AKS中SecretProviderClass未生成Secret致Pod启动失败及解决

问题场景 #

在Azure Kubernetes Service(AKS)集群中运行基础todo list Web应用，尝试通过SecretProviderClass将Azure KeyVault中存储的ASPNETCORE_ENVIRONMENT: Development Secret注入Pod，Pod启动时出现如下错误：

Warning  Failed     8s (x3 over 21s)  kubelet            Error: secret "aspenet-environment" not found

已执行操作 #

1. 通过Helm安装Azure CSI密钥存储提供程序：

   helm repo add csi-secrets-store-provider-azure https://azure.github.io/secrets-store-csi-driver-provider-azure/charts
   helm install csi csi-secrets-store-provider-azure/csi-secrets-store-provider-azure
   

2. 创建Azure服务主体：

   SERVICE_PRINCIPLE_CLIENT_SECRET=$(az ad sp create-for-rbac --skip-assignment --name sp-aks-keyvault)
   

   注：修正原命令的变量赋值语法错误
3. 将服务主体凭据存入集群Secret：

   kubectl create secret generic secrets-store-creds --from-literal clientid="ClientID" --from-literal clientsecret="Password"
   

4. 编写Deployment.yaml和secretProvider.yaml，为服务主体配置KeyVault的Secret GET权限，并在KeyVault中创建对应Secret。

问题现象 #

应用配置后，目标Secret未在集群中生成；添加卷挂载配置后，Pod仍无法正常启动，持续提示找不到指定Secret。

解决方法 #

排查确认遗漏安装Secrets Store CSI Driver核心插件。Azure CSI密钥存储提供程序是针对Azure的扩展组件，必须依赖核心的Secrets Store CSI Driver才能完成KeyVault与Kubernetes集群的Secret同步流程。

安装核心驱动后，SecretProviderClass可正常将KeyVault中的Secret同步到集群，Pod能成功获取并注入所需配置，启动恢复正常。

内容的提问来源于stack exchange，提问作者Nayden Van