运行“az aks get-credentials”命令时出现 Azure Kubernetes 错误答案

【问题标题】：Azure Kubernetes Error when running "az aks get-credentials" command运行“az aks get-credentials”命令时出现 Azure Kubernetes 错误
【发布时间】：2021-05-08 01:05:16
【问题描述】：

Azure 管理员为我们创建了一个集群。在 VM 上我安装了"az cli" and "kubectl"。通过 Azure 门户中的帐户，我可以看到它所属的 Kubernetes 服务和资源组。从 Azure 门户中该集群的级别，我可以看到我有一个角色：

“AKS 集群管理员操作员”

我使用我的帐户使用 kubectl 登录 VM。我需要配置我的 kubectl 以使用我们的集群。当我尝试执行时：

az aks get-credentials --resource-group FRONT-AKS-NA2 --name front-aks

我收到错误：

ForbiddenError: 带有对象 ID 的客户端“my_name@my_comp.COM” “4ea46ad637c6”无权执行操作 'Microsoft.ContainerService/managedClusters/listClusterUserCredential/action' 超出范围 '/subscriptions/89e05d73-8862-4007-a700-0f895fc0f7ea/resourceGroups/FRONT-AKS-NA2/providers/Microsoft.ContainerService/managedClusters/front-aks' 或范围无效。如果最近被授予访问权限，请刷新您的凭据。

【问题讨论】：

试试az aks get-credentials --resource-group FRONT-AKS-NA2 --name front-aks --admin
@Hackerman 嘿，它有效！谢谢！！！如果我应该使用具有管理员或常规 ClusterUser 角色的 kubectl 命令，你能告诉我区别吗？有什么区别？
@Hackerman 使用此管理员而不是默认的集群用户角色是否安全且足够？谢谢你的回答，真的很有帮助

标签： azure kubernetes azure-aks

【解决方案1】：

嗯，我看到了评论，你已经得到了解决方案。所以我只能向您解释其中的区别。希望对你有帮助！

当您使用命令az aks get-credentials 不带参数--admin 时，表示CLI 命令使用default value：集群用户。当您使用群集用户时，如果您将 AKS 与 AAD 集成，它就可以工作。但是你说你只有AKS Cluster Admin Operator这个角色，所以合适的参数是--admin。您可以获取更多详情here。

在我这边，这有点危险。如果 AKS 集群只是为了测试，没有问题。但如果是用于生产，我建议您与 AAD 集成，然后给用户适当的权限。因为管理员用户意味着你拥有所有权限，你知道，这并不安全。

【讨论】：

谢谢 Charles，这解决了问题...这是我们的第一个 AKS 集群，因此面临许多不同的问题：)
@AndreyDonald 我的荣幸：)

【解决方案2】：

在我的情况下，刷新最近授予的凭据有助于此：

az account set --subscription "your current subscription name"

它导致重新登录并解决问题。

【讨论】：