ArgoCD与Vault集成异常：管理界面出现403服务账户未授权错误

从错误日志来看，核心问题是ArgoCD使用的服务账号未被Vault的Kubernetes认证后端授权，以下是针对性排查步骤：

1. 验证Vault的Kubernetes认证角色配置 #

• 确认你在Vault中创建的Kubernetes认证角色，已正确绑定ArgoCD的服务账号：
  • 检查角色的service_account_names是否设置为ArgoCD使用的服务账号（通常是argocd-repo-server）
  • 检查角色的service_account_namespaces是否设置为argocd命名空间
• 手动测试认证流程：
  1. 获取ArgoCD服务账号的JWT Token：

     kubectl get secret -n argocd $(kubectl get sa argocd-repo-server -n argocd -o jsonpath='{.secrets[0].name}') -o jsonpath='{.data.token}' | base64 -d
     

  2. 使用该Token尝试登录Vault：

     vault login -method=kubernetes role=<你的Vault角色名> jwt=<上面获取的Token>
     

  如果登录失败，说明角色配置存在问题。

2. 检查ArgoCD服务账号的RBAC权限 #

• 确保argocd-repo-server服务账号拥有获取自身Token的权限：
  • 查看该服务账号绑定的Role/ClusterRole，确认包含system:service-account-issuer-discovery权限，或允许访问tokenreviews.authentication.k8s.io资源的权限
• 避免自定义RBAC规则限制了服务账号的默认权限

3. 核对AVP Secret的配置 #

• 检查argocd命名空间下的AVP Secret（即${ARGOCD_ENV_AVP_SECRET}对应的Secret）：
  • 确认VAULT_ROLE字段的值，是Vault中已创建且正确绑定服务账号的角色名
  • 确认VAULT_ADDR字段与Vault的访问地址完全一致，无拼写或协议错误（比如是否遗漏https://）

4. 验证Vault的Kubernetes认证后端配置 #

• 查看Vault中Kubernetes认证后端的全局配置：

  vault read auth/kubernetes/config
  

• 确认kubernetes_host是当前集群的API Server地址，kubernetes_ca_cert是集群的CA证书内容，确保Vault能正常与Kubernetes API通信以验证Token

额外排查手段 #

• 进入argocd-repo-server的Pod，手动执行AVP命令测试：

  kubectl exec -n argocd <argocd-repo-server-pod-name> -c argocd-repo-server -- sh -c "helm template test -n argocd . | argocd-vault-plugin generate - -s <你的AVP Secret名>"
  

  观察输出的详细错误信息
• 查看Vault的日志，获取更具体的授权拒绝原因（比如服务账号名称不匹配、角色不存在等）

内容的提问来源于stack exchange，提问作者Роман Сергеевич