Azure AKS能否无需Contributor角色，仅依靠托管身份运行？

结论 #

AKS完全可以在不依赖Contributor角色的情况下正常运行，该角色并非AKS运行的硬性要求。你遇到的服务自动尝试分配Contributor的情况，是部署配置选项导致的，而非AKS本身的强制需求。

问题原因与解决方法 #

• 部署AKS时，若启用了自动权限配置的默认选项，平台会尝试为托管身份分配Contributor角色来简化配置流程，但这是可禁用的非必需操作。
• 既然你已经按照AKS服务权限要求手动配置了两个托管身份的细粒度RBAC权限，只需在部署阶段禁用自动权限分配：
  • 门户部署：在"身份验证"配置环节，取消勾选"自动分配权限"相关选项；
  • CLI部署：添加--no-role-assignment参数（禁止自动为托管身份分配角色），同时根据需求使用--disable-auto-rotation禁用权限自动轮换。
• 验证权限完整性：确保你的集群托管身份和kubelet托管身份已覆盖以下核心权限：
  • 集群托管身份：虚拟网络资源管理、节点资源组内的计算资源操作、存储账户访问等；
  • kubelet托管身份：节点元数据读取、容器注册表访问、节点资源交互等。
• 已部署集群的处理：若AKS已尝试添加Contributor角色，可手动移除该分配，随后验证集群核心功能（节点调度、Pod运行、存储挂载等），若出现权限缺失，补充对应的细粒度权限即可。

内容的提问来源于stack exchange，提问作者STW