客户端无法通过 DNS 别名访问 FSx 文件服务器，抓包显示网络层全程可达，失败点在 Kerberos——KDC 找不到别名对应的服务主体。根因是别名缺少注册在 FSx AD 计算机对象上的 HOST/ SPN。

给 FSx ONTAP SMB 共享添加了 NTFS 安全权限后，用户仍然无法访问共享。这个问题的关键是：Windows SMB 最终权限是共享权限和 NTFS 权限的交集，而且 Kerberos 票据不会在用户保持登录时自动刷新组成员关系。