Risoluzione dei problemi di creazione dell'ambiente

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Questa pagina fornisce informazioni sulla risoluzione dei problemi che potresti riscontrare durante la creazione di ambienti Cloud Composer.

Per informazioni sulla risoluzione dei problemi relativi all'aggiornamento e all'upgrade degli ambienti, vedi Risoluzione dei problemi relativi agli upgrade e agli aggiornamenti degli ambienti.

Quando vengono creati gli ambienti Cloud Composer, la maggior parte dei problemi si verifica per i seguenti motivi:

• Problemi relativi alle autorizzazioni degli account di servizio.

• Informazioni su firewall, DNS o routing errati.

• Problemi relativi alla rete. Ad esempio: configurazione VPC non valida, indirizzo IP conflitti o intervalli IP di rete troppo ristretti.

• Problemi relativi alla quota.

• Criteri dell'organizzazione non compatibili.

Autorizzazioni insufficienti per creare un ambiente

Nota: per verificare che le autorizzazioni configurate siano corrette, puoi utilizzare il Convalida delle autorizzazioni IAM lo script. Lo script convalida le autorizzazioni sia per il VPC condiviso configurazione di rete VPC non condivisa.

Se Cloud Composer non può creare un ambiente perché il tuo account non dispone di autorizzazioni sufficienti, viene visualizzato il seguente messaggio di errore:

ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: The caller
does not have permission

o

ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: User not
authorized to act as service account <service-account-name>.
The user must be granted iam.serviceAccounts.actAs permission, included in
Owner, Editor, Service Account User role. See https://cloud.google.com/iam/docs
/understanding-service-accounts for additional details.

Soluzione: assegna i ruoli sia al tuo account sia all'account di servizio del tuo ambiente come descritto in Controllo dell'accesso.

• In Cloud Composer 2, assicurati che l'agente di servizio Cloud Composer account di servizio ([e-mail]) a cui è assegnato il ruolo Estensione agente di servizio API Cloud Composer v2.

• Assicurati che all'agente di servizio API di Google ([e-mail]) sia stato assegnato il ruolo Editor.

• Nella configurazione del VPC condiviso, segui Configurare le istruzioni per il VPC condiviso.

L'account di servizio dell'ambiente non dispone di autorizzazioni sufficienti

Quando crei un ambiente Cloud Composer, specifichi un account di servizio che esegue i nodi del cluster GKE dell'ambiente. Se questo account di servizio non dispone di autorizzazioni sufficienti per l'operazione richiesta, Cloud Composer genera il seguente errore:

Errors in: [Web server]; Error messages:
  Creation of airflow web server version failed. This may be an intermittent
  issue of the App Engine service. You may retry the operation later.
{"ResourceType":"appengine.v1.version","ResourceErrorCode":"504","ResourceError
Message":"Your deployment has failed to become healthy in the allotted time
and therefore was rolled back. If you believe this was an error, try adjusting
the 'app_start_timeout_sec' setting in the 'readiness_check' section."}

Soluzione: assegna i ruoli sia al tuo account sia all'account di servizio del tuo ambiente come descritto in Controllo dell'accesso.

Avvisi relativi ai ruoli IAM mancanti negli account di servizio

Quando la creazione di un ambiente non riesce, Cloud Composer genera il seguente messaggio di avviso dopo che si è verificato un errore:The issue may be caused by missing IAM roles in the following Service Accounts ....

Questo messaggio di avviso evidenzia le possibili cause dell'errore. Cloud Composer controlla la presenza dei ruoli richiesti negli account di servizio del progetto e, se questi ruoli non sono presenti, genera questo messaggio di avviso.

Nota: questo controllo si applica solo al progetto in cui crei l'ambiente. In caso di configurazione VPC condiviso, Cloud Composer non esegue questo controllo nel progetto host. Per attivare questo controllo nel VPC condiviso, l'account agente di servizio Cloud Composer del progetto di servizio deve disporre dell'autorizzazione per visualizzare i ruoli nel progetto host. Per consentirlo, concedi il ruolo Visualizzatore ruoli (roles/iam.roleViewer) per l'account dell'agente di servizio di Cloud Composer dal progetto di servizio a livello di progetto host.

Soluzione: verifica che gli account di servizio menzionati nel messaggio di avviso abbiano i ruoli richiesti. Per saperne di più su ruoli e autorizzazioni in Cloud Composer, consulta Controllo dell'accesso.

In alcuni casi, puoi ignorare questo avviso. Cloud Composer non controlla le singole autorizzazioni assegnate ai ruoli. Ad esempio, se utilizzi ruoli IAM personalizzati, è possibile che l'account di servizio menzionato nel messaggio di avviso, dispone già di tutte le autorizzazioni richieste. In questo caso, puoi ignorare questo avviso.

La rete VPC selezionata per l'ambiente non esiste

Puoi specificare una rete VPC e una subnet per Cloud Composer dell'ambiente al momento della creazione. Se non specifichi una rete VPC, Il servizio Cloud Composer seleziona il VPC default e il default per la regione e la zona dell'ambiente.

Se la rete VPC e la subnet specificate non esistono, Cloud Composer restituisce il seguente errore:

Errors in: [GKE cluster]; Error messages:
        {"ResourceType":"gcp-types/container-v1:projects.locations.clusters","R
        esourceErrorCode":"400","ResourceErrorMessage":{"code":400,"message":"P
        roject \"<your composer project>\" has no network named \"non-existing-
        vpc\".","status":"INVALID_ARGUMENT","statusMessage":"Bad
        Request","requestPath":"https://container.googleapis.com/
        v1/projects/<your composer
        project>/locations/<zone>/clusters","httpMethod":"POST"}}

Soluzione:

• In Cloud Composer 2, puoi creare ambienti che utilizzano Private Service Connect anziché reti VPC.
• Prima di creare un ambiente, assicurati che la rete VPC e la subnet per il nuovo ambiente esistano.

Configurazione di rete errata

La creazione di ambienti Cloud Composer richiede una configurazione di rete o DNS corretta. Segui queste istruzioni per configurare la connettività con i servizi e le API di Google:

• Istruzioni per la connettività IP privato

• Istruzioni per la connettività dei Controlli di servizio VPC

Se configuri gli ambienti Cloud Composer in modalità VPC condivisa, segui anche le istruzioni per la VPC condivisa.

Un ambiente Cloud Composer utilizza una subnet per i nodi del cluster e gli intervalli IP per pod e servizi. Per garantire la comunicazione con questi e altri intervalli IP, segui queste istruzioni per configurare le regole del firewall:

• Istruzioni per il firewall con IP privato

• Istruzioni per il firewall per i Controlli di servizio VPC

Puoi anche controllare se sono presenti voci di log in determinate categorie di configurazione GCE Networking e Subnetwork in Cloud Logging per verificare se sono stati registrati errori durante la creazione dell'ambiente: Cloud Logging

Problemi di quota riscontrati durante la creazione di ambienti in reti su larga scala

Durante la creazione di ambienti Cloud Composer in reti su larga scala, potresti riscontrare i seguenti limiti di quota:

• È stato raggiunto il numero massimo di peering VPC per singola rete VPC.
• È stato raggiunto il numero massimo di intervalli IP di subnet primari e secondari.
• Il numero massimo di regole di forwarding nel gruppo di peering per interno È stato raggiunto il bilanciamento del carico TCP/UDP.

Soluzione:

• In Cloud Composer 2, puoi creare ambienti che usa Private Service Connect al posto di VPC reti.
• In Cloud Composer 1, applica l'approccio consigliato per Cloud Composer in reti su larga scala.

Criteri dell'organizzazione incompatibili

I seguenti criteri devono essere configurati correttamente in modo che Impossibile creare gli ambienti Cloud Composer.

Organization Policy	Cloud Composer 3	Cloud Composer 2	Cloud Composer 1
compute.disableSerialPortLogging	È consentito qualsiasi valore	Deve essere disattivato	Disattivato per le versioni precedenti alla 1.13.0; in caso contrario, qualsiasi valore
compute.requireOsLogin	È consentito qualsiasi valore	È consentito qualsiasi valore	Deve essere disattivato
compute.vmCanIpForward	È consentito qualsiasi valore	È consentito qualsiasi valore	Deve essere consentita (obbligatorio per i cluster GKE di proprietà di Cloud Composer) quando la modalità nativa di VPC (mediante IP alias) non è consentita configurato
compute.vmExternalIpAccess	È consentito qualsiasi valore	Deve essere consentito per gli ambienti IP pubblici	Deve essere consentito per gli ambienti IP pubblici
compute.restrictVpcPeering	Possono essere applicate	Impossibile applicare in modo forzato	Impossibile applicare in modo forzato
compute.disablePrivateServiceConnectCreationForConsumers	È consentito qualsiasi valore	Non è possibile non consentire SERVICE_PRODUCERS per gli ambienti IP privati e pubblici. Non influisce sugli ambienti esistenti, possono funzionare quando questo criterio viene in un bucket in cui è abilitato il controllo delle versioni.	Impossibile consentire SERVICE_PRODUCERS per gli ambienti IP privati. Non influisce sugli ambienti esistenti, che possono funzionare quando questo criterio è attivo.
compute.restrictPrivateServiceConnectProducer	Se attiva, aggiungi l'organizzazione google.com alla lista consentita	Se l'opzione è attiva, consenti l'organizzazione google.com nella lista consentita	È consentito qualsiasi valore

Per ulteriori informazioni, consulta la pagina Problemi noti e la sezione Limiti delle norme dell'organizzazione.

Limitare i servizi utilizzati all'interno dell'organizzazione o del progetto

Gli amministratori dell'organizzazione o del progetto possono limitare i servizi Google utilizzati nei propri progetti gcp.restrictServiceUsage un vincolo del criterio dell'organizzazione.

Quando utilizzi questo criterio dell'organizzazione, è importante consentire tutti i servizi richiesti da Cloud Composer.

400 Messaggi di errore: impossibile eseguire il deployment del server web Airflow.

Questo errore potrebbe essere causato da un mancato completamento della creazione del cluster GKE di un ambiente IP privato a causa di intervalli IP sovrapposti.

Soluzione: controlla i log per verificare la presenza di errori nel cluster del tuo ambiente e risolvi il problema in base al messaggio di errore GKE.

Cloud Build non riesce a creare le immagini dell'ambiente

Si applica a: Cloud Composer 2 e Cloud Composer 1.

Se l'account di servizio Cloud Build ([e-mail]) non include Ruolo Account di servizio Cloud Build (roles/cloudbuild.builds.builder) in tuo progetto, i tentativi di creazione o aggiornamento di un ambiente potrebbero non riuscire relativi alle autorizzazioni.

Ad esempio, potresti visualizzare il messaggio denied: Permission "artifactregistry.repositories.uploadArtifacts" denied seguito da ERROR: failed to push because we ran out of retries nei log di Cloud Build.

Per risolvere il problema, assicurati che l'account di servizio Cloud Build abbia il ruolo Account di servizio Cloud Build.

Passaggi successivi

• Creare ambienti
• Risoluzione dei problemi relativi agli upgrade e agli aggiornamenti degli ambienti
• Controllo dell'accesso