创建托管AAD集成AKS集群时预注册应用未生成问题排查

1. 账号权限不足 #

• 执行az aks create的账号缺少创建应用注册的必要权限，需确保账号拥有Application Administrator角色，或具备Microsoft.Authorization/roleAssignments/write和Microsoft.AAD/Applications/Create权限；若涉及租户级应用注册，可能需要全局管理员权限。

2. 托管AAD集成版本差异 #

• 新版AKS托管AAD集成（AKS-managed Azure AD）不再生成独立的"Azure Kubernetes Service AAD Server"应用注册，而是使用AKS内置的托管服务主体完成集成。运行az aks show -g myGroup -n myCLusterName --query aadProfile查看配置，若managed字段为true，则属于该模式，无应用注册是正常现象。

3. 命令参数未指定非托管模式 #

• 若需使用旧版需要生成应用注册的AAD集成，需显式添加--aad-managed false参数强制启用非托管模式。默认情况下新版AKS会自动启用托管模式，跳过应用注册创建。修正后的命令示例：

  az aks create -g myGroup -n myCLusterName --enable-aad --aad-managed false --aad-admin-group-object-ids myAADGroupId
  

4. 租户配置限制 #

• 租户可能设置了应用注册创建限制，比如禁止普通用户创建应用，或有条件访问策略阻止AKS服务创建应用注册的请求，需联系租户管理员检查AAD租户的应用注册权限配置。

5. 后台资源创建异常 #

• 可能存在Azure后台资源创建延迟或隐性失败，可通过Azure门户进入集群的「活动日志」，查看是否有与应用注册相关的错误记录，定位具体失败原因。

内容的提问来源于stack exchange，提问作者kuldeep singh