Azure AKS能否同时配置OMS Agent与诊断设置？Terraform部署报错排查

问题原因 #

当你在AKS资源块中配置oms_agent后，Azure会自动为集群创建一个名为omsagent-diagnostic-setting的诊断设置，用于将集群指标和日志发送到指定的Log Analytics工作区。此时手动创建新的诊断设置会与这个自动生成的设置产生冲突，触发409错误。

解决方案 #

方案一：导入自动生成的诊断设置并扩展配置 #

1. 确认自动生成的诊断设置名称为omsagent-diagnostic-setting（可在Azure门户的AKS集群「诊断设置」中查看）
2. 执行Terraform导入命令，将现有设置纳入Terraform管理：

terraform import azurerm_monitor_diagnostic_setting.aks-diagnostics /subscriptions/<你的订阅ID>/resourceGroups/<资源组名称>/providers/Microsoft.ContainerService/managedClusters/<AKS集群名称>/providers/microsoft.insights/diagnosticSettings/omsagent-diagnostic-setting

3. 修改Terraform配置，添加存储账户作为额外目标，同时保留OMS Agent所需的默认配置：

resource "azurerm_monitor_diagnostic_setting" "aks-diagnostics" {
  name                          = "omsagent-diagnostic-setting"
  target_resource_id            = azurerm_kubernetes_cluster.tfdemo-cluster.id
  storage_account_id            = var.storage_account_id
  log_analytics_workspace_id    = var.log_analytics_workspace_id

  # 配置kube-audit日志长期保留到存储账户
  log {
    category = "kube-audit"
    enabled  = true
    retention_policy {
      days    = 365
      enabled = true
    }
  }

  # 保留OMS Agent默认需要的日志类别
  log {
    category = "cluster-autoscaler"
    enabled  = true
  }

  log {
    category = "kube-scheduler"
    enabled  = true
  }

  # 配置指标保留策略
  metric {
    category = "AllMetrics"
    enabled  = true
    retention_policy {
      days    = 30
      enabled = true
    }
  }
}

方案二：禁用自动诊断设置，手动配置完整规则 #

1. 在AKS资源块中添加disable_diagnostic_settings = true，阻止Azure自动创建诊断设置：

resource "azurerm_kubernetes_cluster" "tfdemo-cluster" {
  resource_group_name               = var.resourcegroup_name
  location                          = var.location
  name                              = "${var.projectname}-aks"
  node_resource_group               = "${var.resourcegroup_name}-node"
  ... 省略其他配置 ...
  
  oms_agent {
    log_analytics_workspace_id    = var.log_analytics_workspace_id
    disable_diagnostic_settings   = true
  }
}

2. 调整诊断设置配置，同时指定Log Analytics工作区和存储账户，实现性能分析与日志长期保留的需求：

resource "azurerm_monitor_diagnostic_setting" "aks-diagnostics" {
  name                          = "aks-logs"
  target_resource_id            = azurerm_kubernetes_cluster.tfdemo-cluster.id
  storage_account_id            = var.storage_account_id
  log_analytics_workspace_id    = var.log_analytics_workspace_id

  log {
    category = "kube-audit"
    enabled  = true
    retention_policy {
      days    = 365
      enabled = true
    }
  }

  metric {
    category = "AllMetrics"
    enabled  = true
    retention_policy {
      days    = 30
      enabled = true
    }
  }

  # 根据需求添加其他日志类别
  log {
    category = "kube-controller-manager"
    enabled  = true
  }
}

说明 #

• 方案一适合希望保留Azure默认OMS配置的场景，通过导入现有设置实现统一管理
• 方案二更灵活，可完全自定义诊断规则，避免自动配置带来的冲突

内容的提问来源于stack exchange，提问作者TobiasK