Azure DevOps用ARM服务连接部署Helm到AKS集群无法连接如何解决？

该报错本质是Azure DevOps流水线运行的代理节点无法解析AKS集群的API服务器域名，无法建立连接，可按以下步骤排查修复：

一、基础配置校验 #

• 校验ARM服务连接配置：确认Azure DevOps项目中配置的ARM服务连接的服务主体/托管身份，对目标AKS集群所在资源组有至少Azure Kubernetes Service Cluster User Role权限，集群名称、资源组名称、订阅ID和实际Azure侧配置完全一致，没有拼写错误
• 校验AKS集群状态：登录Azure门户检查AKS集群运行状态为Running，集群的API服务器地址没有被手动修改、删除

二、网络连通性排查 #

如果是使用微软托管的DevOps代理：

• 确认AKS集群是否配置了私有集群（Private AKS）：私有集群的API服务器域名仅能在VNet内部解析，微软托管代理在公共网络无法访问，这类场景必须改用自托管代理
• 确认AKS的API服务器是否配置了IP白名单：如果开启了API服务器授权IP范围，需要将微软托管代理的出口IP段加入白名单

如果是使用自托管的DevOps代理：

• 登录到自托管代理节点，手动执行nslookup [AKS API服务器域名]验证域名解析是否正常，若解析失败检查代理节点的DNS配置，如果是VNet内部部署的代理，确认DNS服务器配置为Azure默认DNS或者自定义DNS能正确解析私有AKS域名
• 执行telnet [AKS API服务器域名] 443验证443端口连通性，若不通检查代理节点所在子网的NSG、防火墙规则是否放开了到AKS API服务器443端口的出站访问

三、快速验证方法 #

可以在HelmDeploy任务之前增加一步AzureCLI任务，先手动拉取AKS凭证验证连通性，添加以下任务到流水线即可验证：

- task: AzureCLI@2
  inputs:
    azureSubscription: 'xxxxxxxxxxxxxxx' # 和Helm任务使用同一个ARM服务连接
    scriptType: 'bash'
    scriptLocation: 'inlineScript'
    inlineScript: |
      az aks get-credentials --resource-group xxxxxxxxxxx --name aks-cluster --admin
      kubectl cluster-info

如果这一步也报集群不可达的错误，即可确认是网络连通性问题，和Helm任务本身配置无关

四、常见修复方案 #

• 私有AKS场景：将DevOps自托管代理部署在和AKS集群同一VNet，或者对等互联的VNet中，确保VNet内部DNS能正常解析AKS私有域名
• 公共AKS场景：临时关闭API服务器IP白名单测试连通性，确认是白名单问题后将代理出口IP正确加入白名单
• 配置错误场景：修正流水线中AKS集群名称、资源组、订阅的拼写错误，重新授权ARM服务连接的AKS访问权限

内容的提问来源于stack exchange，提问作者vkandvia