Azure AKS-API（预览版）创建集群授权失败技术求助

我来帮你排查这个权限问题——同一账号在Azure门户能创建AKS集群，但调用预览版AKS-API时失败，核心原因是API调用需要的权限没有被显式授予，哪怕门户操作正常，也可能因为两种场景的权限逻辑差异导致这个问题。下面是具体的排查和解决步骤：

1. 明确API所需的具体权限 #

你遇到的错误提示截断了，但创建AKS集群的核心权限是Microsoft.ContainerService/managedClusters/write。首先确认你的账号是否拥有这个权限，因为门户操作可能依赖隐式的后台权限映射，但API调用会直接校验RBAC权限。

2. 检查账号的RBAC角色配置 #

• 登录Azure门户，进入目标订阅或资源组（你要创建集群的位置），打开「访问控制(IAM)」
• 搜索你的账号ID（09ad439c-5569-4e9b-8b23-3311d6837a21），查看已分配的角色
  • 如果你有「参与者」「AKS集群管理员」这类角色，理论上包含managedClusters/write权限，但需要确认预览版API是否扩展了新的权限（极少数情况）
  • 如果角色是自定义的，检查是否遗漏了Microsoft.ContainerService/managedClusters/write这个操作

3. 验证资源提供程序的注册状态 #

预览版API依赖的Microsoft.ContainerService资源提供程序必须处于已注册状态：

• 用Azure CLI执行以下命令检查：

  az provider show -n Microsoft.ContainerService --query registrationState
  

• 如果返回NotRegistered，执行注册命令并等待完成（可能需要5-10分钟）：

  az provider register -n Microsoft.ContainerService
  

4. 确认API调用的上下文一致性 #

确保你调用API时使用的订阅和门户创建集群时的订阅是同一个：

• 用Azure CLI查看当前默认订阅：

  az account show --query id
  

• 如果不一致，切换到正确的订阅：

  az account set --subscription <你的订阅ID>
  

  或者在API请求的URL中显式指定正确的订阅ID

5. 手动补充缺失的权限（如果以上步骤无效） #

如果默认角色确实没有覆盖预览版API的权限，需要创建自定义RBAC角色：

1. 在Azure门户的「访问控制(IAM)」中，点击「角色」→「新建自定义角色」
2. 在「权限」选项卡中，搜索并添加Microsoft.ContainerService/managedClusters/write权限
3. 完成角色创建后，将该角色分配给你的账号（范围选订阅或目标资源组）

完成以上步骤后，重新调用AKS预览版API，应该就能正常创建集群了。

内容的提问来源于stack exchange，提问作者Bruce Mathews