通过Azure Portal查看Terraform创建的AKS集群资源遇访问问题

1. 验证Portal专用API端点的网络连通性 #

• 从本地或同区域Azure VM测试访问报错中的专用端点：curl -v https://5545dd5555hj555dd55jkl8555589d-priv.portal.hcp.canadacentral.azmk8s.io，确认是否能建立TCP连接、返回正常HTTP响应
• 用nslookup或dig对比正常集群与问题集群的Portal端点解析结果，排查域名解析异常

2. 检查Terraform配置的网络规则差异 #

• 若集群启用了专用集群（private_cluster_enabled = true），确认是否添加了AzureCloud.canadacentral服务标签到AKS API服务器防火墙允许列表，Azure Portal需要此规则才能访问专用集群的API端点
• 检查是否配置了API服务器授权IP范围，确认规则未误拦截Azure Portal的出站IP段
• 对比手动创建集群的虚拟网络、路由表、防火墙规则，排查网络隔离策略差异

3. 排查Portal专属的AAD权限配置 #

• 确认当前用户拥有AKS集群的Microsoft.ContainerService/managedClusters/accessProfiles/read权限，全局管理员权限理论包含该权限，但需排查是否有自定义RBAC规则限制
• 用az role assignment list --assignee <AAD组ID> --scope <AKS集群资源ID>验证AAD组的角色分配，对比正常集群的分配结果

4. 检查AKS API服务器状态与日志 #

• 用az aks show --name <集群名> --resource-group <资源组> --query "provisioningState"确认集群处于Succeeded状态
• 通过Azure Monitor查看kube-apiserver日志，搜索来自Portal端点的连接错误、认证失败记录
• 用kubectl get nodes确认节点全部就绪，排除API服务器核心服务异常（kubectl能访问说明核心服务正常，但Portal专用端点可能存在独立问题）

5. 对比Terraform与手动创建的配置差异 #

• 检查Terraform是否配置了自定义DNS服务器，导致Portal端点域名解析失败（手动集群通常用默认Azure DNS）
• 确认是否启用了Azure Policy或Pod Security Policy，排查是否有规则限制Portal访问路径
• 导出两个集群的az aks show输出，逐字段对比网络、身份验证、API服务器的配置细节

内容的提问来源于stack exchange，提问作者Auto geek