Como resolver problemas da criação de ambientes

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Nesta página, você encontrará informações para solucionar problemas que podem ser encontrados durante a criação de ambientes do Cloud Composer.

Para informações sobre solução de problemas relacionadas à atualização e upgrade de ambientes, ver Como solucionar problemas de atualizações e upgrades do ambiente

Quando os ambientes do Cloud Composer são criados, a maioria problemas acontecem pelos seguintes motivos:

  • Problemas de permissão da conta de serviço.

  • Informações incorretas de firewall, DNS ou roteamento.

  • Problemas relacionados à rede. Por exemplo, configuração de VPC, endereço IP inválidos ou intervalos de IP de rede muito restritos.

  • Problemas relacionados a cotas.

  • Políticas da organização incompatíveis.

Permissões insuficientes para criar um ambiente

Se o Cloud Composer não criar um ambiente porque sua conta não tem permissões suficientes, as seguintes mensagens de erro serão exibidas:

ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: The caller
does not have permission

ou

ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: User not
authorized to act as service account <service-account-name>.
The user must be granted iam.serviceAccounts.actAs permission, included in
Owner, Editor, Service Account User role. See https://cloud.google.com/iam/docs
/understanding-service-accounts for additional details.

Solução: atribua papéis à sua conta e à conta de serviço do ambiente, conforme descrito em Controle de acesso.

  • No Cloud Composer 2, verifique se o Agente de serviço do Cloud Composer conta de serviço (service-PROJECT_NUMBER@cloudcomposer-accounts.iam.gserviceaccount.com) tem o papel Extensão do agente de serviço da API Cloud Composer v2 atribuído.

  • Verifique se o agente de serviço das APIs do Google (PROJECT_NUMBER@cloudservices.gserviceaccount.com) tem o papel de editor atribuído.

  • Na configuração da VPC compartilhada, siga as instruções para configurar a VPC compartilhada.

A conta de serviço do ambiente não tem permissões suficientes

Ao criar um ambiente do Cloud Composer, você especifica um serviço conta que executa os nós do cluster do GKE do ambiente. Se essa conta de serviço não tiver permissões suficientes para a operação solicitada, o Cloud Composer vai gerar o seguinte erro:

Errors in: [Web server]; Error messages:
  Creation of airflow web server version failed. This may be an intermittent
  issue of the App Engine service. You may retry the operation later.
{"ResourceType":"appengine.v1.version","ResourceErrorCode":"504","ResourceError
Message":"Your deployment has failed to become healthy in the allotted time
and therefore was rolled back. If you believe this was an error, try adjusting
the 'app_start_timeout_sec' setting in the 'readiness_check' section."}

Solução: atribuir papéis à sua conta e à conta de serviço do ambiente, conforme descrito em Controle de acesso.

Avisos sobre papéis do IAM ausentes em contas de serviço

Quando a criação de um ambiente falha, o Cloud Composer gera a seguinte mensagem de aviso após um erro: The issue may be caused by missing IAM roles in the following Service Accounts ....

Essa mensagem de aviso destaca as possíveis causas do erro. O Cloud Composer verifica os papéis necessários nas contas de serviço do seu projeto. Se eles não estiverem presentes, essa mensagem de aviso será gerada.

Solução: verifique se as contas de serviço mencionadas na mensagem de aviso têm os papéis necessários. Para mais informações sobre papéis e permissões em Cloud Composer, consulte Controle de acesso.

Em alguns casos, você pode ignorar esse aviso. O Cloud Composer não verifica as permissões individuais atribuídas aos papéis. Por exemplo, se você usar papéis personalizados do IAM, é possível que a conta de serviço mencionado na mensagem de aviso já tem todas as permissões necessárias. Neste caso, ignore este aviso.

Políticas organizacionais incompatíveis

As políticas a seguir precisam ser configuradas corretamente para que os ambientes do Cloud Composer possam ser criados.

Política da organização Cloud Composer 3 Cloud Composer 2 Cloud Composer 1
compute.disableSerialPortLogging É permitido qualquer valor Precisa ser desativado Desativado para versões anteriores à 1.13.0. qualquer valor
compute.requireOsLogin É permitido qualquer valor É permitido qualquer valor Precisa ser desativado
compute.vmCanIpForward É permitido qualquer valor É permitido qualquer valor É necessário permitir (obrigatório para clusters do GKE do Cloud Composer) quando o modo nativo da VPC (usando o IP do alias) não está configurado.
compute.vmExternalIpAccess É permitido qualquer valor Precisa ser permitido em ambientes de IP público Precisa ser permitido em ambientes de IP público
compute.restrictVpcPeering Pode ser aplicado Não é possível aplicar Não pode ser aplicado
compute.disablePrivateServiceConnectCreationForConsumers É permitido qualquer valor Não é possível desativar o SERVICE_PRODUCERS para ambientes de IP particular e público. Não afeta ambientes atuais, eles podem operar quando esta política for ativado. Não é possível desativar o SERVICE_PRODUCERS para ambientes de IP particular. Não afeta ambientes atuais, eles podem operar quando esta política for ativado.
compute.restrictPrivateServiceConnectProducer Quando ativa, autorizar a organização google.com Quando ativa, autorizar a organização google.com É permitido qualquer valor

Para mais informações, consulte a página Problemas conhecidos e Restrições da política da organização.

Restringir serviços usados na organização ou no projeto

Os administradores da organização ou do projeto podem restringir o que os Serviços do Google usadas em seus projetos usando o gcp.restrictServiceUsage por uma restrição de política da organização.

Ao usar essa política da organização, é importante permitir todos os serviços necessários pelo Cloud Composer.

A seguir