Azure文件共享访问权限管控求助：9个共享无法按用户隔离

核心问题定位 #

Azure文件共享的权限控制需要共享级权限（Share-level permissions）与NTFS权限配合生效，仅配置其中一层会导致权限隔离失效。你提到的IAM角色（比如Storage File Data SMB Share Contributor）是授予用户对共享的访问权限，但无法精细到限制用户只能访问特定共享，真正的隔离需要在NTFS层做配置。

具体修复步骤 #

1. 清理冗余的IAM权限 #

• 移除所有用户/组的Storage File Data SMB Share Contributor、Storage File Data SMB Share Reader等全局或存储账户级的IAM角色，避免这些权限覆盖共享级和NTFS权限。
• 仅为每个用户分配对应共享的共享级权限：在Azure门户的文件共享→访问控制（IAM）中添加角色，选择Storage File Data SMB Share Contributor或Reader，将范围限定为当前共享。

2. 配置NTFS权限（关键步骤） #

因为你使用AD/Entra DS认证，需通过SMB挂载共享后设置NTFS权限：

• 用域管理员账号将目标共享挂载到本地Windows系统：

  net use Z: \\<存储账户名>.file.core.windows.net\<共享名> /user:<域名>\<管理员账号>
  

• 右键挂载的盘符→属性→安全→编辑→添加对应用户：
  • 给该用户分配完全控制/修改/读取等所需权限，同时移除Everyone、Authenticated Users等无关用户/组的权限。
• 对9个共享逐一重复此操作，确保每个共享的NTFS权限仅包含对应的目标用户。

3. 验证Entra/Kerberos配置 #

• 确认Entra DS已正确关联存储账户，且存储账户的SMB认证设置为AD DS或Entra DS（而非仅Azure AD）。
• 在用户设备上运行klist命令，检查是否能获取到存储账户的Kerberos服务票据（SPN格式为cifs/<存储账户名>.file.core.windows.net）。

4. 测试权限隔离 #

• 用目标用户登录域设备，尝试挂载非对应共享，应提示权限不足；挂载对应共享则可正常访问。

常见误区提醒 #

• 不要混淆IAM角色和共享级权限：IAM是存储账户级权限，共享级权限针对单个共享，两者结合才能限制用户仅能看到自己的共享。
• NTFS权限是最终访问控制层，即使共享级权限允许访问，NTFS权限拒绝的话用户仍无法读取文件。

内容的提问来源于stack exchange，提问作者Gabgon