VM Manager のトラブルシューティング

このドキュメントでは、VM Manager のトラブルシューティングについて説明します。

VM Manager の詳細については、VM Manager をご覧ください。

始める前に

まだ設定していない場合は、認証を設定します。認証とは、Google Cloud サービスと API にアクセスするために ID を確認するプロセスです。ローカル開発環境からコードまたはサンプルを実行するには、次のように Compute Engine に対する認証を行います。

このページのサンプルをどのように使うかに応じて、タブを選択してください。
コンソール

Google Cloud コンソールを使用して Google Cloud サービスと API にアクセスする場合、認証を設定する必要はありません。
gcloud
1. Google Cloud CLI をインストールし、次のコマンドを実行して初期化します。
```
gcloud init
```
  注: すでに gcloud CLI をインストールしている場合は、gcloud components update を実行して、最新バージョンがインストールされていることを確認してください。
2. デフォルトのリージョンとゾーンを設定します。
REST

このページの REST API サンプルをローカル開発環境で使用するには、gcloud CLI に指定した認証情報を使用します。

概要

問題をトラブルシューティングするには、まず VM Manager が適切に設定されていることを確認します。設定が正しいにもかかわらず問題が継続している場合は、ログをご確認ください。ログを確認すると、VM や VM Manager ワークフローの問題（コマンドやスクリプトのエラーなど）を特定し、隔離して解決できます。

ログからは次の情報を収集できます。

VM によってログに記録されたエラーメッセージまたは警告。これは、VM レベルのエラーや、VM で実行されている他のサービスのエラーを特定する際に最適です。これらのログを確認方法については、Cloud Logging の検査をご覧ください。
OS Config エージェントがログに記録したデバッグ情報。これは、VM Manager によって実行される処理の問題を特定する際に役立ちます。OS Config エージェントのデバッグログを確認する方法については、デバッグログの調査をご覧ください。

問題またはエラーを特定した後、一般的なエラーのセクションで、可能性のある修正方法を確認することもできます。

Cloud Logging の検査

Google Cloud コンソールで機能ごとのクイックリンクを使用すると、特定の VM のログを確認できます。

OS パッチ

Google Cloud Console で、[OS Patch Management] ページの [パッチジョブ] タブに移動します。
[パッチジョブ] に移動
デバッグするパッチジョブの名前をクリックします。
[更新された VM インスタンス] までスクロールします。
特定の VM について、[ログ] の下の [表示] をクリックします。

OS 構成

この手順は OS Configuration Management（プレビュー版）でサポートされています。 OS Configuration Management（ベータ版）の場合は、次のセクションで説明するデバッグログオプションを使用してください。

Google Cloud Console で、[OS 構成管理] ページの [VM インスタンス] タブに移動します。
[VM インスタンス] に移動
デバッグする VM の名前をクリックします。
[ポリシー] までスクロールします。
[ログ] で、[表示] をクリックします。

デバッグログを検査する

OS Config エージェントのデバッグを有効にしてデバッグログを表示すると、VM Manager 機能の問題を特定できます。

OS Config エージェントのデバッグロギングを有効にする

デバッグロギングを有効にするには、VM インスタンスまたはプロジェクトでメタデータ osconfig-log-level=debug を設定します。

VM でデバッグロギングを有効にするには、次の手順を行います。

コンソール

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
メタデータ値を設定する VM の名前をクリックします。
[インスタンスの詳細] ページで、[編集] をクリックして設定を編集します。
[カスタムメタデータ] の下に、次のメタデータエントリを追加します。

キー: osconfig-log-level
値: debug
[保存] をクリックして、VM に変更を適用します。

gcloud

--metadata=osconfig-log-level=debug フラグを指定して instances add-metadata コマンドを使用します。

gcloud compute instances add-metadata VM_NAME \
    --metadata=osconfig-log-level=debug

VM_NAME は実際の VM 名に置き換えます。

REST

インスタンスのメタデータを設定する方法については、インスタンスメタデータの設定で API の手順をご覧ください。

メタデータプロパティの一部として、次の Key-Value ペアが必要です。

キー: osconfig-log-level
値: debug

デバッグログを表示する

デバッグロギングが有効になっている場合、OS Config エージェントは Cloud Logging とシリアルポートコンソールにログエントリを書き込みます。

VM でデバッグロギングを有効にしてから、OS Config エージェントが Cloud Logging にデバッグメッセージを書き込むまでに 10 分ほどかかります。この待機時間を短縮するには、エージェントまたは VM を再起動します。Cloud Logging の詳細については、Cloud Logging のログの表示をご覧ください。

デバッグログを表示するには、次のオプションを使用できます。

Cloud Logging: Google Cloud コンソールまたは Google Cloud CLI を使用する
シリアルポートコンソール

コンソール

Google Cloud コンソールの [ロギング] > [ログエクスプローラ]（ログエクスプローラ）ページに移動します。

[ログエクスプローラ] に移動
ページの上部で既存の Google Cloud プロジェクトを選択するか、新しいプロジェクトを作成します。
[リソース] プルダウンリストで、[VM インスタンス] を選択します。使用可能な VM（instance_id）のリストが表示されます。
表示する VM をクリックします。
[追加] をクリックします。
[ログ名] プルダウンリストで [OSConfigAgent] を選択します。
[追加] をクリックします。

クエリは次のようになります。

resource.type="gce_instance" resource.labels.instance_id="136126869923081757"
logName="projects/my-vm-manager-project/logs/OSConfigAgent"

[実行] をクリックします。

gcloud

gcloud logging read コマンドを実行します。

 gcloud logging read "resource.type=gce_instance AND logName=projects/PROJECT_ID/logs/OSConfigAgent"

PROJECT_ID は、実際のプロジェクト ID に置き換えます。

シリアルポート

シリアルポートコンソールからのデバッグログ情報を表示するには、シリアルポート出力の表示をご覧ください。

一般的なエラー

認証の問題

VM Manager を使用するには、次のものが必要です。

接続されたサービスアカウント。VM Manager は、このサービスアカウントを使用して API サービスに対するリクエストに署名します。
接続されたサービスアカウントに対する、Logging API にログを書き込む roles/logging.logWriter ロール。
Google Cloud OS Config サービスエージェント。VM Manager は、パッチジョブの開始時にこのサービスエージェントを作成し、Cloud OS Config サービスエージェントのロールを付与します。OS ポリシーの作成には、このサービスエージェントを構成する必要はありません。

VM Manager を使用していて、サービスアカウントが接続されていない場合、または Google Cloud OS Config サービスエージェントがない場合は、パッチジョブの操作中に次のエラーが表示されることがあります。

Service account permissions are missing. Verify that the service account has the correct permissions and try again.

OSConfigAgent Error main.go:88: error getting token from metadata: metadata: GCE metadata "instance/service-accounts/default/identity?audience=osconfig.googleapis.com&format=full" not defined

message: "Error running OPERATION_NAME: error calling OPERATION_NAME: code: "PermissionDenied", message: "The caller does not have permission", details: []"

認証に関する問題により、VM インスタンスがパッチダッシュボードに表示されないこともあります。

これらの問題を解決するには、次のいずれか、またはすべてをお試しください。

すべてのアカウントに、接続されたサービスアカウントが存在することを確認します。
Google Cloud OS Config サービスエージェントに Cloud OS Config サービスエージェントのロール（roles/osconfig.serviceAgent）が設定されていることを確認します。
```
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-osconfig.iam.gserviceaccount.com' \
  --role='roles/osconfig.serviceAgent'
```
次のように置き換えます。
- PROJECT_ID: プロジェクト ID
- PROJECT_NUMBER: プロジェクトの番号

パッチ更新用のパッケージの除外時のエラーについて

パッチジョブでパッケージを除外するときにパッケージの名前にワイルドカードまたは特殊文字を指定した場合、OS Patch Management はリストを無視してすべてのパッケージを更新することがあります。

この問題を解決するには、OS Config エージェントを更新してバージョン 20220829.00 にしてから、スラッシュ（/）でパッケージ名をラップします。

次の例では、OS Patch Management は、パッケージ名に接頭辞 google- が付いた yum パッケージを除外しています。

      gcloud compute os-config patch-jobs execute --instance-filter-all

       --yum-excludes=/google-.*/

VM Manager のトラブルシューティング

始める前に

コンソール

gcloud

REST

概要

Cloud Logging の検査

OS パッチ

OS 構成

デバッグログを検査する

OS Config エージェントのデバッグ ロギングを有効にする

コンソール

gcloud

REST

デバッグログを表示する

コンソール

gcloud

シリアルポート

一般的なエラー

認証の問題

パッチ更新用のパッケージの除外時のエラーについて

次のステップ

OS Config エージェントのデバッグロギングを有効にする