AKS从1.24升级到1.26后调用KeyVault出现Forbidden错误求助

以下是针对该问题的具体排查方向和可能原因：

一、权限配置验证 #

• 核对Pod使用的身份（用户分配/系统分配托管标识、或工作负载身份对应的Azure AD应用）是否仍持有KeyVault的必要权限（如Get、List等）。可通过az keyvault show-policy --name <keyvault-name> --identity <identity-resource-id>命令确认权限是否存在且未被篡改。
• 若使用Azure AD工作负载身份，检查Pod绑定的ServiceAccount注解是否正确，对应的联邦身份凭证是否有效，以及Azure AD应用注册的KeyVault权限是否未被移除。

二、客户端库与API版本兼容性 #

• 检查应用依赖的Microsoft.Azure.KeyVault系列包版本，AKS 1.26对身份验证流程的适配可能要求SDK升级到较新版本，旧版SDK可能因不支持新的身份验证逻辑导致请求被拒绝。
• 确认应用调用KeyVault时使用的API版本是否在KeyVault允许的范围内，若KeyVault禁用了旧API版本，会直接返回Forbidden。

三、AKS身份验证特性变更影响 #

• AKS 1.24之后，旧版ACI Pod Identity逐渐被废弃，若集群仍在使用该方案，升级到1.26后可能出现身份验证失效，需确认是否已迁移到AKS原生的Azure AD工作负载身份。
• 检查集群的OIDC Issuer配置是否正常，工作负载身份依赖OIDC机制，升级过程中OIDC端点配置异常会导致身份令牌无法被KeyVault验证。

四、网络层面拦截 #

• 排查Pod所在命名空间的网络策略，是否存在阻止Pod访问KeyVault域名的规则；同时检查AKS集群的NSG、防火墙规则，确认出站流量未被拦截。可在Pod内执行curl https://<keyvault-name>.vault.azure.net测试连通性。
• 检查KeyVault的防火墙设置，确认是否允许AKS集群的虚拟网络范围或出站IP访问，若升级后集群出站IP发生变化，会被KeyVault防火墙拦截。

五、KeyVault自身状态检查 #

• 确认KeyVault的访问策略是否有最近的变更记录，是否存在误删除权限的操作；同时检查KeyVault是否处于锁定状态。
• 核对KeyVault的SKU、区域配置是否有变更，部分配置调整可能触发权限验证逻辑的变化。

内容的提问来源于stack exchange，提问作者Jorge