启用Azure RBAC的AKS中Flux-Applier的cluster-admin绑定失效问题

核心问题分析 #

报错中的请求用户是system:serviceaccount:nginx:flux-applier，但你实际配置的ClusterRoleBinding是绑定flux-system命名空间下的flux-applier ServiceAccount。这说明Flux在安装ingress-nginx Helm chart时，错误使用了nginx命名空间的同名ServiceAccount（该SA实际不存在，属于“幽灵”对象），而非你配置的flux-system下的合法SA。

在启用enableAzureRBAC=true的AKS集群中，Azure RBAC优先级高于Kubernetes RBAC：只有当Azure RBAC对当前用户无匹配规则时，才会回退到K8s RBAC。这里因为请求用的是nginx:flux-applier，既没有Azure RBAC授权，也没有对应的K8s RBAC绑定（你的绑定是给flux-system:flux-applier的），所以触发权限拒绝。

根源解决步骤 #

1. 修正Flux HelmRelease配置 #

检查ingress-nginx对应的HelmRelease资源，确认是否错误指定了ServiceAccount：

• 如果HelmRelease中设置了spec.serviceAccountName: flux-applier但未指定spec.serviceAccountNamespace，Flux会默认使用HelmRelease所在的命名空间（即nginx），导致使用错误的SA。
• 正确配置示例：

apiVersion: helm.toolkit.fluxcd.io/v2beta1
kind: HelmRelease
metadata:
  name: ingress-nginx
  namespace: nginx
spec:
  # 明确指定使用flux-system下的合法SA
  serviceAccountName: flux-applier
  serviceAccountNamespace: flux-system
  chart:
    spec:
      chart: ingress-nginx
      sourceRef:
        kind: HelmRepository
        name: ingress-nginx
        namespace: flux-system
  # 其他配置...

2. 检查Flux安装参数 #

如果Flux是通过Helm或CLI安装的，确认是否配置了自动在目标命名空间创建ServiceAccount的参数：

• 部分Flux配置会默认在每个HelmRelease的命名空间创建同名SA，覆盖了你全局配置的ClusterRoleBinding。
• 调整Flux安装参数，禁用自动创建目标命名空间SA的行为，强制复用flux-system下的全局SA。

3. 清理无效绑定（可选） #

如果你之前手动创建了nginx命名空间的ClusterRoleBinding，可以清理掉，避免后续混淆：

kubectl delete clusterrolebinding flux-applier-nginx-binding

验证 #

修正配置后，触发Flux重新 reconcile：

flux reconcile helmrelease ingress-nginx -n nginx

检查日志确认不再出现权限错误，ingress-nginx成功安装。

内容的提问来源于stack exchange，提问作者Josh