AKS中Keda ScaledObject连接DataDog失败：403 Forbidden错误

可能的原因及对应配置要求 #

• Datadog Token权限与范围验证
  虽然本地curl调用正常，但要确认Datadog的appToken是否包含metrics_read权限，且token所属的组织与KEDA要访问的Datadog组织完全匹配。部分场景下，本地使用的token可能有更宽的权限范围，而部署到AKS后，若token被设置了IP或资源访问限制，就会触发403。
• 命名空间Secret配置校验
  确保ScaledObject引用的Secret与自身在同一命名空间，且Secret内的键名严格匹配KEDA要求：apiKey和appToken（注意大小写，不要写成api_key或其他变体）。可通过以下命令验证：

  kubectl get secret <your-secret-name> -n <target-namespace> -o jsonpath='{.data}' | base64 -d
  

• AKS网络出站限制检查
  AKS的网络策略、防火墙或NSG规则可能阻止KEDA控制器访问Datadog API端点（默认是api.datadoghq.com，区域化部署需对应调整）。需确认：
  • KEDA所在命名空间的Pod允许出站访问443端口到Datadog API域名
  • 若Datadog设置了IP白名单，需将AKS集群的出站公网IP加入白名单（本地机器IP在名单内但AKS出站IP不在会导致403）
  • 若集群使用代理，需在KEDA Operator的部署中配置HTTP_PROXY/HTTPS_PROXY环境变量
• KEDA版本与配置兼容性
  你使用KEDA 2.14.0但参考2.7版本的文档，需确认ScaledObject的配置字段是否有变更。比如2.14版本的Datadog scaler是否要求额外的metadata参数，或query格式是否调整，需以对应版本的KEDA文档为准核对配置结构。
• KEDA控制器权限验证
  确保KEDA Operator的ServiceAccount拥有目标命名空间下Secret的get权限。可查看KEDA的Role/ClusterRole规则，确认是否包含：

  - apiGroups: [""]
    resources: ["secrets"]
    verbs: ["get", "list"]
  

排查命令 #

• 查看KEDA Operator日志，获取更详细的403错误细节：

  kubectl logs -n <keda-namespace> -l app=keda-operator | grep -i datadog
  

内容的提问来源于stack exchange，提问作者ravi mishra