IIS部署的C# API启动的控制台应用无法访问挂载Azure File Share如何解决

可行解决方案（无需重命名存储账户） #

以下方案均不需要在本地创建与存储账户同名的用户，可直接绕过字符长度限制问题：

• 优先替换盘符为UNC路径访问
  你当前碰到的盘符无法访问的核心原因之一是：映射的Z盘属于当前登录用户的会话专属资源，IIS应用池运行身份、API启动的子进程默认和你手动挂载盘符的用户不在同一会话，天生无法识别该盘符。
  直接把代码中所有Z:\前缀的路径替换为\\<存储账户名>.file.core.windows.net\<共享名>\格式的UNC路径即可。如果需要身份认证，可在程序访问路径前调用Windows的WNetAddConnection2API完成权限认证，不需要本地创建用户，C#调用示例如下：

  [DllImport("mpr.dll", EntryPoint = "WNetAddConnection2")]
  private static extern int WNetAddConnection2(NETRESOURCE lpNetResource, string lpPassword, string lpUsername, int dwFlags);
  
  [StructLayout(LayoutKind.Sequential)]
  public class NETRESOURCE
  {
      public int dwScope;
      public int dwType;
      public int dwDisplayType;
      public int dwUsage;
      public string lpLocalName;
      public string lpRemoteName;
      public string lpComment;
      public string lpProvider;
  }
  
  // 调用示例
  var nr = new NETRESOURCE
  {
      dwType = 1, // 资源类型为磁盘
      lpRemoteName = @"\\<存储账户名>.file.core.windows.net\<共享名>"
  };
  // 用户名填存储账户名，密码填存储账户访问密钥
  int result = WNetAddConnection2(nr, "<存储账户访问密钥>", "<存储账户名>", 0);
  

  调用完成后即可直接访问对应UNC路径下的所有文件。

• 启动控制台程序时主动指定运行身份
  不需要给IIS整体提升权限，只需要在C# API启动控制台程序时，通过ProcessStartInfo直接指定访问Azure文件共享所需的凭据即可，不需要该账户在本地存在：

  ProcessStartInfo startInfo = new ProcessStartInfo
  {
      FileName = @"<你的控制台程序路径.exe>",
      UseShellExecute = false,
      // 用户名填存储账户名，不需要本地存在该用户
      UserName = "<存储账户名>",
      Domain = "",
      // 密码填存储账户访问密钥，转换为安全字符串
      Password = new NetworkCredential("", "<存储账户访问密钥>").SecurePassword,
      WorkingDirectory = @"<控制台程序工作目录>"
  };
  Process.Start(startInfo);
  

  以该方式启动的控制台程序会直接继承指定的存储账户身份，可正常访问Azure文件共享资源。

• 调整IIS应用池身份配置
  如果不想修改业务代码，可直接调整IIS对应API站点的应用池配置：

  1. 打开IIS管理器，找到对应应用池，点击「高级设置」
  2. 找到「进程模型」->「标识」选项，选择「自定义账户」，点击「设置」
  3. 用户名填写完整的存储账户名，密码填写存储账户访问密钥，域留空后确认
  4. 找到「加载用户配置文件」选项，设置为True后保存配置，重启应用池
     调整完成后，应用池运行时本身就具备Azure文件共享的访问权限，其启动的所有子进程都会继承该身份，可正常访问共享资源。

注意事项 #

• 存储账户访问密钥轮换后，需同步更新对应配置/代码中的密码字段
• 需确保部署服务器到Azure文件共享的445端口未被本地防火墙、运营商封禁
• 非域环境下需确认本地组策略「计算机配置\Windows 设置\安全设置\本地策略\安全选项\网络访问: 本地账户的共享和安全模型」的值为「经典 - 对本地用户进行身份验证，不改变其本来身份」，避免身份验证失败

内容的提问来源于stack exchange，提问作者Sonny Hansen