如何让K8s中以gMSA运行的容器/Pod正常访问SQL Server FILESTREAM表

Windows容器（K8s托管）+ gMSA 访问域内SQL Server FILESTREAM 属于官方支持的正式场景，你遇到的System.ComponentModel.Win32Exception (53): 网络路径未找到是配置缺项导致的，并非场景本身不兼容。

SqlFileStream不通过SQL TDS协议直接传输FILESTREAM数据：代码调用该接口时，会先从SQL实例获取FILESTREAM文件对应的UNC共享路径，再用当前进程的安全上下文走SMB协议直接访问SQL Server上的文件共享读取数据。错误53本质是容器内无法正常定位/连通该SMB共享，常见触发原因包括：

• 容器DNS配置未继承域环境配置，无法解析SQL Server的域内FQDN、FILESTREAM共享对应的网络路径
• 仅在SQL数据库层面配置了gMSA权限，未给gMSA授予FILESTREAM对应Windows共享、底层NTFS文件夹的访问权限
• 网络层面放通规则缺失：Windows节点防火墙、K8s网络策略、SQL主机防火墙拦截了容器到SQL Server 445（SMB）端口的流量
• 使用Nano Server基础镜像时，系统默认移除了SMB客户端、FILESTREAM访问依赖的Windows组件，无官方支持的补全方式
• gMSA的Kerberos认证配置不全，容器无法拿到访问SQL SMB服务的有效Kerberos票据

• 第一步：基础连通性排查
  进入故障Pod的容器实例，依次执行校验：
  1. 执行nslookup <SQL Server域内完整FQDN>，确认能正确解析到SQL主机的域内网IP。解析失败的话修改K8s Pod的dnsConfig，添加入域节点使用的域DNS服务器，补全对应的域搜索后缀。
  2. 执行Test-NetConnection <SQL Server域内FQDN> -Port 445，确认SMB端口连通性。连通失败的话依次检查Windows节点出站防火墙规则、K8s NetworkPolicy、SQL主机入站防火墙规则，确保容器网段到SQL主机445端口的流量被放通。
  3. 用gMSA身份测试直接挂载FILESTREAM共享：gMSA账号格式为域名\gMSA账号名$（注意末尾必须带$符号），执行New-PSDrive -Name TestShare -PSProvider FileSystem -Root \\<SQL FQDN>\<FILESTREAM共享名>，如果挂载失败直接返回权限/路径错误，优先排查权限和DNS问题。
• 第二步：补全权限配置
  除了SQL数据库内的gMSA读写权限，必须在SQL Server主机上补全两层权限：
  1. 找到FILESTREAM对应的Windows共享（默认实例默认共享名为MSSQLSERVER，命名实例对应独立共享名），在共享权限列表中给目标gMSA添加读取、写入权限。
  2. 找到FILESTREAM数据存储的本地NTFS文件夹路径，给目标gMSA添加对应的文件读写权限。
• 第三步：容器镜像适配
  1. 禁止使用Nano Server镜像承载需要访问SqlFileStream的工作负载，Nano镜像裁剪了相关依赖组件，无法满足SMB访问要求，必须切换为Windows Server Core基础镜像。
  2. Server Core镜像中提前安装所需的Windows功能，执行命令：Install-WindowsFeature FS-FileServer, SMB1Protocol-Client，安装完成后重启容器生效。
• 第四步：gMSA与Kerberos校验
  1. 容器内执行whoami，确认当前进程运行上下文为配置的gMSA账号，而非容器本地的ContainerUser/ContainerAdministrator。
  2. 容器内执行klist get cifs/<SQL Server域内FQDN>，确认能正常拿到访问SQL SMB服务的Kerberos票据。拿不到票据的话检查域控上的SPN配置，确保SQL服务账号、gMSA账号没有重复注册对应SPN，域控允许gMSA发起对cifs服务的Kerberos认证请求。

所有配置完成后，可先通过最小测试代码验证能力，不需要直接跑全量业务：

// 从目标FILESTREAM列查询PathName()获取UNC路径，从当前SQL事务获取事务上下文
string fileStreamUncPath = /* SQL查询返回的PathName值 */;
byte[] transactionCtx = /* 当前SQL事务的上下文令牌 */;
using (var fs = new SqlFileStream(fileStreamUncPath, transactionCtx, FileAccess.Read))
{
    byte[] testBuffer = new byte[2048];
    int readCount = fs.Read(testBuffer, 0, testBuffer.Length);
    // 能正常读取到字节数据即代表配置生效
}

内容的提问来源于stack exchange，提问作者Himanshu Swami