Azure RBAC for AKS权限配置不符文档描述问题咨询

1. 内置角色是否无需K8s角色/角色绑定即可生效 #

Azure AKS的内置RBAC角色（如AKS RBAC读取者、参与者）基于Azure RBAC体系实现，完全不需要在Kubernetes集群内手动创建Role/RoleBinding或ClusterRole/ClusterRoleBinding。AKS会自动将Azure AD身份与Azure RBAC权限映射到Kubernetes权限体系，直接生效。

2. 分配内置角色给AAD组后，是否同时限制Azure门户和kubectl访问 #

是的，AKS内置RBAC角色的权限范围同时覆盖Azure门户的集群操作（如查看资源、修改配置）和kubectl命令行操作。无论通过哪种方式访问集群，都会先经过Azure AD身份认证，再由Azure RBAC校验权限。

3. 已分配AKS RBAC读取者但仍能修改角色/角色绑定的问题排查 #

你遇到的异常情况通常由以下原因导致：

• 你的用户账号拥有订阅级高权限角色（如订阅所有者、参与者），这类权限会直接覆盖AKS内置角色的限制，允许执行超出读取者范围的操作
• 集群启用Azure RBAC前，已存在绑定到你或所在其他AAD组的Kubernetes原生ClusterRoleBinding（如cluster-admin），这类原生权限绑定优先级高于Azure RBAC映射的权限
• 确认集群是否正确启用Azure RBAC：执行命令 az aks show -g <资源组名> -n <集群名> --query enableAzureRBAC，返回true才表示启用成功

4. 是否需要在K8s中创建角色及角色绑定 #

如果已正确启用Azure RBAC并使用AKS内置角色，不需要手动创建K8s的Role/RoleBinding。若需要更细粒度的自定义权限（如仅允许访问特定命名空间的指定资源），可结合Azure RBAC与K8s原生RBAC，但这属于补充场景而非必须操作。

内容的提问来源于stack exchange，提问作者Ankita Bansal