如何找到AKS集群的服务主要秘密？

Question

好吧,所以我搞砸了,我不小心碰到az ad sp reset-credentials了我们的AKS集群运行的服务主管.现在我们遇到的错误如下:

创建负载均衡器时出错(将重试):获取服务测试的LB/admin-api时出错:azure.BearerAuthorizer#WithAuthorization:无法刷新请求的令牌以访问https://management.azure.com/subscriptions/****/resourceGroups/MC_****/providers/Microsoft.Network/loadBalancers?api-version=2017-09-01:StatusCode = 0 - 原始错误:adal:刷新请求失败.状态代码='401'.响应正文:{"error":"invalid_client","error_description":"AADSTS70002:验证凭据时出错.AADSTS50012:提供了无效的客户端密码.\ r \nTrace ID:****\r \nCorrelation ID:****\r \n时间戳:2018-08-23 12:01:33Z","error_codes":[70002,50012],"timestamp":"2018-08-23 12:01:33Z","trace_id":"****", "CORRELATION_ID": "****"}

和

无法提取图像"****.azurecr.io/****:****":rpc错误:代码=未知desc =来自守护程序的错误响应:获取https://****.azurecr. io/v2/****/manifests/****:未经授权:需要验证

所以现在我想找到服务主体使用的原始客户端密钥,以便我可以将其重新添加为服务主体的密钥.除了重新创建整个集群之外,这是我能想到的唯一解决方案.

有任何想法吗？

Answer 1

最后，解决方案非常简单。

• 在Azure门户中，导航到名为的资源组MC_<resourcegroup>_<aksName>_<region>。
• 单击类型为“虚拟机”的资源之一。
• 向下滚动到“运行命令”

• 选择“ RunShellScript”
• 输入cat /etc/kubernetes/azure.json并单击“运行”

该命令将返回JSON文件的内容。您需要的物业是aadClientSecret

Answer 2

无论谁遇到此问题，Microsoft 都会提供更新的解决方案

https://docs.microsoft.com/en-us/azure/aks/update-credentials#update-aks-cluster-with-new-credentials

他们还提到（有些不明显）： 默认情况下，AKS 群集是使用具有一年到期时间的服务主体创建的。

此外， 从 Azure CLI 2.0.68 开始，不再支持用于使用用户定义的密码创建服务主体的 --password 参数，以防止意外使用弱密码。 因此更改服务主体密码的初始解决方案不再有效。