Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3
Diese Seite enthält Informationen zur Fehlerbehebung bei Problemen, die beim Erstellen von Cloud Composer-Umgebungen auftreten können.
Informationen zur Fehlerbehebung im Zusammenhang mit dem Aktualisieren von Umgebungen finden Sie unter Fehlerbehebung bei Umgebungsupdates und ‐upgrades.
Beim Erstellen von Cloud Composer-Umgebungen treten die meisten Probleme aus folgenden Gründen auf:
Probleme mit Dienstkontoberechtigungen.
Falsche Firewall-, DNS- oder Routinginformationen
Netzwerkbezogene Probleme. z. B. ungültige VPC-Konfiguration, IP-Adresskonflikte oder zu schmale Netzwerk-IP-Bereiche.
Kontingentbezogene Probleme.
Inkompatible Organisationsrichtlinien.
Unzureichende Berechtigungen zum Erstellen einer Umgebung
Wenn Cloud Composer keine Umgebung erstellen kann, da Ihr Konto unzureichende Berechtigungen hat, werden die folgenden Fehlermeldungen ausgegeben:
ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: The caller
does not have permission
oder
ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: User not
authorized to act as service account <service-account-name>.
The user must be granted iam.serviceAccounts.actAs permission, included in
Owner, Editor, Service Account User role. See https://cloud.google.com/iam/docs
/understanding-service-accounts for additional details.
Lösung: Weisen Sie Ihrem Konto und dem Dienstkonto Ihrer Umgebung Rollen zu, wie unter Zugriffssteuerung beschrieben.
Achten Sie in Cloud Composer 2 darauf, dass dem Dienstkonto Cloud Composer-Dienst-Agent (
service-PROJECT_NUMBER@cloudcomposer-accounts.iam.gserviceaccount.com) die Rolle Dienst-Agent-Erweiterung für Cloud Composer v2 API zugewiesen ist.Achten Sie darauf, dass dem Google APIs-Dienst-Agent (
PROJECT_NUMBER@cloudservices.gserviceaccount.com) die Rolle Bearbeiter zugewiesen ist.Folgen Sie in der Konfiguration der freigegebene VPC der Anleitung zum Konfigurieren einer freigegebenen VPC.
Das Dienstkonto der Umgebung hat nicht die erforderlichen Berechtigungen
Beim Erstellen einer Cloud Composer-Umgebung geben Sie ein Dienstkonto an, das die GKE-Clusterknoten der Umgebung ausführt. Wenn dieses Dienstkonto nicht die erforderlichen Berechtigungen für den angeforderten Vorgang hat, gibt Cloud Composer den folgenden Fehler aus:
Errors in: [Web server]; Error messages:
Creation of airflow web server version failed. This may be an intermittent
issue of the App Engine service. You may retry the operation later.
{"ResourceType":"appengine.v1.version","ResourceErrorCode":"504","ResourceError
Message":"Your deployment has failed to become healthy in the allotted time
and therefore was rolled back. If you believe this was an error, try adjusting
the 'app_start_timeout_sec' setting in the 'readiness_check' section."}
Lösung: Weisen Sie Ihrem Konto und dem Dienstkonto Ihrer Umgebung Rollen zu, wie unter Zugriffssteuerung beschrieben.
Warnungen zu fehlenden IAM-Rollen in Dienstkonten
Wenn das Erstellen einer Umgebung fehlschlägt, gibt Cloud Composer nach einem Fehler die folgende Warnmeldung aus: The issue may be caused by missing IAM roles in the following Service Accounts
....
In dieser Warnmeldung werden mögliche Fehlerursachen hervorgehoben. Cloud Composer prüft die erforderlichen Rollen für die Dienstkonten in Ihrem Projekt. Wenn diese Rollen nicht vorhanden sind, wird diese Warnmeldung generiert.
Lösung: Prüfen Sie, ob die in der Warnmeldung genannten Dienstkonten die erforderlichen Rollen haben. Weitere Informationen zu Rollen und Berechtigungen in Cloud Composer finden Sie unter Zugriffssteuerung.
In einigen Fällen können Sie diese Warnung ignorieren. Cloud Composer überprüft keine einzelnen Berechtigungen, die Rollen zugewiesen sind. Wenn Sie beispielsweise benutzerdefinierte IAM-Rollen verwenden, hat das in der Warnmeldung erwähnte Dienstkonto möglicherweise bereits alle erforderlichen Berechtigungen. In diesem Fall können Sie diese Warnung ignorieren.
Inkompatible Organisationsrichtlinien
Die folgenden Richtlinien müssen entsprechend konfiguriert werden, damit Cloud Composer-Umgebungen erfolgreich erstellt werden können.
| Unternehmensrichtlinien | Cloud Composer 3 | Cloud Composer 2 | Cloud Composer 1 |
|---|---|---|---|
compute.disableSerialPortLogging |
(Jeder Wert ist zulässig) | Muss deaktiviert sein | Für Versionen vor 1.13.0 deaktiviert. Andernfalls jeder beliebige Wert. |
compute.requireOsLogin |
(Jeder Wert ist zulässig) | (Jeder Wert ist zulässig) | Muss deaktiviert sein |
compute.vmCanIpForward |
(Jeder Wert ist zulässig) | (Jeder Wert ist zulässig) | Muss zulässig sein (erforderlich für GKE-Cluster, die Cloud Composer gehören), wenn der VPC-native Modus (mit Alias-IP-Adresse) nicht konfiguriert ist |
compute.vmExternalIpAccess |
(Jeder Wert ist zulässig) | Muss für öffentliche IP-Umgebungen zugelassen werden | Muss für öffentliche IP-Umgebungen zugelassen werden |
compute.restrictVpcPeering |
Kann erzwungen werden | Kann nicht erzwungen werden | Kann nicht erzwungen werden |
compute.disablePrivateServiceConnectCreationForConsumers |
(Jeder Wert ist zulässig) | (Jeder Wert ist zulässig) | SERVICE_PRODUCERS kann nicht abgelehnt werden, wenn Private Service Connect verwendet wird |
compute.restrictPrivateServiceConnectProducer |
Wenn aktiv, setzen Sie die Organisation „google.com“ auf die Zulassungsliste |
Wenn aktiv, setzen Sie die Organisation „google.com“ auf die Zulassungsliste |
(Jeder Wert ist zulässig) |
Weitere Informationen finden Sie auf der Seite Bekannte Probleme und unter Einschränkungen für Organisationsrichtlinien.
Innerhalb einer Organisation oder eines Projekts verwendete Dienste einschränken
Organisations- oder Projektadministratoren können mit der Einschränkung der Organisationsrichtlinie gcp.restrictServiceUsage einschränken, welche Google-Dienste in ihren Projekten verwendet werden können.
Wenn Sie diese Organisationsrichtlinie verwenden, ist es wichtig, alle für Cloud Composer erforderlichen Dienste zuzulassen.