Enable public Azure Files roaming deployment

docs/user-roaming.md

@@ -26,6 +26,16 @@ VNet. El modo de enrolamiento público directo no puede usar estos recursos y el
 script de despliegue exige `-DeployUserRoaming $false` cuando no se despliega el
 gateway P2S.
 
+Para una cuenta SMB ya existente cuyo endpoint público se limite mediante el
+firewall de Storage a las redes institucionales, el configurador admite
+`-EndpointAccess Public`. En ese modo no exige una dirección RFC1918, pero sigue
+comprobando resolución DNS y TCP 445. La creación de los shares y las reglas de
+red de la cuenta existente se realiza antes de ejecutar el configurador. El host
+que aplica la integración AD/ACL debe conservar acceso temporal a SMB durante
+esa ejecución; después se establece `defaultAction=Deny` y se deja únicamente la
+red institucional autorizada. En el despliegue LCI actual esa regla final es
+`200.13.89.0/24`.
+
 Azure Files se integra con el AD DS SGU, no con cuentas o claves guardadas en
 cada cliente. El script configura AES-256 para Kerberos, una ACL de mínimo
 privilegio con `CREATOR OWNER`, administradores y los grupos del rol, y permiso
@@ -33,6 +43,11 @@ SMB predeterminado para identidades autenticadas. La ACL NTFS mantiene aislado
 el contenido de cada usuario. La clave de la cuenta se usa en memoria sólo para
 crear las ACL iniciales y no se escribe en el dominio, en GPO ni en disco.
 
+Los grupos de rol sólo pueden enumerar la raíz y crear su propio directorio; no
+reciben `Modify` en la raíz compartida. El directorio creado hereda `CREATOR
+OWNER`, de modo que un usuario no puede modificar ni eliminar el contenedor de
+otro usuario.
+
 ## 1. Desplegar la infraestructura
 
 El soporte está activado por omisión para despliegues P2S: