拥有Azure AKS RBAC管理员角色却无法创建命名空间怎么办？

问题原因 #

你当前拥有的「Azure Kubernetes Service Cluster Admin Role」仅用于管理AKS集群自身的生命周期操作（如升级、修改集群配置），而「Azure Kubernetes Service RBAC Admin」仅授予命名空间级的管理权限。创建Namespace属于Kubernetes集群级操作，需要对应的Azure RBAC集群级权限，因此触发权限禁止错误。

解决方案 #

方案1：分配内置集群级RBAC管理员角色 #

直接使用Azure内置的「Azure Kubernetes Service RBAC Cluster Admin」角色，该角色允许在Kubernetes集群层面执行所有操作（包括创建Namespace）：

1. 获取AKS集群的资源ID：

az aks show -g {Resource Group} -n {CLUSTER NAME} --query id -o tsv

2. 为你的Azure AD用户分配角色：

az role assignment create --assignee "你的Azure AD用户UPN或ID" --role "Azure Kubernetes Service RBAC Cluster Admin" --scope "<步骤1获取的集群资源ID>"

3. 等待2-5分钟让权限生效，重新拉取AKS凭证：

az aks get-credentials -g {Resource Group} -n {CLUSTER NAME}

4. 再次尝试创建Namespace：

kubectl create namespace test-namespace

方案2：创建自定义角色（遵循最小权限原则） #

如果不想授予全集群管理员权限，可以创建仅允许创建Namespace的自定义Azure角色：

1. 创建自定义角色定义文件（例如aks-namespace-creator-role.json）：

{
  "Name": "AKS Namespace Creator",
  "Description": "仅允许创建Kubernetes Namespace的集群级权限",
  "Actions": [
    "Microsoft.ContainerService/managedClusters/namespaces/write",
    "Microsoft.ContainerService/managedClusters/applyClusterRoleAssignments/action"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/<你的订阅ID>/resourceGroups/{Resource Group}/providers/Microsoft.ContainerService/managedClusters/{CLUSTER NAME}"
  ]
}

2. 创建自定义角色：

az role definition create --role-definition aks-namespace-creator-role.json

3. 为用户分配自定义角色：

az role assignment create --assignee "你的Azure AD用户UPN或ID" --role "AKS Namespace Creator" --scope "<AKS集群资源ID>"

4. 等待权限生效后重新拉取凭证，尝试创建Namespace。

内容的提问来源于stack exchange，提问作者Zander Fick