AKS中Spring Boot应用遇CredentialUnavailableException问题求助

1. 优先排查托管身份（Managed Identity）配置 #

1.1 确认Pod关联了正确的托管身份 #

• 检查AKS集群是否启用OIDC issuer（AKS 1.24+版本默认启用，旧版本需手动开启）
• 查看应用Pod所属ServiceAccount是否绑定Azure托管身份：

  kubectl describe sa <你的服务账户名> -n <命名空间>
  

  确认输出中存在azure.workload.identity/client-id注解，且值与目标托管身份的Client ID一致。

1.2 验证IMDS端点连通性 #

在Pod内部执行命令测试IMDS访问：

kubectl exec -it <Pod名称> -n <命名空间> -- curl http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https%3A%2F%2Fmanagement.azure.com/ -H "Metadata: true"

• 若返回403：检查托管身份是否拥有目标资源的权限，以及ServiceAccount与身份的绑定关系是否正确
• 若超时/无法连接：排查AKS集群网络策略是否阻止了对169.254.169.254的访问，或Pod的CNI网络配置是否限制了IMDS访问

2. 修正Azure Identity客户端配置 #

2.1 明确指定使用ManagedIdentityCredential #

不要依赖DefaultAzureCredential自动遍历所有凭证类型，直接指定托管身份认证：

// Java代码示例
ManagedIdentityCredential credential = new ManagedIdentityCredentialBuilder()
    .clientId("<你的托管身份Client ID>")
    .build();

或在application.yml中配置：

azure:
  identity:
    client-id: <你的托管身份Client ID>

2.2 清理干扰性环境变量 #

确保Pod中未设置AZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_CLIENT_SECRET这类环境变量，避免DefaultAzureCredential优先尝试EnvironmentCredential导致失败。

3. 排查AKS集群层面配置 #

3.1 确认Workload Identity已启用 #

检查集群是否启用Workload Identity功能：

az aks show -n <AKS集群名> -g <资源组名> --query "workloadIdentityProfile.enabled"

若返回false，执行以下命令启用：

az aks update -n <AKS集群名> -g <资源组名> --enable-workload-identity

3.2 检查节点池网络配置 #

如果使用Azure CNI，确认节点子网的NSG未阻止出站到169.254.169.254的流量；如果使用Kubenet，排查是否有自定义网络策略限制了IMDS访问。

4. 补充排查点 #

• 权限验证：确认托管身份拥有应用所需资源的权限（比如访问Azure Storage需配置Storage Blob Data Contributor角色）
• 版本兼容：检查Spring Boot与Azure Identity SDK版本是否匹配，避免版本冲突引发异常

内容的提问来源于stack exchange，提问作者codeX