如何解决AKS日志自动上传Azure存储账户的CronJob报错问题

报错提示kubectl logs缺少必填参数，核心原因有两个：

1. Pod权限不足：CronJob使用的默认default ServiceAccount没有权限访问Kubernetes API，无法列出所有命名空间的Pod，导致循环变量为空，最终kubectl logs没有传入有效参数。
2. 循环逻辑健壮性不足：即使能获取Pod列表，若输出格式异常（比如空行），拆分后的pod_name或namespace可能为空，触发报错。

1. 创建权限足够的ServiceAccount #

先定义ClusterRole和RoleBinding，赋予CronJob的Pod访问Pod列表和日志的权限：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pod-log-reader
rules:
- apiGroups: [""]
  resources: ["pods", "pods/log"]
  verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: log-uploader-rb
subjects:
- kind: ServiceAccount
  name: log-uploader-sa
  namespace: default # 替换为你的CronJob所在命名空间
roleRef:
  kind: ClusterRole
  name: pod-log-reader
  apiGroup: rbac.authorization.k8s.io
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: log-uploader-sa
  namespace: default # 替换为你的CronJob所在命名空间

将上述内容保存为rbac.yaml，执行kubectl apply -f rbac.yaml创建权限资源。

2. 修改CronJob配置 #

• 指定使用创建的ServiceAccount
• 优化循环逻辑，增加空值判断
• 移除不必要的az aks install-cli（集群内Pod无需安装AKS CLI，直接安装kubectl即可）
• 优化日志上传的命名格式，避免特殊字符

修改后的CronJob：

apiVersion: batch/v1
kind: CronJob
metadata:
  name: log-uploader
spec:
  schedule: "0 0 * * *" # 每天午夜运行
  jobTemplate:
    spec:
      template:
        spec:
          serviceAccountName: log-uploader-sa # 指定权限ServiceAccount
          containers:
            - name: log-uploader
              image: mcr.microsoft.com/azure-cli:latest
              command:
                - bash
                - "-c"
                - |
                  # 安装kubectl（azure-cli镜像默认不带）
                  apt-get update && apt-get install -y kubectl
                  # 设置Azure存储账户环境变量
                  export AZURE_STORAGE_ACCOUNT=test-101
                  export AZURE_STORAGE_CONTAINER=logs-101
                  # 获取所有Pod的名称和命名空间，用换行分隔
                  kubectl get pods --all-namespaces -o jsonpath='{range .items[*]}{.metadata.name} {.metadata.namespace}{"\n"}{end}' | while read -r pod_name namespace; do
                    # 跳过空值条目
                    if [[ -z "$pod_name" || -z "$namespace" ]]; then
                      continue
                    fi
                    # 获取Pod日志，处理多容器情况（如果Pod有多个容器，需要指定-c，这里默认取第一个容器）
                    if kubectl logs -n "$namespace" "$pod_name" > /tmp/pod.log 2>/dev/null; then
                      # 上传日志到Blob，用日期命名，避免冲突
                      az storage blob upload --file /tmp/pod.log --account-name "$AZURE_STORAGE_ACCOUNT" --container-name "$AZURE_STORAGE_CONTAINER" --name "$namespace/$pod_name_$(date +%Y%m%d_%H%M%S).log"
                    else
                      echo "Failed to get logs for pod $namespace/$pod_name"
                    fi
                  done
          restartPolicy: OnFailure

3. 补充Azure存储权限 #

确保CronJob的Pod能访问Azure存储账户，有两种方式：

• 使用存储账户访问密钥：将密钥作为Secret挂载到Pod，或者设置环境变量AZURE_STORAGE_KEY
• 使用Managed Identity：给AKS的Pod分配Managed Identity，赋予存储账户的Blob Contributor权限（更安全）

如果用访问密钥，先创建Secret：kubectl create secret generic storage-secret --from-literal=account-key=你的存储账户密钥，再在CronJob的containers里添加环境变量：

env:
- name: AZURE_STORAGE_KEY
  valueFrom:
    secretKeyRef:
      name: storage-secret
      key: account-key

• 处理多容器Pod：如果Pod有多个容器，kubectl logs需要指定-c <容器名>，可以修改循环逻辑，先获取Pod的容器列表，再逐个获取日志。
• 日志压缩：上传前用gzip压缩日志，减少存储成本和上传时间，比如gzip /tmp/pod.log后上传.gz文件。
• 避免重复上传：可以记录已上传的Pod日志时间戳，只上传新增的日志（用kubectl logs --since-time参数）。

内容的提问来源于stack exchange，提问作者piyush sachdeva