AKS API服务器与非微软租户资源的认证授权及企业应用作用咨询

AKS API服务器访问客户租户内的资源，核心依赖两种机制：

• 跨租户身份认证：需在客户租户中注册AKS的服务主体（或托管身份），并在目标租户为该身份配置对应资源的访问权限。AKS会通过Azure AD跨租户验证流程获取目标租户的访问令牌，以此完成身份认证。
• 权限映射与IAM配置：集群内部通过ClusterRole/Role定义对外部资源的操作权限，再通过RoleBinding绑定到集群内用户或服务账户；同时目标租户的资源侧需配置IAM角色，确保AKS的身份拥有足够权限执行对应操作。
  若涉及跨租户私有链接资源，还需提前配置网络连通性与Azure AD跨租户信任关系，允许AKS所在租户的身份访问目标租户资源。

这个同名企业应用是AKS部署时自动创建的集群服务主体，它承担着核心作用：

• 它是AKS集群管理托管资源组（通常命名为MC_<资源组名>_<集群名>_<区域>）内资源的身份凭证，比如节点VM、负载均衡器、磁盘等Azure资源的创建、更新、删除操作，都依赖该服务主体的权限。
• 集群的生命周期操作（如节点扩容、组件版本更新）也需要借助这个服务主体的参与者权限才能完成。
  如果删除或撤销该服务主体的权限，AKS集群将无法正常管理底层Azure资源，会出现节点无法扩容、组件更新失败等故障。

内容的提问来源于stack exchange，提问作者aman_kumar