Windows에 SMB Azure 파일 공유 탑재

적용 대상: ✔️ SMB Azure 파일 공유

Azure Files는 사용하기 쉬운 Microsoft 클라우드 파일 시스템입니다. 이 문서에서는 Windows 및 Windows Server에 SMB Azure 파일 공유를 탑재하는 방법을 보여 줍니다.

Azure Files는 SSD 파일 공유에서만 SMB 다중 채널을 지원합니다.

¹Windows Server 2012 및 Windows Server 2012 R2에 대한 일반 Microsoft 지원이 종료되었습니다. ESU(연장 보안 업데이트) 프로그램을 통해서만 보안 업데이트에 대한 추가 지원을 구매할 수 있습니다.

²Windows 7, Windows 8 및 Windows Server 2008 R2에 대한 Microsoft 지원이 종료되었습니다. 이와 같은 운영 체제에서 마이그레이션하는 것이 좋습니다.

포트 445가 열려 있는지 확인

SMB 프로토콜을 사용하려면 TCP 포트 445를 열어야 합니다. 포트 445가 차단되면 연결이 실패합니다. PowerShell cmdlet을 사용하여 방화벽 또는 ISP가 포트 445를 Test-NetConnection 차단하는지 확인할 수 있습니다. 자세한 내용은 포트 445가 차단됨을 참조하세요.

포트 445를 열지 않고 Azure 외부에서 SMB를 통해 Azure 파일 공유를 탑재하려는 경우 지점 및 사이트 간의 VPN을 사용할 수 있습니다.

온-프레미스 또는 다른 Azure 지역과 같이 호스팅되는 Azure 지역 외부의 퍼블릭 엔드포인트를 통해 Azure 파일 공유를 사용하려면 OS에서 SMB 3.x를 지원해야 합니다. SMB 2.1만 지원하는 이전 버전의 Windows는 퍼블릭 엔드포인트를 통해 Azure 파일 공유를 탑재할 수 없습니다.

ID 기반 인증 사용

보안 및 액세스 제어를 개선하기 위해 ID 기반 인증 및 도메인 가입 클라이언트를 구성할 수 있습니다. 이렇게 하면 스토리지 계정 키를 사용하는 대신 Active Directory 또는 Microsoft Entra ID를 사용하여 파일 공유에 액세스할 수 있습니다.

ID 기반 인증을 사용하여 Azure 파일 공유를 탑재하려면 먼저 다음을 완료해야 합니다.

• 공유 수준 권한을 할당 하고 디렉터리 및 파일 수준 권한을 구성합니다. 공유 수준 역할 할당을 적용하는 데 다소 시간이 걸릴 수 있습니다.
• 스토리지 계정 키를 사용하여 이전에 파일 공유에 연결된 클라이언트에서 파일 공유를 탑재하는 경우 먼저 공유를 분리하고 스토리지 계정 키의 영구 자격 증명을 제거해야 합니다. AD DS(Active Directory Domain Services) 또는 Microsoft Entra 자격 증명을 사용하여 새 연결을 초기화하기 전에 캐시된 자격 증명을 제거하고 기존 SMB 연결을 삭제하는 방법에 대한 지침은 FAQ의 2단계 프로세스를 따릅니다.
• AD 원본이 AD DS 또는 Microsoft Entra Kerberos인 경우 클라이언트는 AD DS에 대한 네트워크 연결이 방해받지 않아야 합니다. 컴퓨터 또는 VM이 AD DS에서 관리하는 네트워크 외부에 있는 경우 인증을 위해 VPN이 AD DS에 연결할 수 있도록 설정해야 합니다.
• 권한을 부여한 AD DS 또는 Microsoft Entra ID의 자격 증명을 사용하여 클라이언트에 로그인합니다.

문제가 발생하면 AD 자격 증명으로 Azure 파일 공유를 탑재할 수 없음을 참조하세요.

Windows에서 Azure 파일 공유 사용

Windows에서 Azure 파일 공유를 사용하기 위해서는 드라이브 문자 또는 탑재 지점 경로를 할당하여 탑재하거나 UNC 경로를 통해 접근해야 합니다. SAS(공유 액세스 서명) 토큰은 현재 Azure 파일 공유 탑재에 지원되지 않습니다.

Azure 파일 공유 탑재

Azure Portal 또는 Azure PowerShell을 사용하여 Windows에서 SMB Azure 파일 공유를 탑재할 수 있습니다.

$connectTestResult = Test-NetConnection -ComputerName <storage-account-name>.file.core.windows.net -Port 445
if ($connectTestResult.TcpTestSucceeded) {
    cmd.exe /C "cmdkey /add:`"<storage-account-name>.file.core.windows.net`" /user:`"localhost\<storage-account-name>`""
    New-PSDrive -Name Z -PSProvider FileSystem -Root "\\<storage-account-name>.file.core.windows.net\<file-share-name>" -Persist -Scope global
} else {
    Write-Error -Message "Unable to reach the Azure storage account via port 445. Check to make sure your organization or ISP is not blocking port 445, or use Azure P2S VPN, Azure S2S VPN, or Express Route to tunnel SMB traffic over a different port."
}

Windows 명령줄을 사용하여 Azure 파일 공유 탑재

Windows 프롬프트의 net use 명령을 사용하여 파일 공유를 탑재할 수도 있습니다.

도메인에 가입된 VM에서 파일 공유 탑재

도메인에 가입된 VM에서 파일 공유를 탑재하려면 Windows 명령 프롬프트에서 다음 명령을 실행합니다. 사용자 고유의 값으로 <YourStorageAccountName> 및 <FileShareName>를 바꾸어야 합니다.

net use Z: \\<YourStorageAccountName>.file.core.windows.net\<FileShareName>

도메인에 가입되지 않은 VM 또는 다른 AD 도메인에 조인된 VM에서 파일 공유 탑재

AD 원본이 온프레미스 AD DS인 경우, 스토리지 계정과 다른 AD 도메인에 가입되었거나 도메인에 가입되지 않은 VM은 AD 도메인 컨트롤러와 원활한 네트워크 연결이 있는 경우 Azure 파일 공유에 액세스할 수 있으며 명시적 자격 증명을 제공해야 합니다. 파일 공유에 액세스하는 사용자는 스토리지 계정이 조인된 AD 도메인에 ID 및 자격 증명이 있어야 합니다.

AD 원본이 Microsoft Entra Domain Services인 경우 클라이언트는 사이트 간 또는 지점 및 사이트 간 VPN을 설정해야 하는 Microsoft Entra Domain Services의 도메인 컨트롤러에 대한 네트워크 연결이 방해받지 않아야 합니다. 파일 공유에 액세스하는 사용자는 Microsoft Entra Domain Services 관리되는 도메인에 ID(Microsoft Entra ID에서 Microsoft Entra Domain Services로 동기화된 Microsoft Entra ID)가 있어야 합니다.

도메인에 가입되지 않은 VM에서 파일 공유를 마운트하려면 username@domainFQDN 표기법을 사용하면 클라이언트가 도메인 컨트롤러에 연결하여 Kerberos 티켓을 요청하여 받을 수 있습니다. Active Directory PowerShell에서 실행 하여 (Get-ADDomain).Dnsroot의 값을 가져올 수 있습니다.

다음은 그 예입니다.

net use Z: \\<YourStorageAccountName>.file.core.windows.net\<FileShareName> /user:<username@domainFQDN>

AD 원본이 Microsoft Entra Domain Services인 경우, DOMAINNAME\username과 같은 자격 증명을 제공할 수 있습니다. 여기서 DOMAINNAME은 Microsoft Entra Domain Services 도메인이고, username은 Microsoft Entra Domain Services에서 사용자의 사용자 이름입니다.

net use Z: \\<YourStorageAccountName>.file.core.windows.net\<FileShareName> /user:<DOMAINNAME\username>

스토리지 계정 키를 사용하여 Azure 파일 공유 탑재(권장되지 않음)

Azure Portal은 스토리지 계정 키를 사용하여 호스트에 직접 파일 공유를 탑재하는 데 사용할 수 있는 PowerShell 스크립트를 제공합니다. 그러나 보안상의 이유로 스토리지 계정 키 대신 ID 기반 인증을 사용하는 것이 좋습니다. 스토리지 계정 키를 사용해야 하는 경우 탑재 지침을 따르지만 인증 방법에서 Storage 계정 키를 선택합니다.

스토리지 계정 키는 액세스하는 파일 공유 내 모든 파일 및 폴더에 대한 관리자 권한이 포함된 스토리지 계정의 관리 키이며, 스토리지 계정에 포함된 모든 파일 공유 및 다른 스토리지 리소스(Blob, 큐, 테이블 등)의 관리 키입니다. 스토리지 계정으로 이동하고 보안 + 네트워킹 액세스 키를 선택하여 >에서 스토리지 계정키를 찾거나 PowerShell cmdlet을 Get-AzStorageAccountKey 사용할 수 있습니다.

파일 탐색기를 통해 Azure 파일 공유 탑재

1. 시작 메뉴에서 열거나 Win+E 바로 가기를 눌러 파일 탐색기를 엽니다.

2. 창 왼쪽에 있는 이 PC로 이동합니다. 이렇게 하면 리본에서 사용할 수 있는 메뉴가 변경됩니다. [컴퓨터] 메뉴 아래에서 네트워크 드라이브 연결을 선택합니다.

   

3. 드라이브 문자를 선택하고 Azure 파일 공유에 대한 UNC 경로를 입력합니다. UNC 경로 형식은 \\<storageAccountName>.file.core.windows.net\<fileShareName>입니다. 예: \\anexampleaccountname.file.core.windows.net\file-share-name 다른 자격 증명을 사용하여 연결 확인란을 선택합니다. 마침을 선택합니다.

   

4. 기타 선택 사항>다른 계정 사용을 선택합니다. 메일 주소에서 스토리지 계정 이름을 사용하고 스토리지 계정 키를 암호로 사용합니다. 확인을 선택합니다.

   

5. Azure 파일 공유를 원하는 대로 사용합니다.

   

6. Azure 파일 공유를 분리할 준비가 되면 파일 탐색기의 네트워크 위치 아래에서 공유 항목을 마우스 오른쪽 단추로 클릭하고 연결 끊기를 선택합니다.

UNC 경로를 통해 Azure 파일 공유에 액세스

Azure 파일 공유를 위해 특정 드라이브 문자에 탑재할 필요는 없습니다. 파일 탐색기에 다음을 입력하면 UNC 경로를 사용하여 Azure 파일 공유에 직접 액세스할 수 있습니다. storageaccountname은 스토리지 계정 이름으로, myfileshare는 파일 공유 이름으로 바꿔야 합니다.

\\storageaccountname.file.core.windows.net\myfileshare

네트워크 자격 증명으로 로그인하라는 메시지가 표시됩니다. 스토리지 계정 및 파일 공유를 만든 Azure 구독으로 로그인합니다. 자격 증명에 대한 메시지가 표시되지 않으면 다음 명령을 사용하여 자격 증명을 추가할 수 있습니다.

cmdkey /add:StorageAccountName.file.core.windows.net /user:localhost\StorageAccountName /pass:StorageAccountKey

Azure Government 클라우드의 경우 서버 이름을 다음으로 변경합니다.

\\storageaccountname.file.core.usgovcloudapi.net\myfileshare

사용자 지정 도메인 이름을 사용하여 파일 공유 탑재

접미사를 file.core.windows.net사용하여 Azure 파일 공유를 탑재하지 않으려면 Azure 파일 공유와 연결된 스토리지 계정 이름의 접미사를 수정한 다음 CNAME(정식 이름) 레코드를 추가하여 새 접미사를 스토리지 계정의 엔드포인트로 라우팅할 수 있습니다. 다음 지침은 단일 포리스트 환경에만 사용됩니다. 둘 이상의 포리스트가 있는 환경을 구성하는 방법을 알아보려면 여러 Active Directory 포리스트에서 Azure Files 사용을 참조하세요.

이 예제에서는 Active Directory 도메인 onpremad1.com 있으며 SMB Azure 파일 공유를 포함하는 mystorageaccount 라는 스토리지 계정이 있습니다. 먼저 스토리지 계정의 SPN 접미사를 수정하여 mystorageaccount.onpremad1.com mystorageaccount.file.core.windows.net 매핑해야 합니다.

net use \\mystorageaccount.onpremad1.com의 클라이언트가 onpremad1.com 검색하여 해당 스토리지 계정에 대한 적절한 리소스를 찾기 때문에 파일 공유 를 탑재할 수 있습니다.

이 메서드를 사용하려면 다음 단계를 완료합니다.

1. ID 기반 인증을 설정했는지 확인합니다. AD 원본이 AD DS 또는 Microsoft Entra Kerberos인 경우 AD 사용자 계정을 Microsoft Entra ID와 동기화했는지 확인합니다.

2. 도구를 사용하여 스토리지 계정의 SPN을 수정합니다 setspn . 다음 Active Directory PowerShell 명령을 실행하여 찾을 <DomainDnsRoot> 수 있습니다. (Get-AdDomain).DnsRoot

   setspn -s cifs/<storage-account-name>.<DomainDnsRoot> <storage-account-name>
   

3. Active Directory DNS 관리자를 사용하여 CNAME 항목을 추가합니다. 프라이빗 엔드포인트를 사용하는 경우 프라이빗 엔드포인트 이름에 매핑할 CNAME 항목을 추가합니다.

   1. Active Directory DNS 관리자를 엽니다.
   2. 도메인(예: onpremad1.com)으로 이동합니다.
   3. "앞으로 조회 영역"으로 이동합니다.
   4. 도메인의 이름을 따서 명명된 노드(예: onpremad1.com)를 선택하고 CNAME(새 별칭)을 마우스 오른쪽 단추로 클릭합니다.
   5. 별칭 이름으로 스토리지 계정 이름을 입력합니다.
   6. FQDN(정규화된 도메인 이름)에 <storage-account-name> 같은 .<___domain-name>를 입력합니다. FQDN의 호스트 이름 부분은 스토리지 계정 이름과 일치해야 합니다. 호스트 이름이 스토리지 계정 이름과 일치하지 않으면 액세스 거부 오류와 함께 탑재가 실패합니다.
   7. 대상 호스트 FQDN에 대해 .file.core.windows.net 입력<storage-account-name>합니다.
   8. 확인을 선택합니다.

이제 storageaccount.domainname.com 사용하여 파일 공유를 탑재할 수 있습니다.

다음 단계

Azure Files에 대한 자세한 내용은 다음 링크를 참조하세요.

• Azure Files 배포 계획
• FAQ
• Azure 파일 문제 해결