Risoluzione dei problemi di Policy Controller
Questa pagina mostra come risolvere i problemi relativi a Policy Controller.
Suggerimenti di carattere generale
La seguente sezione fornisce consigli generali per la risoluzione dei problemi relativi a Policy Controller.
Arresta Policy Controller
Se Policy Controller causa problemi nel cluster, puoi interrompere Policy Controller mentre analizzi il problema.
Esaminare le metriche
L'esame delle metriche di Policy Controller può aiutarti a diagnosticare i problemi relativi a Policy Controller.
Verifica installazione
Puoi verificare se Policy Controller e la libreria dei modelli di vincolo sono stati installati correttamente.
Scollega Policy Controller
In rari casi, potrebbe essere necessario scollegare Policy Controller dai cluster.
Questa operazione disattiva completamente la gestione di Policy Controller. Prova ad interrompere temporaneamente Policy Controller per verificare se è possibile risolvere i problemi prima di utilizzare il comando detach
.
Scollega Policy Controller dal tuo parco risorse:
gcloud container fleet policycontroller detach
Ricollega Policy Controller:
gcloud container fleet policycontroller enable
Errore durante la creazione di un modello di vincolo
Se viene visualizzato un errore che menziona un disallowed ref
, verifica di aver abilitato i vincoli referenziali. Ad esempio, se utilizzi data.inventory
in un modello di vincolo senza abilitare prima i vincoli di riferimento, l'errore è simile al seguente:
admission webhook "validation.gatekeeper.sh" denied the request: check refs failed on module {templates["admission.k8s.gatekeeper.sh"]["MyTemplate"]}: disallowed ref data.inventory...
Vincolo non applicato
La seguente sezione fornisce indicazioni per la risoluzione dei problemi se sospetti o sai che i tuoi vincoli non vengono applicati.
Controlla se il vincolo è stato applicato
Se temi che il vincolo non venga applicato in modo forzato, puoi controllare il spec.status
del vincolo e il relativo modello. Per verificare lo stato, esegui questo comando:
kubectl describe CONSTRAINT_TEMPLATE_NAME CONSTRAINT_NAME
Sostituisci quanto segue:
CONSTRAINT_TEMPLATE_NAME
: il nome del modello di vincolo che vuoi controllare. Ad esempio,K8sNoExternalServices
.CONSTRAINT_NAME
: il valoreName
del vincolo che vuoi controllare.Se necessario, esegui
kubectl get constraint
per vedere quali modelli e vincoli sono installati sul tuo sistema.
Nell'output del comando kubectl describe
, prendi nota dei valori nei campi metadata.generation
e status.byPod.observedGeneration
. Nell'esempio seguente questi valori sono in grassetto:
Name: no-internet-services
Namespace:
API Version: constraints.gatekeeper.sh/v1beta1
Kind: K8sNoExternalServices
Metadata:
Creation Timestamp: 2021-12-03T19:00:06Z
Generation: 1
Managed Fields:
API Version: constraints.gatekeeper.sh/v1beta1
Fields Type: FieldsV1
fieldsV1:
f:metadata:
f:annotations:
f:config.k8s.io/owning-inventory:
f:configmanagement.gke.io/cluster-name:
f:configmanagement.gke.io/managed:
f:configmanagement.gke.io/source-path:
f:configmanagement.gke.io/token:
f:configsync.gke.io/declared-fields:
f:configsync.gke.io/git-context:
f:configsync.gke.io/manager:
f:configsync.gke.io/resource-id:
f:labels:
f:app.kubernetes.io/managed-by:
f:configsync.gke.io/declared-version:
f:spec:
f:parameters:
f:internalCIDRs:
Manager: configsync.gke.io
Operation: Apply
Time: 2022-02-15T17:13:20Z
API Version: constraints.gatekeeper.sh/v1beta1
Fields Type: FieldsV1
fieldsV1:
f:status:
Manager: gatekeeper
Operation: Update
Time: 2021-12-03T19:00:08Z
Resource Version: 41460953
UID: ac80849d-a644-4c5c-8787-f73e90b2c988
Spec:
Parameters:
Internal CID Rs:
Status:
Audit Timestamp: 2022-02-15T17:21:51Z
By Pod:
Constraint UID: ac80849d-a644-4c5c-8787-f73e90b2c988
Enforced: true
Id: gatekeeper-audit-5d4d474f95-746x4
Observed Generation: 1
Operations:
audit
status
Constraint UID: ac80849d-a644-4c5c-8787-f73e90b2c988
Enforced: true
Id: gatekeeper-controller-manager-76d777ddb8-g24dh
Observed Generation: 1
Operations:
webhook
Total Violations: 0
Events: <none>
Se vedi ogni pod di Policy Controller con un valore observedGeneration
uguale al valore metadata.generation
(come nell'esempio precedente), probabilmente il tuo vincolo viene applicato in modo forzato. Tuttavia, se questi valori corrispondono, ma continui a riscontrare problemi con l'applicazione del vincolo, consulta la sezione seguente per suggerimenti. Se noti che solo alcuni valori corrispondono o alcuni pod non sono elencati, lo stato del vincolo è sconosciuto. Il vincolo potrebbe essere applicato in modo incoerente
nei pod di Policy Controller o non applicato affatto. Se non esistono valori che
corrispondono, il vincolo non viene applicato.
Vincolo non applicato, ma i risultati dell'audit vengono segnalati
Se il controllo observedGeneration
descritto nella sezione precedente aveva valori corrispondenti e vengono segnalati i risultati di controllo sul vincolo che mostra le violazioni previste (per gli oggetti preesistenti, non per le richieste in entrata), ma il vincolo continua a non essere applicato, è probabile che il problema abbia a che fare con il webhook. Il webhook potrebbe presentare uno dei seguenti problemi:
- Il pod webhook di Policy Controller potrebbe non essere operativo. Le tecniche di debug di Kubernetes potrebbero aiutarti a risolvere i problemi relativi al pod webhook.
- Potrebbe esserci un firewall tra il server API e il servizio webhook. Per informazioni dettagliate su come correggere il firewall, consulta la documentazione del provider del firewall.
Vincolo referenziale non applicato
Se il tuo vincolo è un vincolo referenziale, assicurati che le risorse necessarie vengano memorizzate nella cache. Per maggiori dettagli su come memorizzare le risorse nella cache, consulta Configurare Policy Controller per i vincoli di riferimento.
Controlla la sintassi del modello di vincolo
Se hai scritto il tuo modello di vincolo, e questo non viene applicato, potrebbe esserci un errore nella sintassi del modello di vincolo.
Puoi esaminare il modello utilizzando il seguente comando:
kubectl describe constrainttemplate CONSTRAINT_TEMPLATE_NAME
Sostituisci CONSTRAINT_TEMPLATE_NAME
con il nome del modello che vuoi esaminare. Gli errori dovrebbero essere segnalati nel campo status
.
Passaggi successivi
- Se hai bisogno di ulteriore aiuto, contatta l'assistenza Google Cloud.