Azure Pipeline部署Helm Chart至私有AKS时权限错误排查

1. 对接私有AKS集群是否需额外配置？ #

• 是，私有AKS集群的控制面仅允许指定网络访问，必须确保Azure DevOps Agent所在网络被加入AKS的授权IP范围，或通过私有链接（Private Link）建立连接。若Agent不在授权网络内，即便Service Principal权限正常，也会因无法访问控制面触发权限类异常。
• 需确认Agent所在环境能正确解析AKS控制面的私有FQDN，DNS配置错误会导致连接异常，间接表现为权限报错。
• 若集群启用RBAC，必须为Service Principal配置足够的RBAC权限：比如授予目标命名空间的list secrets权限，或绑定edit/cluster-admin等角色。手动操作成功大概率是因为个人账号权限更高，而Service Principal的RBAC权限不足。

2. 即使是私有集群，Azure DevOps是否仍需专用Service Principal？ #

• 是，无论AKS集群类型，Azure DevOps与AKS交互都需要身份凭证（Service Principal或托管标识）。使用专用Service Principal可精准控制权限范围，便于审计和权限回收，避免过度授权。
• 手动操作成功通常是因为使用了拥有高权限的个人Azure账号，而Pipeline所用的Service Principal可能缺少secrets资源的list权限，或未绑定正确的RBAC角色。

内容的提问来源于stack exchange，提问作者Hvaandres