トラブルシューティング

このページの内容は Apigee と Apigee ハイブリッドに該当します。

Apigee Edge のドキュメントを表示する。

Istio 404（Not Found）エラー

Istio で 404（Not Found）エラーをデバッグする場合、時間がかかることがあります。このドキュメントは、問題の原因追及の出発点として役立つことを目的としています。

ワイルドカードゲートウェイの競合

ホスト値にワイルドカード「*」を使用できるゲートウェイ定義は 1 つだけです。ワイルドカードゲートウェイを含む別のものをデプロイしていると、クライアントの呼び出しが 404 ステータスで失敗します。

例:

$ istioctl get gateways
GATEWAY NAME         HOSTS     NAMESPACE   AGE
bookinfo-gateway     *         default     20s
httpbin-gateway      *         default     3s

この場合は、競合しているゲートウェイのいずれかを削除するか、変更する必要があります。

ルートの障害点を検索する

Istio は、タマネギ（もしくは、Ogre）のように複数のレイヤで構成されています。404 を体系的にデバッグするには、対象から離れるようにデバッグする必要があります。

バックエンドワークロード

サイドカーからワークロードにアクセスできることを確認します。

kubectl exec $WORKLOAD_POD -c istio-proxy -- curl localhost:80/headers

バックエンドサイドカー

サービスアドレスを設定して、ワークロード Pod の IP アドレスを取得します。

SERVICE=httpbin.default.svc.cluster.local:80
  POD_IP=$(kubectl get pod $WORKLOAD_POD -o jsonpath='{.status.podIP}')

サイドカーを使用してワークロードにアクセスします。

kubectl exec $WORKLOAD_POD -c istio-proxy -- curl -v http://$SERVICE/headers --resolve "$SERVICE:$POD_IP"

Istio mTLS が有効になっている場合:

kubectl exec $WORKLOAD_POD -c istio-proxy -- curl -v https://$SERVICE/headers --resolve "$SERVICE:$POD_IP" --key /etc/certs/key.pem --cert /etc/certs/cert-chain.pem --cacert /etc/certs/root-cert.pem --insecure

ゲートウェイ（またはフロントエンドサイドカー）

ゲートウェイからサービスにアクセスします。

kubectl -n istio-system exec $GATEWAY_POD -- curl -v http://$SERVICE/header

Istio mTLS が有効になっている場合:

kubectl -n istio-system exec $GATEWAY_POD -- curl -v https://$SERVICE/headers --key /etc/certs/key.pem --cert /etc/certs/cert-chain.pem --cacert /etc/certs/root-cert.pem --insecure

分析が表示されない

Analytics UI に分析結果が表示されない場合は、次のような原因が考えられます。

Apigee の取り込みに数分間の遅延がある
Envoy gRPC アクセスログが正しく構成されていない
Envoy がリモートサービスに到達できない
リモートサービスがアップロードできない

API キーが存在しないか、不正な API キーが拒否されない

API キーの検証が正しく動作しない場合は、次の原因が考えられます。

直接プロキシ

ext-authz 構成を確認します。

サイドカー

インターセプト用のリスナーが構成されていることを確認します。
ext-authz 構成を確認します。

無効なリクエストがチェックされているが、許可されている

リモートサービスがフェールオープンに構成されている
Envoy が RBAC チェック用に構成されていない

このような問題に対処する方法については、Envoy のドキュメントで外部認証のトピックをご覧ください。また、failure_mode_allow プロパティに関する情報もご覧ください。このプロパティを使用すると、エラーに対するフィルタの動作を変更できます。

JWT が存在しないか、不正な JWT が拒否されない

原因として、Envoy JWT フィルタが構成されていないことが考えられます。

有効な API キーが失敗する

考えられる原因

Envoy がリモートサービスに到達できない
認証情報が無効である
ターゲットと環境用に Apigee API プロダクトが構成されていない
Envoy が Apigee API プロダクトを認識していない