混合加入（AD身份验证）的Azure VM无法挂载文件共享

可能的问题根源 #

1. 凭据优先级被AAD抢占 #

混合加入状态下，Windows默认会优先使用AAD凭据访问网络资源。当你尝试访问存储账户共享时，系统自动用AAD身份发起验证，但存储账户只信任本地AD身份，导致验证失败——系统返回的“找不到文件共享”是误导性提示，本质是身份验证不通过。

• 验证方法：手动指定AD凭据执行映射命令：

  net use \\<存储账户名>.file.core.windows.net\<共享名> /user:<本地AD域名>\<用户名> <密码>
  

  如果命令执行成功，说明就是凭据优先级的问题。

2. Kerberos票据获取混乱 #

纯AD加入时，VM从域控制器获取Kerberos票据用于共享访问；混合加入后，VM可能同时尝试向AAD和AD请求Kerberos票据，导致存储账户无法识别有效的AD票据，最终访问失败。

• 验证方法：打开事件查看器→系统日志，筛选来源为Kerberos的事件，检查是否有ID为4768（票据请求失败）或4771（预认证失败）的记录。

3. 存储账户AD身份验证的SPN配置问题 #

存储账户启用本地AD身份验证后，需要在本地AD中注册正确的SPN（服务主体名称）。混合加入的VM可能因AAD干扰，无法正确解析存储账户的SPN，导致身份验证流程中断。

• 验证方法：在域控制器上执行命令，检查SPN是否存在：

  setspn -L <存储账户在AD中的身份名>
  

  正常应该包含cifs/<存储账户名>.file.core.windows.net和cifs/<存储账户名>两种格式的SPN。

4. 网络位置识别异常 #

混合加入的VM可能被Windows识别为“公共网络”而非“域网络”，系统会应用更严格的安全策略，阻止AD凭据自动传递到共享资源。

• 验证方法：打开「网络和共享中心」，查看当前网络的位置是否为“域网络”。

对应解决措施 #

针对凭据优先级问题 #

• 组策略配置：在本地AD组策略中设置：
  1. 「计算机配置>Windows设置>安全设置>本地策略>安全选项>网络访问: 本地账户的共享和安全模型」改为「经典 - 本地用户以自己的身份验证」
  2. 「计算机配置>管理模板>系统>凭据分配>允许分配保存的凭据用于仅NTLM服务器身份验证」，添加存储账户的URL（格式：TERMSRV/<存储账户名>.file.core.windows.net）
• 登录脚本：创建批处理脚本，在用户登录时用AD凭据重新映射共享，示例：

  net use Z: /delete
  net use Z: \\<存储账户名>.file.core.windows.net\<共享名> /user:<本地AD域名>\<用户名> <密码> /persistent:yes
  

针对Kerberos票据问题 #

• 确保VM与域控制器时间同步（Kerberos允许的时间误差不超过5分钟），可通过命令w32tm /resync强制同步。
• 在VM上执行klist purge清除现有Kerberos票据，重新登录AD账户后尝试访问共享。

针对SPN配置问题 #

• 若检查发现SPN缺失，在域控制器上执行命令注册：

  setspn -S cifs/<存储账户名>.file.core.windows.net <本地AD域名>\<存储账户在AD中的身份名>
  setspn -S cifs/<存储账户名> <本地AD域名>\<存储账户在AD中的身份名>
  

针对网络位置问题 #

• 手动修改网络位置为「域网络」：右键任务栏网络图标→打开网络和共享中心→点击当前网络名称→选择「域网络」。
• 组策略强制：在组策略中设置「计算机配置>管理模板>网络>网络连接>将所有网络连接设置为公共网络」为「已禁用」，确保系统自动识别域网络。

内容的提问来源于stack exchange，提问作者Philippmf1996