Istio 1.18.2创建AuthorizationPolicy失败，CRD未找到求助

核心原因 #

错误提示里的CRD名称authorizationpolicys.security.istio.io存在拼写错误（正确应为authorizationpolicies.security.istio.io），但你提供的AuthorizationPolicy定义中kind字段是正确的AuthorizationPolicy，所以本质问题是集群中AuthorizationPolicy对应的CRD未部署或部署失败。而RequestAuthentication能正常创建，说明security.istio.io组的部分CRD已存在，只是授权策略的CRD缺失。

排查步骤 #

• 检查CRD存在性
  执行以下命令确认集群中是否有AuthorizationPolicy的CRD：

  kubectl get crd authorizationpolicies.security.istio.io
  

  若返回NotFound，则CRD确实未安装。

• 查看Istiod日志
  检查Istio控制平面组件istiod的日志，排查CRD部署失败的原因：

  kubectl logs -n istio-system deployment/istiod | grep -i authorizationpolicy
  

• 验证Istio安装配置
  确认Istio安装时是否启用了授权功能（默认启用，自定义安装可能误关闭），执行以下命令查看配置：

  istioctl manifest dump --set profile=default | grep -i authorizationpolicy
  

解决方法 #

• 手动部署缺失的CRD
  从Istio 1.18.2安装包的manifests/charts/base/crds/目录下找到crd-all.gen.yaml文件，执行命令部署所有Istio CRD：

  kubectl apply -f /path/to/istio-1.18.2/manifests/charts/base/crds/crd-all.gen.yaml
  

  该文件包含了所有Istio所需的CRD，包括AuthorizationPolicy。

• 重新安装Istio核心组件
  如果CRD部署后仍有问题，执行以下命令重新安装Istio默认配置，修复组件异常：

  istioctl install --set profile=default --skip-confirmation
  

• 检查RBAC权限
  确保当前操作的Kubernetes账号拥有创建AuthorizationPolicy的权限，执行命令验证：

  kubectl auth can-i create authorizationpolicies.security.istio.io -n dev-istio-ns
  

  若返回no，需要为账号添加对应的RBAC规则，示例如下：

  apiVersion: rbac.authorization.k8s.io/v1
  kind: Role
  metadata:
    namespace: dev-istio-ns
    name: auth-policy-creator
  rules:
  - apiGroups: ["security.istio.io"]
    resources: ["authorizationpolicies"]
    verbs: ["create", "get", "list", "update", "delete"]
  ---
  apiVersion: rbac.authorization.k8s.io/v1
  kind: RoleBinding
  metadata:
    namespace: dev-istio-ns
    name: bind-auth-policy-creator
  subjects:
  - kind: User
    name: your-username
    apiGroup: rbac.authorization.k8s.io
  roleRef:
    kind: Role
    name: auth-policy-creator
    apiGroup: rbac.authorization.k8s.io
  

内容的提问来源于stack exchange，提问作者Shahir