Azure Kubernetes 运行“az aks get-credentials”命令时出错

Question

Azure 管理员为我们创建了一个集群。在我安装的虚拟机上"az cli" and "kubectl"。使用 Azure 门户中的帐户，我可以看到它所属的 Kubernetes 服务和资源组。从 Azure 门户中该集群的级别，我可以看到我有一个角色：

“AKS 集群管理员操作员”

我使用我的帐户使用 kubectl 登录虚拟机。我需要配置我的 kubectl 以与我们的集群一起使用。当我尝试执行时：

az aks get-credentials --resource-group FRONT-AKS-NA2 --name front-aks

我收到错误：

ForbiddenError：对象 ID 为“4ea46ad637c6”的客户端“my_name@my_comp.COM”无权在范围“/subscriptions/89e05d73-8862-4007-a700-0f895fc0f7ea”上执行操作“Microsoft.ContainerService/managedClusters/listClusterUserCredential/action” /resourceGroups/FRONT-AKS-NA2/providers/Microsoft.ContainerService/managedClusters/front-aks' 或范围无效。如果最近授予了访问权限，请刷新您的凭据。

Answer 1

就我而言，刷新最近授予的凭据有助于此：

az account set --subscription "your current subscription name"

这导致重新登录并解决问题。

Answer 2

嗯，我看到评论了，你已经找到解决方案了。所以我只能向你解释其中的区别。希望对您有帮助！

az aks get-credentials当您使用不带参数的命令时--admin，表示 CLI 命令使用默认值：集群用户。当您使用集群用户时，如果将 AKS 与 AAD 集成，它就可以工作。但你说你只是有这个AKS Cluster Admin Operator角色，所以合适的参数是--admin。您可以在此处获取更多详细信息。

对我来说，这有点危险。如果AKS集群只是为了测试，是没有问题的。但如果是用于生产，我建议您与 AAD 集成，然后向用户授予适当的权限。因为管理员用户意味着你拥有所有权限，你知道，这并不安全。