AKS中Flux2多租户限制的Bicep配置方法及命名空间解析

问题背景 #

通过Bicep在AKS集群中部署Flux2，指定flux-gitops作为GitRepository和Kustomization的映射命名空间，后续在Git仓库中配置HelmRepository（位于flux-system）和HelmRelease（位于ingress-nginx）时，遇到跨命名空间引用不支持的问题，同时对Flux资源的名称、命名空间含义存在困惑，需要明确Bicep中Flux多租户限制的调整方式及合理性。

一、Flux资源的名称与命名空间含义解析 #

1. HelmRepository #

• metadata.name：Flux用来标识该Helm源的唯一名称，在其所在命名空间内必须唯一，用于HelmRelease中引用该源。
• metadata.namespace：该HelmRepository资源本身部署的Kubernetes命名空间，flux-system是Flux默认的系统命名空间，通常存放Flux核心组件及全局共享的源资源。

2. HelmRelease #

• metadata.name：Flux识别该Helm发布实例的唯一名称，在其所在命名空间内必须唯一，代表一次具体的Helm Chart部署任务。
• metadata.namespace：Helm Chart部署后，生成的业务资源（如Pod、Service、Ingress等）将被创建到这个命名空间，也就是你要部署Nginx Ingress Controller的目标命名空间。
• sourceRef.namespace：当HelmRepository与HelmRelease不在同一个命名空间时，必须指定该字段，指向HelmRepository所在的命名空间，你的配置中已正确设置，但问题源于Flux的多租户限制。

二、跨命名空间引用失败的原因 #

Flux默认启用多租户隔离机制：每个通过Azure Kubernetes Configuration创建的Flux Configuration（即你Bicep中定义的fluxConfiguration），其对应的GitOps reconciler仅被允许访问自身绑定的命名空间（这里是flux-gitops）内的源资源，无法跨到flux-system或其他命名空间，这是为了避免不同GitOps流之间的资源干扰。

三、在Bicep中调整Flux的多租户限制 #

方案1：禁用跨命名空间引用限制（适合测试/开发环境） #

在Flux Configuration的Bicep配置中添加gitOpsOperatorProperties字段，开启跨命名空间引用权限：

resource fluxConfiguration 'Microsoft.KubernetesConfiguration/fluxConfigurations@2023-05-01' = {
  name: 'flux-configuration'
  scope: aksCluster
  properties: {
    scope: 'cluster'
    namespace: 'flux-gitops'
    sourceKind: 'GitRepository'
    suspend: false
    // 添加以下配置开启跨命名空间引用
    gitOpsOperatorProperties: {
      allowCrossNamespaceRefs: true
    }
    gitRepository: {
      url: 'https://myrepo/_git/flux.orchestration'
      timeoutInSeconds: 600
      syncIntervalInSeconds: 600
      localAuthRef: 'flux-configuration-protected-parameters'
      repositoryRef: {
        branch: 'main'
      }
    }
  }
}

方案2：将HelmRepository移至Flux绑定的命名空间（推荐生产环境） #

既然你的Flux Configuration绑定了flux-gitops命名空间，将HelmRepository也部署到该命名空间，即可避免跨命名空间引用，符合Flux多租户隔离的最佳实践：

修改后的HelmRepository配置

apiVersion: source.toolkit.fluxcd.io/v1beta1
kind: HelmRepository
metadata:
  name: ingress-nginx
  namespace: flux-gitops # 改为Flux绑定的命名空间
spec:
  interval: 30m
  url: https://kubernetes.github.io/ingress-nginx

修改后的HelmRelease配置（移除sourceRef.namespace字段）

apiVersion: helm.toolkit.fluxcd.io/v2beta1
kind: HelmRelease
metadata:
  name: ingress-nginx
  namespace: ingress-nginx
spec:
  interval: 5m
  chart:
    spec:
      chart: ingress-nginx
      version: '4.0.13'
      sourceRef:
        kind: HelmRepository
        name: ingress-nginx
        # 移除namespace字段，因为与HelmRepository在同一命名空间
      interval: 1m

四、是否应该禁用多租户限制？ #

• 测试/开发环境：可以禁用，简化配置，加快调试速度，无需严格的隔离约束。
• 生产环境：强烈不建议禁用，多租户隔离是Flux的核心安全机制，可防止不同GitOps流之间的资源冲突、权限泄露，确保集群资源的可维护性与安全性。

内容的提问来源于stack exchange，提问作者The Senator