启用AKS托管标识后，如何查找对应的托管身份资源？

当你执行az aks update -g myRg -n myAKS --enable-managed-identity启用托管标识后看不到独立的托管标识资源，是因为这个命令默认启用的是系统分配托管标识——这类标识是和AKS集群资源绑定的内置身份，不会出现在独立的「托管标识」资源列表中，也不会直接在AKS自身的IAM列表里新增条目。

你可以通过以下方式找到这个托管标识的相关信息：

• 用Azure CLI查看标识核心信息
  执行这条命令，直接获取集群的托管标识详情：

  az aks show -g myRg -n myAKS --query "identity"
  

  输出结果会包含标识类型（SystemAssigned）、主体ID（principalId）、租户ID（tenantId）等关键信息。

• 查看标识的权限分配
  这个系统分配标识的权限通常是针对AKS依赖的资源（比如节点池VMSS、虚拟网络、存储账户等），你可以：

  1. 用上述命令拿到的principalId，在目标依赖资源的IAM权限列表中搜索该ID，查看对应的角色分配；
  2. 或者直接用CLI查询所有关联的角色分配：

     az role assignment list --assignee <替换为获取到的principalId> --all
     

如果后续需要使用独立可见的托管标识，可以创建用户分配托管标识并关联到AKS集群，这类标识才会出现在「托管标识」资源列表中。

内容的提问来源于stack exchange，提问作者yatta