Probleme mit dem verwalteten Cloud Service Mesh beheben

In diesem Dokument werden häufig auftretende Cloud Service Mesh-Probleme und deren Behebung erläutert. Beispiel: Ein Pod wird mit istio.istio-system eingefügt und das Installationstool generiert Fehler wie HTTP-400-Statuscodes und Fehler bei der Clustermitgliedschaft.

Weitere Informationen zur Fehlerbehebung bei Cloud Service Mesh finden Sie unter Support.

Version(en) als fehlerhaft gemeldet

Möglicherweise wird ein allgemeiner Revision(s) reporting unhealthy-Fehler angezeigt, wenn der Dienst-Agent für das verwaltete Cloud Service Mesh nicht die erforderliche IAM-Rolle (Identity and Access Management) hat. Im Allgemeinen geschieht dies, wenn die Rolle widerrufen wird. durch Terraform-, Puppet- oder CI/CD-Neukonfiguration.

Die Schritte zur Fehlerbehebung bei diesem Fehler hängen davon ab, ob Sie die Google Cloud Console oder die Google Cloud CLI verwenden.

Google Cloud Console

  1. Gehen Sie in der Google Cloud Console zu IAM und Verwaltung > IAM.

  2. Wählen Sie Von Google bereitgestellte Rollenzuweisungen einschließen aus.

  3. Prüfen Sie die Hauptkontoliste.

    Wenn Sie den Dienst-Agent mit der erforderlichen IAM-Rolle in ist sie richtig konfiguriert.

    Wenn der Dienst-Agent und die erforderliche Rolle nicht in der Liste enthalten sind, fahren Sie mit dem nächsten Schritt fort.

  4. Weisen Sie dem Cloud Service Mesh-Dienst-Agent im Projekt die Rolle „Anthos Service Mesh-Dienst-Agent“ (roles/anthosservicemesh.serviceAgent) zu. Anweisungen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten

Google Cloud CLI

  1. Führen Sie in der Google Cloud CLI den folgenden Befehl aus, um zu prüfen, ob die erforderliche IAM-Rolle gewährt wurde:

    gcloud projects get-iam-policy PROJECT_ID  \
--flatten="bindings[].members" \
--filter="bindings.members:serviceAccount:service-PROJECT_NUMBER@gcp-sa-servicemesh.iam.gserviceaccount.com AND bindings.role:roles/anthosservicemesh.serviceAgent" \
--format='table(bindings.role)'

  2. Sehen Sie sich die ROLE-Liste an.

    Wenn in der Liste Rollen angezeigt werden, ist sie richtig konfiguriert.

    Wenn Sie in der Liste keine Rollen sehen, war die erforderliche Rolle widerrufen.

  3. Führen Sie den folgenden Befehl aus, um dem Dienst-Agent die erforderliche Rolle zuzuweisen: Befehl:

     gcloud projects add-iam-policy-binding PROJECT_ID \
 --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-servicemesh.iam.gserviceaccount.com" \
 --role="roles/anthosservicemesh.serviceAgent"

Das Installationstool generiert HTTP-400-Fehler

Das Installationstool generiert möglicherweise HTTP-400-Fehler wie diese:

HealthCheckContainerError, message: Cloud Run error: Container failed to start.
Failed to start and then listen on the port defined by the PORT environment
variable. Logs for this revision might contain more information.

Dieser Fehler kann auftreten, wenn Sie Workload Identity nicht in Ihrem Kubernetes-Cluster aktiviert haben. Zum Aktivieren können Sie den folgenden Befehl verwenden:

export CLUSTER_NAME=...
export PROJECT_ID=...
export LOCATION=...
gcloud container clusters update $CLUSTER_NAME --zone $LOCATION \
    --workload-pool=$PROJECT_ID.svc.id.goog

Status der verwalteten Datenebene

Der folgende Befehl zeigt den Status der verwalteten Datenebene an:

gcloud container fleet mesh describe --project PROJECT_ID

In der folgenden Tabelle sind alle möglichen Status der verwalteten Datenebene aufgeführt:

Status Code Beschreibung
ACTIVE OK Die verwaltete Datenebene wird normal ausgeführt.
DISABLED DISABLED Die verwaltete Datenebene hat diesen Status, wenn kein Namespace oder keine Überarbeitung für deren Verwendung konfiguriert ist. Folgen Sie der Anleitung unter Verwaltetes Cloud Service Mesh über die Fleet API aktivieren oder Verwaltete Datenebene nach der Bereitstellung des verwalteten Cloud Service Mesh mit asmcli aktivieren. Beachten Sie, dass die Statusberichte zu verwalteten Datenebenen nur verfügbar sind, wenn Sie die verwaltete Datenebene durch Annotierung eines Namespace oder einer Überarbeitung aktiviert haben. Das Annotieren einzelner Pods führt dazu, dass diese Pods verwaltet werden, aber mit dem Featurestatus DISABLED, wenn keine Namespaces oder Überarbeitungen annotiert sind.
FAILED_PRECONDITION MANAGED_CONTROL_PLANE_REQUIRED Die verwaltete Datenebene erfordert eine aktive verwaltete Cloud Service Mesh-Steuerung Flugzeug.
PROVISIONING PROVISIONING Die verwaltete Datenebene wird bereitgestellt. Wenn der Status länger als zehn Minuten andauert, ist wahrscheinlich ein Fehler aufgetreten und Sie sollten den Support kontaktieren.
STALLED INTERNAL_ERROR Die verwaltete Datenebene ist aufgrund eines internen Fehlerzustands für den Betrieb blockiert. Sollte das Problem weiterhin auftreten, wenden Sie sich bitte an den Support.
NEEDS_ATTENTION UPGRADE_FAILURES Die verwaltete Datenebene erfordert manuelle Eingriffe, um den Dienst wieder in den normalen Status zu versetzen. Weitere Informationen und Hinweise zur Behebung dieses Problems finden Sie unter dem NEEDS_ATTENTION-Status.

NEEDS_ATTENTION-Status

Wenn der Befehl gcloud container fleet mesh describe anzeigt, dass der Status der verwalteten Datenebene den Status NEEDS_ATTENTION und der Code UPGRADE_FAILURES hat, konnte die verwaltete Datenebene bestimmte Arbeitslasten nicht aktualisieren. finden Sie weitere Informationen. Diese Arbeitslasten werden vom weiteren Dienst der verwalteten Datenebene zur weiteren Analyse mit dataplane-upgrade: failed gekennzeichnet. Die Proxys müssen manuell neu gestartet werden, um ein Upgrade durchzuführen. Führen Sie den folgenden Befehl aus, um die Liste der Pods abzurufen, die Ihre Aufmerksamkeit erfordern:

kubectl get pods --all-namespaces -l dataplane-upgrade=failed

Fehler bei der Clustermitgliedschaft (kein Identitätsanbieter angegeben)

Das Installationstool kann mit folgenden Fehlern bei der Clustermitgliedschaft fehlschlagen:

asmcli: [ERROR]: Cluster has memberships.hub.gke.io CRD but no identity
provider specified. Please ensure that an identity provider is available for the
registered cluster.

Der Fehler kann auftreten, wenn Sie vor der Registrierung des Clusters GKE-Workload Identity nicht aktiviert haben. Sie können den Cluster in der Befehlszeile mit dem gcloud container fleet memberships register --enable-workload-identity-Befehl noch einmal registrieren.

Status der verwalteten Steuerungsebene prüfen

Führen Sie gcloud container fleet mesh describe --project FLEET_PROJECT_ID aus, um den Status der verwalteten Steuerebene zu prüfen.

In der Antwort Das Feld „membershipStates[].servicemesh.controlPlaneManagement.details“ könnte um den spezifischen Fehler zu erklären.

Wenn Sie weitere Details benötigen, prüfen Sie die benutzerdefinierte Ressource ControlPlaneRevision im Cluster (wird bei Bereitstellung der verwalteten Steuerungsebene aktualisiert) oder schlägt die Bereitstellung fehl.

Wenn Sie den Status der Ressource prüfen möchten, ersetzen Sie NAME durch den Wert des jeweiligen Kanals: asm-managed, asm-managed-stable oder asm-managed-rapid.

kubectl describe controlplanerevision NAME -n istio-system

Die Ausgabe sieht etwa so aus:

    Name:         asm-managed

    …

    Status:
      Conditions:
        Last Transition Time:  2021-08-05T18:56:32Z
        Message:               The provisioning process has completed successfully
        Reason:                Provisioned
        Status:                True
        Type:                  Reconciled
        Last Transition Time:  2021-08-05T18:56:32Z
        Message:               Provisioning has finished
        Reason:                ProvisioningFinished
        Status:                True
        Type:                  ProvisioningFinished
        Last Transition Time:  2021-08-05T18:56:32Z
        Message:               Provisioning has not stalled
        Reason:                NotStalled
        Status:                False
        Type:                  Stalled

Die Bedingung Reconciled bestimmt, ob die verwaltete Steuerungsebene nicht korrekt ausgeführt wird. Wenn true gilt, wird die Steuerungsebene erfolgreich ausgeführt. Stalled gibt an, dass bei der Bereitstellung der verwalteten Steuerungsebene ein Fehler festgestellt wurde. Wenn Stalled, enthält das Feld Message weitere Informationen zum jeweiligen Fehler. Weitere Informationen finden Sie unter Angehaltene Codes.

Stalled-Codes von ControlPlaneRevision

Es gibt mehrere Gründe, warum die Bedingung Stalled im Status ControlPlaneRevisions erfüllt sein kann.

Grund Meldung Beschreibung
PreconditionFailed Es werden nur GKE-Mitgliedschaften unterstützt, wobei ${CLUSTER_NAME} kein GKE-Cluster ist. Der aktuelle Cluster scheint kein GKE-Cluster zu sein. Eine verwaltete Steuerungsebene funktioniert nur in GKE-Clustern.
Nicht unterstützter ControlPlaneRevision-Name: ${NAME}. Der Name von ControlPlaneRevision muss einer der folgenden sein:
  • asm-managed
  • asm-managed-rapid
  • asm-managed-stable
Nicht unterstützter ControlPlaneRevision-Namespace: ${NAMESPACE}. Der Namespace von ControlPlaneRevision muss istio-system sein.
Nicht unterstützter Kanal ${CHANNEL} für ControlPlaneRevision mit dem Namen ${NAME}. Erwartet wird ${OTHER_CHANNEL}. Der Name von ControlPlaneRevision muss mit dem Kanal von ControlPlaneRevision übereinstimmen:
  • asm-managed -> Regulär
  • asm-managed-rapid -> Schnell
  • asm-managed-stable -> Stabil
Der Kanal darf nicht weggelassen werden oder leer sein. Channel ist ein Pflichtfeld für ControlPlaneRevision. Es fehlt in der benutzerdefinierten Ressource oder ist leer.
Nicht unterstützter Überarbeitungstyp der Steuerungsebene: ${TYPE}. managed_service ist das einzige zulässige Feld für das Feld ControlPlaneRevisionType.
Nicht unterstützte Kubernetes-Version: ${VERSION}. Kubernetes-Versionen ab 1.15 werden unterstützt.
Workload Identity ist nicht aktiviert. Aktivieren Sie Workload Identity in Ihrem Cluster.
Nicht unterstützter Arbeitslastpool: ${POOL}. Der Arbeitslastpool muss das Format ${PROJECT_ID}.svc.id.goog haben.
ProvisioningFailed Beim Aktualisieren von Clusterressourcen ist ein Fehler aufgetreten. Google konnte Ihre clusterinternen Ressourcen wie CRDs und Webhooks nicht aktualisieren.
„istioistiod-asm-managed“ von MutatingWebhookConfiguration enthält einen Webhook mit der URL ${EXISTING_URL}. Es wird aber ${EXPECTED_URL} erwartet. Google überschreibt keine vorhandenen Webhooks, damit die Installation nicht geändert wird. Aktualisieren Sie diesen manuell, wenn es erforderlich ist.
ValidatingWebhookConfiguration ${NAME} enthält einen Webhook mit der URL ${EXISTING_URL}. Es wird aber ${EXPECTED_URL} erwartet. Google überschreibt keine vorhandenen Webhooks, damit die Installation nicht geändert wird. Aktualisieren Sie diesen manuell, wenn es erforderlich ist.

Verwaltetes Cloud Service Mesh kann keine Verbindung zum GKE-Cluster herstellen

Zwischen Juni 2022 und September 2022 hat Google Sicherheitsmaßnahmen im Zusammenhang mit autorisierten Netzwerken, Cloud Run und Cloud Run-Funktionen in der Google Kubernetes Engine (GKE) ergriffen. Projekte, für die zuvor ein verwaltetes Cloud Service Mesh verwendet wurde aber vor der Migration nicht mehr verwendet haben und nicht über die API verfügen, die für den Kommunikation zwischen Cloud Run und GKE.

In diesem Szenario schlägt die verwaltete Cloud Service Mesh-Bereitstellung fehl und Cloud Logging zeigt die folgende Fehlermeldung an:

Connect Gateway API has not been used in project [*PROJECT_NUMBER*] before or it is disabled.
Enable it by visiting https://console.developers.google.com/apis/api/connectgateway.googleapis.com/overview?project=[*PROJECT_NUMBER*] then retry.
If you enabled this API recently, wait a few minutes for the action to propagate to our systems and retry.

Filtern Sie diese Nachricht mit der folgenden Abfrage:

resource.type="istio_control_plane"
resource.labels.project_id=[*PROJECT_ID*]
resource.labels.location=[*REGION*]
severity=ERROR
jsonPayload.message=~"Connect Gateway API has not been used in project"

In der Zwischenzeit werden die Sidecar-Einfügung und das Bereitstellen benutzerdefinierter Kubernetes-Ressourcen, die mit Cloud Service Mesh zusammenhängen, fehlschlagen. Cloud Logging zeigt die folgende Warnmeldung an:

Error creating: Internal error occurred: failed calling webhook
"rev.namespace.sidecar-injector.istio.io": failed to call webhook: an error on
the server ("unknown") has prevented the request from succeeding.

Filtern Sie diese Nachricht mit der folgenden Abfrage:

resource.type="k8s_cluster"
resource.labels.project_id=[*PROJECT_ID*]
resource.labels.location=[*REGION*]
resource.labels.cluster_name=[*CLUSTER_NAME*]
severity=WARNING
jsonPayload.message=~"Internal error occurred: failed calling webhook"

So beheben Sie das Problem:

  1. Aktivieren Sie die erforderliche connectgateway API:

     gcloud services enable connectgateway.googleapis.com --project=[*PROJECT_ID*]

  2. Installieren Sie das verwaltete Cloud Service Mesh neu.

  3. Führen Sie einen rollierenden Neustart der Arbeitslasten aus.

Google Cloud APIs sind nicht aktiviert

Wenn Ihre verwaltete Cloud Service Mesh-Flotte die TRAFFIC_DIRECTORSteuerungsebenenimplementierung verwendet, müssen bestimmte APIs aktiviert sein.

  1. Aktivieren Sie alle erforderlichen APIs. einschließlich solcher, die als „Kann deaktiviert werden“ wenn Sie kein verwaltetes Cloud Service Mesh verwenden.

    gcloud services enable --project=[*PROJECT_ID*] \
    trafficdirector.googleapis.com \
    networkservices.googleapis.com \
    networksecurity.googleapis.com

  2. Achten Sie darauf, dass Sie keine automatisierten Tools verwenden, die diesen Fehler rückgängig machen könnten ändern können. Tritt der Fehler wieder auf, aktualisieren Sie alle relevanten Konfigurationen oder Zulassungslisten.

Identitätsföderation von Knotenpools für GKE ist deaktiviert

Der folgende Befehl zeigt den Status des verwalteten Cloud Service Mesh an:

    gcloud container fleet mesh describe

Möglicherweise wird der Fehlercode NODEPOOL_WORKLOAD_IDENTITY_FEDERATION_REQUIRED im Feld Conditions deiner Mitgliedschaft angezeigt:

    membershipStates:
      projects/test-project/locations/us-central1/memberships/my-membership:
        servicemesh:
          conditions:
          - code: NODEPOOL_WORKLOAD_IDENTITY_FEDERATION_REQUIRED
            details: One or more node pools have workload identity federation disabled.
            documentationLink: https://cloud.google.com/kubernetes-engine/docs/how-to/workload-identity
            severity: ERROR
          controlPlaneManagement:
            details:
            - code: REVISION_FAILED_PRECONDITION
              details: Required in-cluster components are not ready. This will be retried
                within 15 minutes.
            implementation: TRAFFIC_DIRECTOR
            state: FAILED_PRECONDITION

Dieser Fehler wird angezeigt, wenn der GKE-Cluster keine Workload Identity-Föderation hat in allen Knotenpools dieses Clusters aktiviert, da dies eine Voraussetzung für den Installation von Cloud Service Mesh.

Um diese Fehlermeldung zu beheben, müssen Sie die folgenden Anweisungen befolgen: Identitätsföderation von Arbeitslasten aktivieren in allen Knotenpools. Die Aktivierung hängt davon ab, Cluster-Fall.

Nach der Aktivierung sollte die Fehlermeldung automatisch entfernt werden und der Cluster sollte wieder den Status ACTIVE haben. Wenn das Problem weiterhin besteht und Sie weitere Unterstützung benötigen, lesen Sie den Hilfeartikel Support erhalten.