AWS CloudFormation：cfn-init/UserData无法访问网络共享驱动器

核心原因 #

• 运行上下文权限差异：UserData和cfn-init默认以Windows的Local System账户执行，这个账户的网络身份是实例的计算机账户（格式为[实例主机名]$），而手动登录用的是用户账户，两者权限完全不同。如果共享目录没有给实例的计算机账户分配读取权限，Local System就无法访问。
• 网络初始化时序问题：UserData和cfn-init在实例启动早期运行，此时网卡可能还没完成IP配置、路由表初始化，甚至还没加入域（如果是域环境），导致无法连通共享服务器；而手动登录时实例已经完全启动，网络环境稳定。
• 缺少共享访问凭据：手动登录时你可能已经输入过共享的用户名密码，系统保存了凭据；但Local System账户没有这些凭据，直接访问共享会被拒绝。
• 会话隔离限制：Local System运行在Windows的会话0（系统会话），而用户登录在用户会话（如会话1），部分网络资源访问存在会话隔离，导致会话0内无法访问共享。

解决办法 #

• 添加共享访问凭据：在cfn-init的脚本里先添加共享服务器的认证凭据，再执行访问操作：

  cmdkey /add:192.168.41.103 /user:共享服务器用户名 /pass:共享密码
  Test-Path "\\192.168.41.103\shared"
  xcopy "\\192.168.41.103\shared\*" "C:\目标目录\" /E /Y
  cmdkey /delete:192.168.41.103 # 用完删除凭据
  

• 等待网络就绪：在脚本开头添加网络检测逻辑，确保能连通共享服务器后再执行操作：

  while (-not (Test-Connection -ComputerName 192.168.41.103 -Count 1 -Quiet)) {
      Write-Host "等待网络连通共享服务器..."
      Start-Sleep -Seconds 5
  }
  

• 指定有权限的账户运行脚本：在cfn-init的配置中，用runas参数指定拥有共享访问权限的用户账户执行脚本：

  commands:
    copy_files:
      command: powershell -Command "xcopy \\192.168.41.103\shared\* C:\目标目录\ /E /Y"
      runas:
        username: 有权限的用户名
        password: 密码（建议用CloudFormation参数存储）
  

• 配置共享目录权限：给实例的计算机账户（[实例主机名]$）分配共享目录的读取权限，或者临时给Everyone组读取权限用于测试（生产环境不推荐）。

内容的提问来源于stack exchange，提问作者Linc Abela