Azure Kubernetes Service(AKS)通过YAML部署Pod出现API服务报错如何解决

1. 优先修正YAML配置语法错误 #

你当前提交的YAML存在两处明显语法错误，需先修正再重试：

• metadata下的namespace字段为空，要么直接删除该行使用默认命名空间，要么填写实际要部署到的目标命名空间名称
• image字段冒号后缺少空格，且未填写完整的Azure私有容器注册表（ACR）地址，修正后示例如下：

apiVersion: v1
kind: Pod
metadata:
  name: name-of-pod
  # 若使用默认命名空间可删除下行
  namespace: your-target-namespace
spec:
  containers:
    - name: name
      # 替换为你的ACR完整地址，格式为<ACR名称>.azurecr.io/镜像名:标签
      image: your-acr-address/image-name:master
      imagePullPolicy: IfNotPresent
  imagePullSecrets:
    - name: secret-name

2. 排查AKS API Server连通性问题 #

报错核心为无法访问API Server，针对私有AKS集群按以下步骤检查：

• 你使用Azure门户「Add with YAML」功能操作时，当前操作设备必须和AKS私有API Server处于同一VNet，或已通过VPN/ExpressRoute打通到集群VNet的网络，否则无法访问私有API Server
• 在可访问集群VNet的设备上安装kubectl，执行kubectl get nodes验证API Server连通性，若无法正常返回结果，优先排查集群VNet的路由、NSG规则是否允许访问API Server私有端点
• 登录Azure门户查看AKS集群运行状态，检查控制平面的CPU、内存、请求延迟指标，确认是否存在控制平面负载过高、节点NotReady的情况
• 若kubectl可以正常连通集群，优先用kubectl apply -f <你的yaml文件路径>命令行提交部署，排除门户操作链路的网络问题

3. 排查私有镜像拉取配置有效性 #

• 你配置的imagePullSecrets对应的密钥必须和Pod部署在同一个命名空间下，若你指定了非默认命名空间，需要先在对应命名空间下创建ACR拉取密钥
• 验证密钥有效性：使用密钥中的账号密码执行docker login <你的ACR地址>，确认可以正常登录拉取镜像
• 若你的ACR也配置了私有访问，需要确认AKS节点VNet和ACR私有端点之间的网络已打通，没有NSG、防火墙规则拦截访问

4. 排查报错码浮动问题 #

报错码在500、20之间切换通常由网络不稳定或API Server限流导致：

• 检查操作设备到API Server的网络链路是否存在丢包、延迟过高的情况
• 确认近期是否有大批量资源部署操作触发API Server限流，可等待1-2分钟后重试，若频繁出现可调整AKS控制平面规格提升承载能力

内容的提问来源于stack exchange，提问作者JakeTheDane