenamento .
- Métodos que funcionam versus métodos que não funcionam
- Net Use Command: Monta com êxito o compartilhamento de arquivos do Azure usando a chave da conta de armazenamento.
- Script do Portal do Azure: Falha porque a autenticação Kerberos é usada em vez da chave da conta de armazenamento fornecida.
Causa raiz
O problema é causado pelos seguintes fatores:
- Comportamento do Gerenciador de Credenciais
- O script do Portal do Azure salva as credenciais da conta de armazenamento no Gerenciador de Credenciais do Windows.
- Se as credenciais não puderem ser armazenadas em cache (devido a restrições de GPO ou falhas de cache), o script usa por padrão as credenciais do usuário atual para autenticação.
- Restrição de Política de Grupo
- A configuração de GPO “Network access: Do not allow storage of passwords and credentials for network authentication” impede que o Gerenciador de Credenciais armazene credenciais.
- Como resultado, a autenticação Kerberos é tentada, mas falha devido a permissões NTFS insuficientes.
Etapas de solução de problemas
Etapa 1: verificar o erro
Execute a análise de rastreamento de rede para ambos os métodos:
- Net Use Command: Estabelece a conexão SMB com êxito usando a chave da conta de armazenamento.
- Script do Portal do Azure: Tenta a autenticação Kerberos, resultando em um erro Access Denied .
Etapa 2: testar com o comando Net Use
O seguinte Net Use command ignora o Gerenciador de Credenciais e fornece diretamente a chave da conta de armazenamento para autenticação:
net use <desired-drive-letter>: \\<storage-account-name>.file.core.windows.net\<share-name> <storage-account-key> /user:Azure\<storage-account-name>
Por que isso funciona:
- As credenciais são fornecidas explicitamente no comando.
- Não depende do Gerenciador de Credenciais nem da autenticação Kerberos.
Etapa 3: analisar as configurações de Política de Grupo
Execute o seguinte comando para verificar a configuração da Política de Grupo:
gpresult /h c:\temp\computer.html
Inspecione o arquivo HTML resultante para localizar a configuração de GPO:
“Network access: Do not allow storage of passwords and credentials for network authentication”
Se essa configuração estiver habilitada, o script do Portal do Azure não poderá salvar credenciais no Gerenciador de Credenciais, causando falhas de autenticação.
Etapa 4: resolução
Desabilitar a GPO restritiva
- Abra Gerenciamento de Política de Grupo no controlador de domínio.
- Localize a política:
Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options
- Network access: Do not allow storage of passwords and credentials for network authentication.
- Defina a política como Disabled.
Depois que essa política for desabilitada, o script do Portal do Azure poderá armazenar credenciais no Gerenciador de Credenciais, permitindo uma autenticação bem-sucedida.
Comparação: comando Net Use versus script do Portal do Azure
| Método | Mecanismo de autenticação | Dependência | Resultado |
|---|---|---|---|
| Net Use Command | Chave da conta de armazenamento | Sem Gerenciador de Credenciais | Bem-sucedido |
| Script do Portal do Azure | Kerberos (alternativo se o cache falhar) | Gerenciador de Credenciais | Falha se a GPO restringir o cache |
Dicas adicionais
- Testar em ambientes de laboratório
Simule o problema habilitando a configuração de GPO:
Network access: Do not allow storage of passwords and credentials for network authentication. - Referência de documentação
Siga o guia oficial: Configurar o Contêiner de Perfil FSLogix com Azure Files e AD DS ou Microsoft Entra Domain Services. - Configuração de rede
Verifique se a porta 445 esteja aberta para o tráfego SMB. Se estiver bloqueada, use o Azure VPN ou o ExpressRoute para tunelar o tráfego SMB.
Conclusão
O erro Access Denied ao usar o script do Portal do Azure para montar compartilhamentos de arquivos do Azure geralmente é causado por configurações restritivas de GPO que impedem o armazenamento de credenciais em cache. Usar o Net Use command oferece uma solução alternativa confiável, ignorando o Gerenciador de Credenciais e fornecendo diretamente a chave da conta de armazenamento. Desabilitar a GPO restritiva resolve o problema para o método de script do Portal do Azure.