AKS集群更新服务主体报错：使用托管标识时不允许更新

• 确认集群实际身份类型
  执行命令查看集群的身份配置：

  az aks show --resource-group myrg --name myaks --query "identity.type"
  

  返回SystemAssigned/UserAssigned表示集群用托管标识；返回None才是服务主体集群。

• 检查服务主体配置详情
  运行命令查看servicePrincipalProfile的具体内容：

  az aks show --resource-group myrg --name myaks --query "servicePrincipalProfile"
  

  若clientId为空，或字段包含managedIdentity相关内容，说明集群依赖托管标识，无法用reset-service-principal命令更新。

• 核对集群创建历史
  登录Azure门户进入目标AKS集群的「活动日志」，筛选“创建”类操作，查看创建参数是否包含--enable-managed-identity，确认是否误启用了托管标识。

• 误判场景的处理
  若确认是服务主体集群但仍报错，尝试刷新集群状态：

  az aks refresh --resource-group myrg --name myaks
  

  刷新后问题依旧的话，可联系Azure技术支持核实后台元数据是否异常。

• 托管标识集群的注意事项
  若集群确实用托管标识，AKS会自动管理凭据生命周期，无需手动更新服务主体。此时的“服务主体过期”问题，大概率是集群内第三方组件（如ACI连接器、自定义运维脚本）使用了独立的过期SP，需排查这些组件的配置并更新对应凭据。

内容的提问来源于stack exchange，提问作者yatta