4xx エラーをトラブルシューティングする

Autopilot Standard

このページでは、Google Kubernetes Engine（GKE）の使用時に発生する可能性のある 400、401、403、404 エラーを解決する方法について説明します。

問題: 認証 / 認可エラー

GKE クラスタに接続すると、HTTP ステータスコード 401 (Unauthorized) の認証 / 認可エラーが発生することがあります。この問題は、ローカル環境から GKE クラスタで kubectl コマンドを実行しようとしたときに発生することがあります。

この問題の原因は、次のいずれかである可能性があります。

gke-gcloud-auth-plugin 認証プラグインが正しくインストールされていないか、構成されていません。
クラスタ API サーバーに接続し、kubectl コマンドを実行するための権限がありません。

原因を診断するには、次のセクションの手順を完了します。

curl を使用してクラスタに接続する
kubeconfig でプラグインを構成する

`curl` を使用してクラスタに接続する

認証 / 認可エラーの原因を診断するには、curl を使用してクラスタに接続します。curl を使用すると、kubectl コマンドラインツールと gke-gcloud-auth-plugin プラグインがバイパスされます。

環境変数を設定します。

APISERVER=https://$(gcloud container clusters describe CLUSTER_NAME \
    --location=COMPUTE_LOCATION --format "value(endpoint)")
TOKEN=$(gcloud auth print-access-token)

アクセストークンが有効であることを確認します。
```
curl https://oauth2.googleapis.com/tokeninfo?access_token=$TOKEN
```
有効なアクセストークンがある場合、このコマンドによって Google の OAuth 2.0 サーバーにリクエストが送信され、サーバーからトークンに関する情報が返されます。
API サーバーのコア API エンドポイントに接続してみます。
```
# Get cluster CA certificate
gcloud container clusters describe CLUSTER_NAME \
    --location=COMPUTE_LOCATION \
    --format "value(masterAuth.clusterCaCertificate)" | \
    base64 -d > /tmp/ca.crt

# Make API call with authentication and CA certificate
curl -s -X GET "${APISERVER}/api/v1/namespaces" \
    --header "Authorization: Bearer $TOKEN" \
    --cacert /tmp/ca.crt
```
curl コマンドが成功すると、Namespace のリストが表示されます。kubeconfig でプラグインを構成するセクションの手順に沿って、プラグインが原因かどうかを確認します。

curl コマンドが次のような出力で失敗した場合は、クラスタにアクセスするための適切な権限がありません。
```
{
"kind": "Status",
"apiVersion": "v1",
"metadata": {},
"status": "Failure",
"message": "Unauthorized",
"reason": "Unauthorized",
"code": 401
}
```
この問題を解決するには、管理者に問い合わせて、クラスタにアクセスするための適切な権限を取得してください。

kubeconfig でプラグインの使用を構成する

クラスタへの接続時に認証 / 認可エラーが発生した場合に、curl を使用してクラスタに接続することができたときは、gke-gcloud-auth-plugin プラグインを使用せずにクラスタにアクセスできるかどうかを確認します。

この問題を解決するには、クラスタに対する認証時に gke-gcloud-auth-plugin バイナリを無視するようにローカル環境を構成します。バージョン 1.25 以降を実行している Kubernetes クライアントでは、gke-gcloud-auth-plugin バイナリが必須であるため、kubectl コマンドラインツールにはバージョン 1.24 以前を使用する必要があります。

プラグインを使用せずにクラスタにアクセスする手順は次のとおりです。

curl を使用して、バージョン 1.24 以前の kubectl コマンドラインツールをインストールします。次の例では、バージョン 1.24 のツールをインストールします。
```
curl -LO https://dl.k8s.io/release/v1.24.0/bin/linux/amd64/kubectl
```
テキストエディタでシェル起動スクリプトファイルを開きます。たとえば、Bash シェルの .bashrc を開きます。
```
vi ~/.bashrc
```
macOS を使用している場合は、これらの手順で .bashrc ではなく ~/.bash_profile を使用します。
起動スクリプトファイルに次の行を追加して保存します。
```
export USE_GKE_GCLOUD_AUTH_PLUGIN=False
```
起動スクリプトを実行します。
```
source ~/.bashrc
```
クラスタの認証情報を取得します。これにより、.kube/config ファイルが設定されます。
```
gcloud container clusters get-credentials CLUSTER_NAME \
    --location=COMPUTE_LOCATION
```
次のように置き換えます。
- CLUSTER_NAME: クラスタの名前。
- COMPUTE_LOCATION: Compute Engine のロケーション。
kubectl コマンドを実行します。次に例を示します。
```
kubectl cluster-info
```
これらのコマンドを実行した後に 401 エラーまたは同様の認証エラーが発生した場合は、適切な権限があることを確認し、エラーを返した手順を再実行します。

エラー 400: ノードプールの再作成が必要

コントロールプレーンとノードを再作成するアクションを実行しようとすると、次のエラーが発生することがあります。

ERROR: (gcloud.container.clusters.update) ResponseError: code=400, message=Node pool "test-pool-1" requires recreation.

たとえば、進行中の認証情報のローテーションを完了したときに、このエラーが発生することがあります。

バックエンドでは、ノードプールが再作成対象としてマークされていますが、実際の再作成オペレーションの開始には時間がかかることがあります。これが原因で、GKE がクラスタ内の 1 つ以上のノードプールをまだ再作成していない場合、オペレーションは失敗します。

この問題を解決するには、次のいずれかの解決策を選択します。

再作成が完了するまで待ちます。既存のメンテナンスの時間枠や除外などの要因に応じて、完了までに数時間、数日、あるいは数週間かかることがあります。
コントロールプレーンと同じバージョンへのアップグレードを開始して、影響を受けるノードプールの再作成を手動で開始します。

再作成を開始するには、次のコマンドを実行します。
```
gcloud container clusters upgrade CLUSTER_NAME \
    --node-pool=POOL_NAME
```
アップグレードが完了したら、操作をやり直してください。

エラー 403: 十分な権限がない

gcloud container clusters get-credentials を使用して GKE クラスタに接続しようとしたときに、アカウントに Kubernetes API サーバーにアクセスする権限がないと、次のエラーが発生します。

ERROR: (gcloud.container.clusters.get-credentials) ResponseError: code=403, message=Required "container.clusters.get" permission(s) for "projects/<your-project>/locations/<region>/clusters/<your-cluster>".

この問題を解決するには、次の操作を行います。

アクセスの問題が発生しているアカウントを特定します。
```
gcloud auth list
```
Kubernetes API サーバーの認証の手順に沿って、アカウントに必要なアクセス権を付与します。

エラー 403: リトライバジェットが残っていない

GKE クラスタを作成しようとすると、次のエラーが発生することがあります。

Error: googleapi: Error 403: Retry budget exhausted: Google Compute Engine:
Required permission 'PERMISSION_NAME' for 'RESOURCE_NAME'.

このエラーメッセージでは、次の変数が適用されます。

PERMISSION_NAME: 権限の名前（compute.regions.get など）。
RESOURCE_NAME: アクセスしようとした Google Cloud リソースのパス（Compute Engine リージョンなど）。

このエラーは、クラスタに関連付けられている IAM サービスアカウントに、クラスタの作成に最低限必要な権限がない場合に発生します。

この問題を解決するには、次の操作を行います。

GKE クラスタを実行するために必要なすべての権限を持つ IAM サービスアカウントを作成または変更します。手順については、最小権限の IAM サービスアカウントを使用するをご覧ください。
クラスタ作成コマンドで --service-account フラグを使用して、更新した IAM サービスアカウントを指定します。手順については、Autopilot クラスタを作成するをご覧ください。

または、--service-account フラグを省略して、プロジェクトの Compute Engine のデフォルトのサービスアカウントを GKE で使用するようにします。このアカウントには、必要な権限がデフォルトで付与されています。

エラー 404: リソースが見つからない

gcloud container コマンドの呼び出し時にエラー 404（リソースが見つからない）が発生した場合は、Google Cloud CLI に対して再認証することで問題を解決します。

gcloud auth login

エラー 400/403: アカウントに編集権限がない

アカウントに対する編集権限がないというエラー（エラー 400 または 403）は、次のいずれかが手動で削除または編集されたことを示します。

Compute Engine または Kubernetes Engine API を有効にすると、Google Cloud は次のサービスアカウントとエージェントを作成します。

プロジェクトに対する編集権限を持つ Compute Engine のデフォルトのサービスアカウント。
プロジェクトに対する編集権限を持つ Google API サービスエージェント。
プロジェクトに対する Kubernetes Engine サービスエージェントロールを持つ Google Kubernetes Engine サービスアカウント。

いずれかの時点で、これらの権限の編集、プロジェクトのロールバインディングの削除、サービスアカウントの完全削除、API の無効化が行われると、クラスタの作成とすべての管理機能が失敗します。

プロジェクトに対する Kubernetes Engine サービスエージェントロールが Google Kubernetes Engine サービスアカウントに割り当てられているかどうかを確認するには、次の手順を完了します。

Google Kubernetes Engine サービスアカウントの名前を確認します。すべてのサービスアカウントの形式は次のとおりです。
```
service-PROJECT_NUMBER@container-engine-robot.iam.gserviceaccount.com
```
PROJECT_NUMBER は、使用するプロジェクト番号に置き換えます。
プロジェクトに対する Kubernetes Engine サービスエージェントロールが Google Kubernetes Engine サービスアカウントに割り当てられていないことを確認します。
```
gcloud projects get-iam-policy PROJECT_ID
```
PROJECT_ID は、実際のプロジェクト ID に置き換えます。

この問題を解決するには、Google Kubernetes Engine サービスアカウントから Kubernetes Engine サービスエージェントロールが削除されている場合は、このロールを追加し直します。それ以外の場合は、次の手順に沿って Kubernetes Engine API を再度有効にします。これにより、サービスアカウントと権限が復元されます。

コンソール

Google Cloud コンソールの [API とサービス] ページに移動します。

[API とサービス] に移動
プロジェクトを選択します。
[API とサービスを有効化] をクリックします。
Kubernetes を検索して、検索結果から API を選択します。
[有効にする] をクリックします。API をすでに有効にしている場合は、まずそれを無効にしてから再度有効にする必要があります。API と関連サービスが有効になるには、数分かかることがあります。

gcloud

gcloud CLI で次のコマンドを実行します。

PROJECT_NUMBER=$(gcloud projects describe "PROJECT_ID"
    --format 'get(projectNumber)')
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member "serviceAccount:service-${PROJECT_NUMBER?}@container-engine-robot.iam.gserviceaccount.com" \
    --role roles/container.serviceAgent

次のステップ

さらにサポートが必要な場合は、Cloud カスタマーケアにお問い合わせください。