Azure Kubernetes Service 是否可使用其他租户的Azure Disk作为持久卷？

常规单租户内Azure Disk PVC配置示例 #

若要在AKS中使用Azure Disk作为持久存储，单租户场景下可按如下方式定义PersistentVolumeClaim，通过默认存储类动态创建对应磁盘资源：

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: azure-managed-disk
spec:
  accessModes:
  - ReadWriteOnce
  storageClassName: default
  resources:
    requests:
      storage: 5Gi

跨租户使用可行性答复 #

默认配置下，部署在租户A的AKS集群无法直接使用租户B的Azure Disk作为PersistentVolume，具体说明如下：

限制原因 #

• Azure 资源天然存在租户级隔离边界，租户A中AKS集群关联的托管身份或服务主体，默认没有租户B的资源访问权限，无法完成磁盘的识别、挂载操作
• AKS内置的默认存储类仅支持在集群所属的当前租户下动态供应Azure Disk资源，不支持直接跨租户创建、关联存储

可行的变通实现方案 #

如果确实需要跨租户挂载Azure Disk，满足以下前提并调整配置即可实现：

1. 权限授权：在租户B侧，将目标Azure Disk的「虚拟机数据磁盘挂载」等必要操作权限，授予租户A中AKS集群使用的托管身份/服务主体
2. 区域对齐：租户B的目标Azure Disk必须和租户A的AKS集群节点位于同一个Azure区域，Azure不支持跨区域挂载磁盘到虚拟机
3. 静态PV配置：放弃使用默认存储类动态供应逻辑，手动创建静态PV绑定租户B的Azure Disk资源ID，再创建PVC绑定该静态PV即可正常使用

内容的提问来源于stack exchange，提问作者Jerald Baker