使用CeleryExecutor部署在AKS的Airflow访问任务日志报403错误

• 最核心的原因是Airflow Celery Worker默认的日志服务（监听8793端口）有IP访问限制，默认仅允许127.0.0.1访问，你部署的Airflow Web Server Pod的IP不在允许列表内，因此请求被拒绝返回403。
• 其次你当前的部署没有配置Web Server和Worker共用的共享日志存储，Web Server本地找不到任务日志，只能跨Pod向Worker发起日志拉取请求，触发了上述访问限制。
• 少数场景下自定义镜像的日志目录权限配置错误，Worker的日志服务无法读取本地日志文件，也会返回403错误。

1. 放宽Worker日志服务的IP访问限制，在你的values.yaml的airflow.config节点下新增如下配置：

airflow:
  config:
    # 新增该行配置，生产环境建议替换为AKS集群实际的Pod CIDR网段，避免安全风险
    AIRFLOW__CELERY__WORKER_LOG_SERVER_ALLOWED_IPS: "0.0.0.0/0"
    # 原有其他配置保留不变

2. （推荐）配置共享持久化存储，给Web Server和Worker的/opt/airflow/logs路径挂载同一个Azure共享存储卷，这样Web Server可以直接读取本地挂载的日志，无需跨Pod向Worker拉取，同时也能避免Worker销毁后日志丢失的问题。
3. 确认自定义镜像的权限配置，确保Airflow运行用户（默认UID为50000）对/opt/airflow/logs目录具备读写权限，你当前配置中persistence.fixPermissions: true已经覆盖了默认存储的权限修复，无需额外调整。

内容的提问来源于stack exchange，提问作者Papotitu