Azure AKS Flux v2 GitOps跨命名空间引用被阻止问题

在Azure AKS集群中通过Flux v2 GitOps方案部署nginx ingress控制器及关联组件时触发部署异常，初步判断问题与Flux/AKS侧配置相关，已排查集群网络策略规则，未发现相关访问限制。

部署返回的Ready状态为False，原因为AccessDenied，具体错误内容：

[
    {
        "lastTransitionTime": "2022-07-08T14:43:57+00:00",
        "message": "can't access  cross-namespace references have been blocked",
        "reason": "AccessDenied",
        "status": "False",
        "type": "Ready"
    }
]

• flux-system命名空间下的HelmRepository配置：

apiVersion: source.toolkit.fluxcd.io/v1beta1
kind: HelmRepository
metadata:
  name: ingress-nginx
  namespace: flux-system
spec:
  interval: 30m
  url: https://kubernetes.github.io/ingress-nginx

• ingress-system命名空间下的HelmRelease配置，跨命名空间引用上述flux-system下的HelmRepository：

apiVersion: helm.toolkit.fluxcd.io/v2beta1
kind: HelmRelease
metadata:
  name: ingress-nginx
  namespace: ingress-system
spec:
  interval: 5m
  chart:
    spec:
      chart: ingress-nginx
      version: '4.0.13'
      sourceRef:
        kind: HelmRepository
        name: ingress-nginx
        namespace: flux-system
      interval: 1m

Flux v2默认启用跨命名空间引用安全限制：非同一命名空间下的HelmRelease、Kustomization等资源，默认无权引用其他命名空间下的HelmRepository、GitRepository等源对象，该限制为Flux组件内置规则，与集群网络策略无关，AKS托管的Flux v2扩展默认继承该安全配置。

可根据实际安全需求选择以下任意一种方案修复：

• 最小权限授权（推荐）
  在被引用的HelmRepository对象中添加accessFrom配置，显式授权指定命名空间的资源可跨命名空间引用该对象，修改后的HelmRepository配置如下：

apiVersion: source.toolkit.fluxcd.io/v1beta1
kind: HelmRepository
metadata:
  name: ingress-nginx
  namespace: flux-system
spec:
  interval: 30m
  url: https://kubernetes.github.io/ingress-nginx
  accessFrom:
    namespaceSelectors:
      - matchLabels:
          kubernetes.io/metadata.name: ingress-system

上述配置仅允许ingress-system命名空间下的资源引用该HelmRepository，符合最小权限原则。

• 全局放开跨命名空间引用（不推荐，存在安全风险）
  如果需要允许所有命名空间的资源引用该HelmRepository，可将namespaceSelectors的matchLabels配置为空：

spec:
  accessFrom:
    namespaceSelectors:
      - matchLabels: {}

• 规避跨命名空间引用
  将HelmRepository与HelmRelease部署到同一命名空间下，即可绕过跨命名空间引用限制，无需额外配置授权规则。

配置生效后等待Flux自动完成调和（通常1-2分钟），即可观察到HelmRelease状态变为Ready。

内容的提问来源于stack exchange，提问作者John Fox