Como resolver problemas da criação de ambientes

Airflow Gerenciado (Geração 3) | Airflow Gerenciado (Geração 2) | Airflow Gerenciado (Geração 1 legada)

Nesta página, você encontra informações para solucionar problemas que podem ocorrer ao criar ambientes do Airflow Gerenciado.

Para informações sobre solução de problemas relacionadas à atualização e upgrade de ambientes, consulte Como resolver problemas de atualizações e upgrades do ambiente.

Quando os ambientes do Airflow Gerenciado são criados, a maioria dos problemas acontece pelos seguintes motivos:

  • Problemas de permissão da conta de serviço.

  • Informações de firewall, DNS ou roteamento incorretas.

  • Problemas relacionados à rede. Por exemplo, configuração de VPC inválida, conflitos de endereço IP ou intervalos de IP de rede que sejam muito estreitos.

  • Problemas relacionados a cotas.

  • Políticas organizacionais incompatíveis.

Permissões insuficientes para criar um ambiente

Se o Airflow Gerenciado não criar um ambiente porque sua conta não tem permissões suficientes, as seguintes mensagens de erro serão exibidas:

ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: The caller
does not have permission

ou

ERROR: (gcloud.composer.environments.create) PERMISSION_DENIED: User not
authorized to act as service account <service-account-name>.
The user must be granted iam.serviceAccounts.actAs permission, included in
Owner, Editor, Service Account User role. See https://cloud.google.com/iam/docs
/understanding-service-accounts for additional details.

Solução: atribua papéis à sua conta e à conta de serviço do ambiente, conforme descrito em Controle de acesso.

  • No Airflow Gerenciado (Geração 2), verifique se a conta de serviço do agente de serviço do Cloud Composer (service-PROJECT_NUMBER@cloudcomposer-accounts.iam.gserviceaccount.com) tem o papel Extensão do agente de serviço da API Cloud Composer v2 atribuído.

  • Verifique se o agente de serviço de APIs do Google (PROJECT_NUMBER@cloudservices.gserviceaccount.com) tem o papel Editor atribuído.

  • Na configuração da VPC compartilhada, siga as instruções em Como configurar a VPC compartilhada.

A conta de serviço do ambiente não tem permissões suficientes

Ao criar um ambiente do Airflow Gerenciado, você especifica uma conta de serviço que executa os nós do cluster do GKE do ambiente. Se essa conta de serviço não tiver permissões suficientes para a operação solicitada, o Airflow Gerenciado gerará o seguinte erro:

Errors in: [Web server]; Error messages:
  Creation of airflow web server version failed. This may be an intermittent
  issue of the App Engine service. You may retry the operation later.
{"ResourceType":"appengine.v1.version","ResourceErrorCode":"504","ResourceError
Message":"Your deployment has failed to become healthy in the allotted time
and therefore was rolled back. If you believe this was an error, try adjusting
the 'app_start_timeout_sec' setting in the 'readiness_check' section."}

Solução: atribua papéis à sua conta e à conta de serviço do ambiente, conforme descrito em Controle de acesso.

Avisos sobre papéis do IAM ausentes em contas de serviço

Quando a criação de um ambiente falha, o Airflow Gerenciado gera a seguinte mensagem de aviso após a ocorrência de um erro: The issue may be caused by missing IAM roles in the following Service Accounts ....

Essa mensagem de aviso destaca possíveis causas do erro. O Airflow Gerenciado verifica se há papéis necessários nas contas de serviço do seu projeto e, se esses papéis não estiverem presentes, ele gera essa mensagem de aviso.

Solução: verifique se as contas de serviço mencionadas na mensagem de aviso têm os papéis necessários. Para mais informações sobre papéis e permissões no Airflow Gerenciado, consulte Controle de acesso.

Em alguns casos, é possível ignorar esse aviso. O Airflow Gerenciado não verifica permissões individuais atribuídas a papéis. Por exemplo, se você usar papéis personalizados do IAM, é possível que a conta de serviço mencionada na mensagem de aviso já tenha todas as permissões necessárias. Nesse caso, é possível ignorar esse aviso.

Não existe uma rede VPC selecionada para o ambiente

É possível especificar uma rede VPC e uma sub-rede para o ambiente do Airflow Gerenciado ao criá-la. Se uma rede VPC não for especificada, o serviço do Airflow Gerenciado selecionará a VPC default e a sub-rede default para a região e a zona do ambiente.

Se a rede e a sub-rede VPC especificadas não existirem, o Airflow Gerenciado gerará o seguinte erro:

Errors in: [GKE cluster]; Error messages:
        {"ResourceType":"gcp-types/container-v1:projects.locations.clusters","R
        esourceErrorCode":"400","ResourceErrorMessage":{"code":400,"message":"P
        roject \"<your composer project>\" has no network named \"non-existing-
        vpc\".","status":"INVALID_ARGUMENT","statusMessage":"Bad
        Request","requestPath":"https://container.googleapis.com/
        v1/projects/<your composer
        project>/locations/<zone>/clusters","httpMethod":"POST"}}

Solução:

  • No Airflow Gerenciado (Geração 2), é possível criar ambientes que usam o Private Service Connect em vez de redes VPC.
  • Antes de criar um ambiente, verifique se a rede VPC e a sub-rede do novo ambiente existem.

Configuração de rede incorreta

As criações de ambientes do Serviço gerenciado para Apache Airflow exigem a configuração adequada de rede ou DNS. Siga estas instruções para configurar a conectividade com as APIs e os serviços do Google:

Se você configurar ambientes do Serviço gerenciado para Apache Airflow no modo de VPC compartilhada, então siga também as instruções da VPC compartilhada.

Um ambiente do Serviço gerenciado para Apache Airflow usa uma sub-rede para nós de cluster e intervalos de IP para pods e serviços. Para garantir a comunicação com esses e outros intervalos de IP, siga estas instruções para configurar regras de firewall:

Também é possível verificar se há entradas de registro nas categorias de configuração selecionadas GCE Networking e Subnetwork no Cloud Logging para verificar se há erros informados durante a criação do ambiente: Cloud Logging

Problemas de cotas encontrados ao criar ambientes em redes de grande escala

Ao criar ambientes do Serviço gerenciado para Apache Airflow em redes de grande escala, você pode encontrar as seguintes limitações de cotas:

  • O número máximo de peerings de VPC por rede VPC é atingido.
  • O número máximo de intervalos de IP de sub-redes primárias e secundárias foi atingido.
  • O número máximo de regras de encaminhamento no grupo de peering para balanceamento de carga TCP/UDP interno é atingido.

Solução:

Políticas da organização incompatíveis

As políticas a seguir precisam ser configuradas corretamente para que os ambientes do Airflow Gerenciado possam ser criados.

Política da organização Airflow Gerenciado (Geração 3) Airflow Gerenciado (Geração 2) Airflow Gerenciado (Geração 1 legada)
compute.disableSerialPortLogging É permitido qualquer valor Precisa ser desativado Desativado para versões anteriores à 1.13.0. qualquer valor
compute.requireOsLogin É permitido qualquer valor É permitido qualquer valor Precisa ser desativado
compute.vmCanIpForward É permitido qualquer valor É permitido qualquer valor É necessário permitir (obrigatório para clusters do GKE do Airflow Gerenciado) quando o modo nativo da VPC (usando o IP do alias) não está configurado.
compute.vmExternalIpAccess É permitido qualquer valor Precisa ser permitido em ambientes de IP público Precisa ser permitido em ambientes de IP público
compute.restrictVpcPeering Pode ser aplicado Não pode ser aplicado Não pode ser aplicado
compute.disablePrivateServiceConnectCreationForConsumers É permitido qualquer valor Não é possível proibir SERVICE_PRODUCERS para ambientes de IP privado e público. Não afeta os ambientes atuais, que podem operar quando essa política está ativada. Não é possível proibir SERVICE_PRODUCERS para ambientes de IP privado. Não afeta os ambientes atuais, que podem operar quando essa política está ativada.
compute.restrictPrivateServiceConnectProducer Quando ativo, permita a organização google.com Quando ativo, permita a organização google.com É permitido qualquer valor

Políticas de limite de acesso principal incompatíveis

As políticas de limite de acesso principal configuradas na sua organização podem ser configuradas de uma maneira que bloqueie algumas das operações do ambiente ou impeça a criação de novos ambientes.

Se for esse o caso, você poderá encontrar a seguinte linha nas mensagens de erro:

Operations on resource are denied due to an IAM Principal Access Boundary Policy.

Os componentes do ambiente estão localizados em um locatário e em um projeto do cliente. O projeto do locatário é gerenciado pelo Google e não pertence à organização em que o ambiente está localizado. A conta de serviço do ambiente precisa ter permissões para realizar operações no projeto do locatário.

Solução:

Restringir serviços usados na organização ou no projeto

Os administradores da organização ou do projeto podem restringir quais serviços do Google podem ser usados nos projetos usando a gcp.restrictServiceUsage restrição de política da organização.

Ao usar essa política da organização, é importante permitir todos os serviços exigidos pelo Airflow Gerenciado.

Mensagens de erro 400: falha ao implantar o servidor da Web do Airflow.

Esse erro pode ser causado por uma falha na criação de um cluster do GKE de um ambiente de IP privado porque há sobreposição de intervalos de IP.

Solução: verifique os registros em busca de falhas no cluster do ambiente e resolva o problema com base na mensagem de erro do GKE.

O Cloud Build não consegue criar imagens de ambiente de build

Aplica-se a: Airflow Gerenciado (Geração 2) e Airflow Gerenciado (Geração 1 legada).

Se a conta de serviço do Cloud Build (PROJECT_NUMBER@cloudbuild.gserviceaccount.com) não tiver o papel Conta de serviço do Cloud Build (roles/cloudbuild.builds.builder) no seu projeto, as tentativas de criar ou atualizar um ambiente poderão falhar com erros relacionados a permissões.

Por exemplo, você pode encontrar a denied: Permission "artifactregistry.repositories.uploadArtifacts" denied mensagem seguida por ERROR: failed to push because we ran out of retries em nos registros do Cloud Build.

Para resolver esse problema, verifique se a conta de serviço do Cloud Build tem o papel Conta de serviço do Cloud Build.

A seguir