如何在AKS中配置FluxCD，使用服务主体拉取Azure DevOps仓库？

1. 修正Service Principal在Azure DevOps的权限配置 #

仅给仓库分配Reader/Contributor权限还不够——Azure DevOps的Service Principal需要先被加入对应项目的团队：

• 进入Azure DevOps项目的项目设置 > 权限 > 团队，把你的Service Principal添加到目标团队（比如Project Readers/Contributors）
• 检查仓库权限页面，确认SP的权限是允许状态（避免被全局拒绝规则覆盖）

2. 替换错误的认证凭据 #

Service Principal的客户端ID和密钥不能直接当Azure DevOps HTTPS仓库的用户名/密码用，得换成SP获取的Azure DevOps专属访问令牌：

1. 用Azure CLI登录SP：

   az login --service-principal -u <你的客户端ID> -p <你的客户端密钥> --tenant <租户ID>
   

2. 获取Azure DevOps的访问令牌：

   az account get-access-token --resource 499b84ac-1321-427f-aa17-267ca6975798 --query accessToken -o tsv
   

   注：499b84ac-1321-427f-aa17-267ca6975798是Azure DevOps的固定资源ID，不要修改
3. 用新的凭据重新创建Secret：

   kubectl create secret generic spsecret --namespace=fluxtest --from-literal=username=<你的客户端ID> --from-literal=password=<上面获取的令牌>
   

3. 检查Flux GitRepository的配置 #

确保你的GitRepository资源正确引用了这个Secret，示例配置：

apiVersion: source.toolkit.fluxcd.io/v1
kind: GitRepository
metadata:
  name: azdo-repo
  namespace: fluxtest
spec:
  url: https://dev.azure.com/<你的组织>/<你的项目>/_git/<仓库名>
  secretRef:
    name: spsecret
  interval: 1m0s

4. 备选方案：改用SSH认证 #

如果HTTPS方式仍卡壳，可以试试SSH：

• 为SP生成SSH密钥对，把公钥添加到Azure DevOps仓库的SSH密钥设置里
• 创建包含私钥的Kubernetes Secret，在Flux配置中用SSH方式引用该Secret

内容的提问来源于stack exchange，提问作者Luka Klarić