Azure创建AKS集群长时间等待后报DeploymentFailed部署失败问题

问题表现 #

在Azure上创建AKS集群时，等待较长时间后返回如下部署失败错误：

{
  "code": "DeploymentFailed",
  "message": "At least one resource deployment operation failed. Please list deployment operations for details.",
  "details": [
    {
      "code": "ResourceDeploymentFailure",
      "message": "The resource provision operation did not complete within the allowed timeout period."
    }
  ]
}

通过Terraform、Azure门户、Azure CLI三种渠道部署AKS集群，都会复现上述报错。

复现所用部署命令 #

az aks create \
  --name Aks-moduleTf \
  --max-count 1 \
  --min-count 1 \
  --network-plugin azure \
  --vnet-subnet-id /subscriptions/<SUBID>/resourceGroups/MyResources/providers/Microsoft.Network/virtualNetworks/MyVnet/subnets/Mysubnet \
  --node-count 1 \
  --node-vm-size Standard_B2s \
  --dns-service-ip X.X.X.X \
  --resource-group MyResources \
  --generate-ssh-keys \
  --enable-cluster-autoscaler \
  --service-cidr X.X.X.X/X

排查步骤 #

按优先级从高到低逐一验证：

• 检查自定义VNet子网配置
  • 确认子网关联的网络安全组没有拦截节点出站流量：AKS节点初始化阶段需要访问Azure管理服务、容器服务相关端点，出站443端口全拦截会直接导致节点注册超时
  • 确认子网可用IP数量充足：当前部署用的是Azure CNI网络模式，每个节点会预占固定数量的Pod IP，单节点部署建议子网至少预留10个以上可用IP，IP不足会导致节点网络配置卡住
  • 若子网关联了自定义路由表，确认没有将Azure服务标签对应的流量通过强制隧道路由到不可达的下一跳（比如本地防火墙、不存在的NVA设备）
• 检查订阅配额与状态
  • 确认目标部署区域下Standard_B2s规格对应的vCPU配额≥2，配额不足时底层虚拟机规模集资源申请会卡住，最终触发部署超时
  • 确认订阅状态正常，不存在欠费、订阅被禁用的情况
• 检查策略拦截
  • 检查订阅、资源组层级绑定的Azure Policy，确认不存在拦截AKS关联资源（虚拟机规模集、公共IP、负载均衡器、托管磁盘）创建的策略，比如强制自定义镜像、强制特定资源标签的策略配置错误时，会导致附属资源创建卡死
• 最小化部署排障
  • 去掉自定义VNet、自动扩缩容参数，使用AKS自动创建VNet的默认配置做测试，如果默认配置能部署成功，问题基本可以定位到自定义VNet的配置问题
  • 更换节点虚拟机规格（比如换成Standard_D2s_v5）重新部署，排除目标区域Standard_B2s规格容量不足导致的资源申请超时
  • 临时去掉--enable-cluster-autoscaler参数测试，排除自动扩缩容配置异常导致的部署卡住

内容的提问来源于stack exchange，提问作者Elies