如何保持AKS中Azure工作负载身份等附加功能更新？

自动更新场景 #

通过az aks create --enable-workload-identity启用的Workload Identity突变Webhook属于AKS托管组件的一部分，微软会通过AKS的集群更新通道自动推送新版本，无需手动操作。你可以通过调整AKS集群的更新策略（比如切换到rapid或node-image更新通道）来更快接收补丁和版本更新，命令示例：

az aks update -g myResourceGroup -n myAKSCluster --update-channel rapid

手动更新场景（主动控制版本） #

如果需要指定版本更新，或者自动更新未及时推送，可按以下步骤手动操作：

1. 卸载当前Webhook组件
   在kube-system命名空间删除相关资源：

   kubectl delete deployment azure-workload-identity-webhook -n kube-system
   kubectl delete service azure-workload-identity-webhook -n kube-system
   kubectl delete mutatingwebhookconfiguration azure-workload-identity-mutating-webhook-configuration
   

2. 通过Helm安装新版本
   使用官方Helm仓库部署指定版本的Webhook：

   helm repo add azure-workload-identity https://azure.github.io/azure-workload-identity/charts
   helm repo update
   helm upgrade --install azure-workload-identity-webhook azure-workload-identity/azure-workload-identity-webhook \
     --namespace kube-system \
     --version <目标新版本号>
   

   注意：手动安装后，该组件将脱离AKS托管，后续版本更新需自行维护。

验证更新结果 #

执行以下命令确认Webhook的镜像版本是否已更新：

kubectl get pods -n kube-system -l app=azure-workload-identity-webhook -o jsonpath='{.items[0].spec.containers[0].image}'

内容的提问来源于stack exchange，提问作者Ilya Chernomordik