Azure文件共享备份锁阻碍AKS版本升级求解决方案

核心原因 #

Azure Backup为保护存储账户而添加的资源组级删除锁（AzureBackupProtectionLock），会阻止AKS升级过程中对资源组内相关资源的修改/删除操作，导致升级失败。

解决方案一：临时移除锁完成升级后恢复 #

这是最直接的临时方案，适合快速完成AKS升级：

1. 删除资源组级锁
   使用Azure CLI执行：

   az lock delete --name AzureBackupProtectionLock --resource-group <你的资源组名称>
   

   或者在Azure门户中找到对应资源组 → 进入「锁」面板 → 删除该锁。

2. 执行AKS升级
   运行升级命令：

   az aks upgrade --resource-group <AKS集群资源组> --name <AKS集群名称> --kubernetes-version <目标版本号>
   

   也可以通过Azure门户完成AKS升级操作。

3. 重新添加删除锁
   升级完成后，立即恢复锁以保护存储账户：

   az lock create --name AzureBackupProtectionLock --lock-type Delete --resource-group <存储账户所在资源组>
   

注意：移除锁期间，需避免对存储账户执行删除操作，防止备份数据丢失。

解决方案二：缩小锁的范围到单个存储账户 #

将资源组级锁替换为存储账户级删除锁，既保留对存储账户的保护，又不影响AKS升级：

1. 删除原资源组级锁
   同方案一的第一步，删除资源组上的AzureBackupProtectionLock。

2. 为每个受保护的存储账户添加锁
   对每个需要备份的存储账户单独添加删除锁：

   az lock create --name AzureBackupProtectionLock --lock-type Delete \
     --resource-group <资源组名称> \
     --resource-type Microsoft.Storage/storageAccounts \
     --resource-name <目标存储账户名称>
   

   重复此命令为所有关联的存储账户添加锁。

3. 验证锁的有效性
   检查存储账户的锁状态，确认备份任务仍正常运行，再执行AKS升级。

注意事项 #

• 操作锁前，确认当前没有正在运行的备份任务，避免影响备份完整性。
• 升级完成后，务必确认Azure Backup的保护状态正常，可通过Recovery Services Vault查看备份任务详情。

内容的提问来源于stack exchange，提问作者Jan Navrátil