分配AKS RBAC Writer内置角色后仍无法读写集群如何排查？

• 你分配的两个Azure内置角色本身不包含集群层面的命名空间、Pod列表查询权限：
  1. Azure Kubernetes Service Cluster User 角色仅用于获取AKS集群的访问凭证，本身不授予任何Kubernetes资源的操作权限
  2. Azure Kubernetes Service RBAC Writer 内置角色默认仅授予单个命名空间内的资源读写权限，即使你把该角色的作用域设为全集群，它的权限定义里也没有包含集群层面的namespaces、pods list权限
• 如果你的AKS开启了Azure AD集成与Azure RBAC for Kubernetes授权，所有K8s资源的访问权限都需要匹配对应的Azure角色权限定义，当前分配的角色没有覆盖集群级别的资源查询要求。

首先替换变量为你自己的集群信息，执行命令获取集群资源ID：

# 替换尖括号内容为你的实际资源信息
AKS_NAME=<你的AKS集群名称>
RG_NAME=<你的AKS所在资源组名称>
USER_PRINCIPAL_NAME="rbacWriterAndConsoleNsReader@mayankprac2outlook.onmicrosoft.com"

# 获取AKS集群资源ID
AKS_ID=$(az aks show -n $AKS_NAME -g $RG_NAME --query id -o tsv)

方案1：直接分配内置集群读角色（最便捷） #

如果需要给该用户授予全集群所有资源的读权限，叠加原有写权限即可满足需求：

az role assignment create \
  --assignee $USER_PRINCIPAL_NAME \
  --role "Azure Kubernetes Service RBAC Reader" \
  --scope $AKS_ID

方案2：自定义最小权限角色（权限更收敛） #

如果只需要开放集群层面的命名空间、Pod查询权限，不需要其他资源读权限，可先创建自定义角色再分配：

# 创建自定义角色定义，仅开放集群级别的命名空间、Pod查询权限
az role definition create --role-definition '{
  "Name": "AKS Cluster Namespace Pod Reader",
  "Description": "允许在AKS集群层面查询命名空间和Pod列表",
  "AssignableScopes": ["'$AKS_ID'"],
  "Permissions": [
    {
      "Actions": [],
      "NotActions": [],
      "DataActions": [
        "Microsoft.ContainerService/managedClusters/namespaces/read",
        "Microsoft.ContainerService/managedClusters/pods/read"
      ],
      "NotDataActions": []
    }
  ]
}'

# 给用户分配自定义角色
az role assignment create \
  --assignee $USER_PRINCIPAL_NAME \
  --role "AKS Cluster Namespace Pod Reader" \
  --scope $AKS_ID

生效验证 #

操作完成后等待1-2分钟权限同步，重新拉取kubeconfig即可验证：

az aks get-credentials -n $AKS_NAME -g $RG_NAME --overwrite-existing
kubectl get ns
kubectl get pods -A

内容的提问来源于stack exchange，提问作者Mayank