Azure AKS中CronJob无法获取Workload Identity环境变量的解决方案

谢焕惟Beneficient

于 2025-06-14 09:03:21 发布

阅读量186

点赞数 3

本文链接：https://blog.csdn.net/gitblog_07489/article/details/148647960

版权

Azure AKS中CronJob无法获取Workload Identity环境变量的解决方案

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS

在Azure Kubernetes Service（AKS）中使用Workload Identity时，用户可能会遇到一个典型问题：当通过Service Account配置了用户托管的托管身份并关联了联邦凭据后，常规Pod可以正常获取到AZURE_CLIENT_ID、AZURE_TENANT_ID和AZURE_FEDERATED_TOKEN_FILE等环境变量，但同样的配置在CronJob中却失效。

问题现象

用户按照标准流程配置了Service Account与Azure托管身份的联邦凭据关联，并在Pod模板中添加了azure.workload.identity/use: "true"标签以及设置automountServiceAccountToken: true。测试Pod能够成功使用这些环境变量完成Azure CLI登录，但CronJob创建的Pod却无法获取这些关键环境变量。

根本原因

经过排查发现，问题的核心在于Kubernetes的Job Controller机制。当CronJob触发创建Job时，Job Controller生成的Pod副本默认不会继承CronJob模板中定义的所有元数据（metadata），特别是标签（labels）。而Azure Workload Identity的Webhook正是依赖azure.workload.identity/use标签来注入环境变量的。

解决方案

需要在CronJob的Pod模板中显式添加Workload Identity所需的标签。以下是关键配置示例：

apiVersion: batch/v1
kind: CronJob
metadata:
  name: workload-identity-cronjob
spec:
  schedule: "*/1 * * * *"
  jobTemplate:
    spec:
      template:
        metadata:
          labels:
            azure.workload.identity/use: "true"  # 必须在此处显式声明
        spec:
          serviceAccountName: workload-identity-sa
          containers:
          - name: test-container
            image: mcr.microsoft.com/azure-cli
            command: ["/bin/sh"]
            args: ["-c", "az login --federated-token \"$(cat $AZURE_FEDERATED_TOKEN_FILE)\" --service-principal -u $AZURE_CLIENT_ID -t $AZURE_TENANT_ID"]