はじめに

Azure FilesをVMからマウントする際に、かなりてこずったので調査内容をまとめます。

事象

Azure Files構築後、VMからマウントしようすると以下のエラーが表示されマウントできない。
VMのGIPをAzure FilesのFWで許可しても以下のエラーとなる。

# sudo mount -t cifs //xxxxxxxxxxxxxx.file.core.windows.net/test /mnt/test-azurefiles -o vers=3.0,username=xxxxxxxxxxxxxx,password=yyyyyyyyyyyyyyyyyyy==,dir_mode=0777,file_mode=0777,sec=ntlmssp
mount error(13): Permission denied
Refer to the mount.cifs(8) manual page (e.g. man mount.cifs)

環境

VMの設定

サブスクリプション：サブスクリプションA
リージョン：東日本
その他：GIPを持つ
kernelバージョン：4.20.6-1.el7.elrepo.x86_64
OS：Red Hat Enterprise Linux Server release 7.5 (Maipo)

Azure Filesの設定

サブスクリプション：サブスクリプションB
リージョン：東日本
安全な転送の設定：有効
IP制限：有効（上記VMのGIPを許可）

原因

同一リージョンのVMから、IP制限されたAzure Filesをマウントしようとすると「プライベート通信」になる。
そのため、VNET経由からのみアクセス可能となる。
しかし、異なるサブスクリプションかつ異なるAADテナント配下のためVNETの許可をすることができない。
公式ドキュメント：インターネットのIPアドレスからアクセスを許可する

解決策

Azure FilesでIP制限を行い、かつ異なるサブスクリプションの環境の場合は、Azure FilesとVMは別リージョンにする。

ダメな設定例（VMが東日本or西日本にある場合）

VMが東日本or西日本にある場合、以下のようにLRS以外で構成されるとAzure Filesも複数リージョンでレプリケーションされるので気を付けてください。

構築する際はこの設定（VMが東日本or西日本にある場合）

VMが存在しないのリージョンでAzure Filesを作成し、LRSにします。
※VMを日本リージョンで作成し、Azure Filesを海外リージョンで作成する場合はあまり「レプリケーション」を気にしなくてよいです。
VMとAzure Filesのリージョンが重複しなければOKなので。

調査過程

⑴AWSのEC2からAzure Filesへマウントしてみる

結果：マウントOK
- Azure FilesのIP制限でEC2のGIPは許可済み
考察：Azure環境特有の問題の可能性大

⑵WindowsからAzure Filesへマウントしてみる

結果：マウントOK
- Azure FilesのIP制限で作業端末のGIPは許可済み
考察：KernelやOSのバージョンが影響している可能性あり

⑶IP制限なしの状態でSMB3.0とSMB2.1を利用してみる

結果：SMB3.0はマウントOK。SMB2.1は「mount error(13): Permission denied」
- AWSでもAzureのVMでも同様でした
- 「安全な転送の設定：有効」だからです
考察：SMBのバージョンは3.0を使えば行けるので問題なし

⑷VMとAzure Filesを同一サブスクリプションにしてマウントしてみる

結果：IP制限をしてもしなくてもマウントOK
考察：同一サブスクリプションだと発生しない！

⑸Kernelのバージョンを変えてみる（3.10と4.20）

結果：同一サブスクリプションのVMからマウントすると「mount error(13): Permission denied」
- AWSのEC2からマウントするとOK
考察：Kernelのバージョンは関係なし！完全にAzure間で起こる問題だ！！

⑹Azure Filesのリージョンを東日本から東南アジアに変えてみる

結果：IP制限をしてもマウントOK
考察：リージョンが同一だと通信経路がおかしい？？

⑺Azure Filesのリージョンを東日本から西日本に変えてみる

結果：「mount error(13): Permission denied」
考察：リージョン近いとダメなのか？？？ちょっとわからなくなってきた。。
- でも東南アジアと東アジアはうまくいった。もうMSに問い合わせよう。。。。。

まとめ

Azure Filesを異なるサブスクリプションで利用する場合は、マウントする側とされる側のリージョンを別にするように意識しましょう。
- 【NG】東日本VM（サブスクリプションA）→東日本Azure Files（サブスクリプションB）
- 【NG】東日本VM（サブスクリプションA）→西日本Azure Files（サブスクリプションB）　★これ本当に疑問。。。。
- 【OK】東日本VM（サブスクリプションA）→東アジアAzure Files（サブスクリプションB）
- 【OK】東日本VM（サブスクリプションA）→東南アジアAzure Files（サブスクリプションB）

問い合わせの結果が来たら更新します。。。

その他

エラーまとめ

mount error(115): Operation now in progress

NSGのアウトバウンドを制限していないか確認してください。

参考にしたドキュメントたち