AKS Pod创建失败：CIFS存储卷挂载权限拒绝问题求助

根据错误日志，核心问题是挂载Azure Files存储卷时出现mount error(13): Permission denied，以下是具体排查和解决步骤：

1. 验证存储账户认证信息正确性 #

• 检查关联的Kubernetes Secret是否包含有效的存储账户密钥：

  kubectl get secret <your-secret-name> -o yaml
  

  解码Secret中的azurestorageaccountkey字段（base64解码），确认与Azure门户中存储账户的密钥一致。若密钥已轮换，需更新Secret中的值。

2. 检查存储账户网络访问规则 #

• 登录Azure门户，进入目标存储账户的网络设置：
  • 若设置为「选定的网络」，确保AKS节点所在的子网已添加到允许列表，或已启用存储账户的服务端点（Microsoft.Storage）。
  • 若使用私有端点，确认节点能正确解析存储账户FQDN到私有IP（可在节点上执行nslookup stg7222p010.file.core.windows.net验证）。

3. 确认文件共享权限配置 #

• 在Azure门户的存储账户文件共享中，进入目标共享的访问控制（IAM）：
  • 确保AKS使用的身份（如节点托管身份、CSI驱动服务账户）拥有「存储文件数据 SMB 共享参与者」或更高权限。
  • 若使用账户密钥认证，检查共享的NTFS权限是否允许root用户（uid=0）访问（可通过Azure门户或az storage file share permissions show命令查看）。

4. 验证挂载参数有效性 #

• 确认挂载命令中的认证参数正确：<masked>部分应包含username=<存储账户名>,password=<存储账户密钥>，检查Secret中对应的字段是否无误。
• 避免密钥中包含未转义的特殊字符，若存在，需在挂载参数中正确转义（Azure自动生成的密钥通常无此问题）。

5. 节点层面手动挂载测试 #

• 登录AKS节点（使用az aks node ssh --resource-group <rg-name> --name <aks-cluster-name>），执行手动挂载命令排查节点侧问题：

  mkdir -p /tmp/testmount
  mount -t cifs -o dir_mode=0777,file_mode=0777,uid=0,gid=0,mfsymlinks,cache=strict,nosharesock,nobrl,actimeo=30,username=stg7222p010,password=<你的存储账户密钥> //stg7222p010.file.core.windows.net/stg7222p010-fs01 /tmp/testmount
  

  若挂载失败，查看内核日志获取细节：

  dmesg | tail -20
  

6. 检查Azure Files CSI驱动状态 #

• 确认CSI驱动Pod正常运行：

  kubectl get pods -n kube-system -l app=csi-azurefile-controller
  kubectl get pods -n kube-system -l app=csi-azurefile-node
  

  若驱动版本过旧，升级到与AKS集群版本兼容的最新驱动版本。

内容的提问来源于stack exchange，提问作者Saurabh Asthana