使用UAMI在K8s中挂载Azure文件共享遇错：无法从CSI获取账户名

错误信息 #

Events:
  Type     Reason       Age                From               Message
  ----     ------       ----               ----               -------
  Normal   Scheduled    45s                default-scheduler  Successfully assigned default/mypod to aks-agentpool-xxxx
  Warning  FailedMount  14s (x7 over 46s)  kubelet            MountVolume.SetUp failed for volume "azure" : rpc error: code = InvalidArgument desc = failed to get account name from csi-xxx

已执行的排查步骤 #

• 验证UAMI权限：UAMI在Azure存储账户上拥有“Storage Account Contributor”角色。
• 检查Kubernetes中的AzureIdentity和AzureIdentityBinding：确认资源配置正确，AzureIdentity包含正确的clientID和resourceID，AzureIdentityBinding的选择器与Pod中的aadpodidbinding标签匹配。
• Pod配置：Pod带有正确的aadpodidbinding标签，pod.yaml配置为使用SMB协议。
• 尝试获取CSI驱动日志：执行kubectl logs -l app=csi-azurefile -n kube-system返回“No resources found in kube-system namespace”，但Pod实际存在且运行正常。
• 查看Pod事件：未找到指向问题根源的具体线索。

解决思路与诊断建议 #

先解决CSI驱动日志无法获取的问题 #

Azure File CSI驱动的Pod标签可能并非app=csi-azurefile，先列出kube-system中所有azurefile相关Pod：

kubectl get pods -n kube-system | grep azurefile

根据返回的Pod名称，分别查看控制器和节点端的日志：

• 控制器Pod日志：kubectl logs <csi-azurefile-controller-xxxx> -n kube-system
• 节点Pod日志：kubectl logs <csi-azurefile-node-xxxx> -n kube-system
  日志里通常会有更详细的认证或存储账户解析失败信息。

针对“failed to get account name from csi-xxx”错误的排查点 #

1. 检查StorageClass配置

   • 确认StorageClass中是否正确指定了azureStorageAccountName参数，或者是否配置了自动发现存储账户的参数（如resourceGroup）。
   • 若使用UAMI认证，需确保StorageClass未配置csi.storage.k8s.io/node-publish-secret-name（留空即可），避免优先使用密钥认证覆盖UAMI。

2. 调整UAMI的权限

   • 当前的“Storage Account Contributor”是管理权限，挂载文件共享需要数据访问权限，尝试给UAMI添加Storage File Data SMB Share Contributor角色（作用域限定到目标存储账户或文件共享）。

3. 重新校验AzureIdentity与Binding配置

   • 确认AzureIdentity的type字段设置为0（代表用户分配托管身份），tenantID与Azure订阅的租户ID一致。
   • 检查AzureIdentityBinding的selector与Pod的aadpodidbinding标签是否完全匹配（大小写敏感，无额外空格）。

4. 验证存储账户的网络访问策略

   • 确认存储账户的防火墙/虚拟网络配置允许AKS集群节点或Pod所在的VNet访问：
     • 若存储账户设置为“允许选定网络”，需将AKS集群的VNet添加到白名单；
     • 若使用私有端点，需确认私有DNS区域配置正确，AKS集群能解析存储账户的私有IP。

5. 检查CSI驱动版本兼容性

   • 确认Azure File CSI驱动版本与AKS集群版本兼容，建议升级到最新稳定版本，旧版本可能存在UAMI认证的bug。

内容的提问来源于stack exchange，提问作者Alex