使用Active Directory认证挂载Azure file share提示访问被拒绝求助

• NTFS文件级权限配置：仅配置Azure RBAC共享级权限不满足访问要求，SMB访问需要同时匹配共享级RBAC权限和目录/文件级NTFS权限，这是最高发的漏配项。需要先使用访问密钥挂载共享，手动给目标域用户/组配置对应目录的NTFS ACL。
• 存储账户域对象状态校验：确认本地AD中创建的存储账户计算机对象未被禁用、未过期，且对应的服务主体名称(SPN)配置正确，正确SPN格式为cifs/<存储账户名>.file.core.windows.net，SPN缺失会直接导致Kerberos认证失败。
• 用户身份一致性校验：确认本地AD用户的用户主体名称(UPN)与同步到Azure AD的UPN完全一致，无后缀不匹配问题；同时确认该用户账户未锁定、未设置下次登录强制改密码等限制状态。
• Kerberos认证链路校验：在客户端执行命令klist get cifs/<存储账户名>.file.core.windows.net，检查是否能正常获取对应服务票据，获取失败说明域控和客户端之间的Kerberos端口（88、464）被阻断，或SPN配置错误。
• RBAC角色适配校验：确认分配的Azure RBAC角色为文件共享专属SMB角色（存储文件数据SMB共享参与者、读取者、提升参与者），存储账户通用管理角色不会对SMB访问鉴权生效。
• 客户端环境校验：确认客户端已加入本地AD域或信任域，DNS可正常解析存储账户域名与域控域名，445端口（SMB）访问未被防火墙、代理、VPN阻断。

1. 用存储账户访问密钥挂载文件共享，右键打开共享根目录的「属性-安全」面板，添加目标域用户并配置对应读写/只读权限，应用到所有子目录与文件。
2. 客户端执行klist purge清空本地所有Kerberos票据，重新登录目标域用户账号。
3. 执行net use * \\<存储账户名>.file.core.windows.net\<共享名>（无需额外传入凭证参数），验证是否可正常挂载访问。
4. 若仍报错，可执行PowerShell命令Get-AzStorageAccount -ResourceGroupName <资源组名> -Name <存储账户名> | Select-Object -ExpandProperty AzureFilesIdentityBasedAuthentication，确认返回的DirectoryServiceOptions为AD，且DomainGuid、DomainName等参数与本地AD配置完全匹配。

内容的提问来源于stack exchange，提问作者Høgsdal