升级Azure AKS集群从1.23.8到1.24.6遇CustomPrivateDNSZoneMissingPermissionError错误

排查与修复方向 #

• 确认权限作用范围：确保AKS托管标识的权限直接分配给目标私有DNS区域资源，而非仅资源组或订阅层级。RBAC权限在继承层级下可能无法生效，需直接对Private DNS Zone资源添加托管标识的角色分配。
• 检查权限配置细节：添加Private DNS Zone Contributor角色时，若通过Azure Portal操作，确认勾选"允许分配访问权限"选项；若用Pulumi代码，需明确指定角色的权限范围为该Private DNS Zone的资源ID。
• 验证托管标识正确性：确认分配权限的是AKS的系统托管标识（除非集群配置了用户托管标识），避免误给其他标识分配权限。
• 等待RBAC权限同步：Azure RBAC权限生效可能需要5-15分钟，尤其是跨资源组的分配，升级前等待足够时间再重试。
• 核对Pulumi资源引用：检查代码中AKS集群的privateDNSZone配置是否正确指向目标私有DNS区域，资源ID是否无误，避免因引用错误导致权限校验失败。
• 查看详细错误日志：通过Azure Portal的AKS集群"活动日志"或Pulumi详细输出日志，定位具体是哪个私有DNS区域缺失权限，排查是否有多个相关区域未分配权限。
• 临时高权限测试：尝试给AKS托管标识分配Owner角色到目标私有DNS区域，若升级成功，再逐步缩小权限范围，确定具体需要的权限项。

内容的提问来源于stack exchange，提问作者Praveen