Problemas conhecidos do Config Sync

Esta página lista problemas conhecidos das versões compatíveis do Config Sync.

Muitos dos problemas listados aqui foram corrigidos. A coluna Versão corrigida indica a versão em que a correção foi introduzida. Para receber essa correção, faça upgrade para a versão listada ou mais recente.

Se você faz parte do Google Developer Program, salve esta página para receber notificações quando uma nota da versão relacionada a ela for publicada. Para saber mais, consulte Páginas salvas.

Para filtrar os problemas conhecidos por uma versão ou categoria do produto, selecione os filtros nos menus suspensos a seguir.

Selecione sua versão do Config Sync:

Selecione a categoria do seu problema:

Ou filtre os problemas conhecidos:

Categoria Versão identificada Versão corrigida Problema e solução alternativa
Integridade dos componentes 1.24.0

Os pods do Config Sync ficam paralisados durante o upgrade para a versão 1.24.0 em clusters migrados do Hub

Depois de fazer upgrade para o Config Sync 1.24.0, os campos removidos (como readinessProbe e verificações de integridade para o sidecar otel-agent) podem persistir em clusters migrados para o gerenciamento do Hub. Como o componente de verificação de integridade por trás do readinessProbe é removido, o contêiner otel-agent não é iniciado, o que faz com que os pods do Config Sync fiquem parados.

Esse problema afeta apenas clusters em que o Config Sync foi instalado manualmente usando kubectl e depois mudou para o gerenciamento do hub. Isso acontece porque o processo de migração lida com o gerenciamento de campos de maneira diferente de uma nova instalação. Para clusters instalados manualmente ou que foram instalados inicialmente pelo Hub, os campos são removidos conforme o esperado.

Alternativa:

Para resolver esse problema, siga as instruções para desinstalar o Config Sync e reinstale-o pelo Hub.
Métricas 1.5.0 1.21.0

Correção: métricas informadas para pacotes excluídos

Se você excluir um objeto RootSync ou RepoSync, mas não o ResourceGroup com o mesmo nome, o Config Sync vai continuar informando as seguintes métricas para esse objeto ResourceGroup:

  • rg_reconcile_duration_seconds
  • resource_group_total
  • resource_count
  • ready_resource_count
  • resource_ns_count
  • cluster_scoped_resource_count
  • crd_count
  • kcc_resource_count
  • pipeline_error_observed
O objeto ResourceGroup só será excluído automaticamente se a propagação de exclusão tiver sido ativada antes da exclusão do objeto RootSync ou RepoSync.

Alternativa:

Exclua o objeto ResourceGroup:

kubectl delete resourcegroup RESOURCE_GROUP_NAME -n config-management-system

Substitua RESOURCE_GROUP_NAME pelo nome do objeto ResourceGroup que precisa ser excluído. Para saber mais sobre a nomenclatura de ResourceGroup, consulte Controlador e objetos do ResourceGroup.
Integridade dos componentes 1.15.0

Reconciliador não programável

Os reconciliadores do Config Sync exigem quantidades variadas de recursos, dependendo da configuração do RootSync ou do RepoSync. Algumas configurações exigem mais recursos do que outras.

Se um reconciliador não puder ser programado, talvez seja porque ele está solicitando mais recursos do que estão disponíveis nos nós.

Se você estiver usando clusters do GKE no modo Standard, as solicitações de recursos do reconciliador serão definidas como muito baixas. Essa configuração foi escolhida para permitir a programação, mesmo que isso levasse a um limite e a um desempenho lento, para que o Config Sync funcionasse em pequenos clusters e nós. No entanto, nos clusters do GKE Autopilot, as solicitações do reconciliador são definidas como mais altas para representar de forma mais realista o uso durante a sincronização.

Alternativa:

O GKE Autopilot ou o Standard com o provisionamento automático de nós ativado pode ver quantos recursos são solicitados e criar nós dimensionados adequadamente para permitir o agendamento. No entanto, se você estiver configurando manualmente os nós ou os tamanhos das instâncias de nó, talvez seja necessário ajustar essas configurações para atender aos requisitos de recursos do pod reconciliador.
Métricas 1.15.0

Falha na exportação. Permissão recusada

Por padrão, quando o gerente de reconciliação detecta o Application Default Credentials, o coletor de Otel é configurado para exportar métricas para o Prometheus, o Cloud Monitoring e o Monarch.

Alternativa:

O otel-collector registra erros se você não tiver configurado o Cloud Monitoring ou personalizado filtros de métricas e o Cloud Monarch.
Métricas 1.15.0

O coletor de Otel falha com a configuração personalizada.

Se você tentar modificar ou excluir um dos ConfigMaps padrão, otel-collector ou otel-collector-google-cloud, o coletor de Otel pode apresentar um erro ou falhar ao não conseguir carregar o ConfigMap necessário.

Alternativa:

Para personalizar a configuração de exportação de métricas, crie um ConfigMap chamado otel-collector-custom no namespace config-management-monitoring.
Ações

O Config Sync lutando contra si mesmo

O Config Sync pode parecer estar em um conflito de controladores com ele mesmo. Isso ocorre ao definir o valor padrão para um campo opcional de um recurso no repositório do Git. Por exemplo, definir apiGroup: "" como o assunto de um RoleBinding aciona isso porque o campo apiGroup é opcional e uma string vazia é o valor padrão. Os valores padrão dos campos string, booleano e inteiro são "", false e 0, respectivamente.

Alternativa:

Remova o campo da declaração de recurso.
Remediação

O Config Sync entra em conflito com os recursos do Config Connector

O Config Sync pode parecer estar em conflito com o Config Connector em um recurso, por exemplo, um StorageBucket. Isso ocorre se você não definir o valor de um campo opcional de um recurso spec.lifecycleRule.condition.withState na fonte da verdade.

Alternativa:

Para evitar esse problema, adicione o campo withState=ANY na declaração de recurso. Se preferir, abandone e adquira novamente o recurso com a anotação cnrm.cloud.google.com/state-into-spec: absent.

Fonte de verdade 1.20.0 1.21.3

Loops de falha do contêiner git-sync após um arquivo de bloqueio do Git ficar órfão

Se você encontrar o contêiner git-sync em um loop de falhas com erros semelhantes aos seguintes no registro do contêiner git-sync, uma invocação git anterior pode ter falhado e deixado um arquivo de bloqueio órfão no contêiner:

    {"logger":""..."msg":"repo contains lock file","error":null,"path":"/repo/source/.git/shallow.lock"}
    ...runtime error: invalid memory address or nil pointer dereference

Alternativa:

Para contornar esse problema, reinicie o pod de reconciliação afetado para atribuir um novo volume temporário:

    kubectl delete pod -n config-management-system RECONCILER_NAME
Substitua RECONCILER_NAME pelo nome do reconciliador do objeto RootSync ou RepoSync.
Sincronizando 1.7.0 1.21.0

Correção: a anotação de mutação de ignorar não é respeitada

Um bug no reconciliador do Config Sync faz com que ele aplique mudanças das configurações declaradas mesmo quando a anotação client.lifecycle.config.k8s.io/mutation está presente. Isso pode fazer com que o estado do objeto no cluster seja substituído.

Alternativa:

É possível parar de gerenciar o objeto gerenciado adicionando a anotação configmanagement.gke.io/managed: disabled. No entanto, desativar o gerenciamento impede que o Config Sync recrie o objeto se ele for excluído do cluster. Isso também impede que outras atualizações na fonte de informações sejam aplicadas.
Sincronizando 1.15.0

Alto número de solicitações PATCH ineficazes nos registros de auditoria

O remediador do Config Sync usa a simulação para detectar desvios. Isso pode fazer com que as solicitações PATCH apareçam no registro de auditoria, mesmo quando o PATCH não é persistido, porque o registro de auditoria não distingue entre simulações e solicitações normais.

Alternativa:

Como o registro de auditoria não consegue distinguir entre solicitações de teste e não teste, ignore as solicitações PATCH.
Sincronizando 1.7.0 1.21.0

Corrigido: falha ao gravar o inventário atualizado no cluster

Se o Config Sync não atualizar o status de um objeto ResourceGroup, você poderá encontrar um erro intermitente nos registros do reconciliador semelhante ao seguinte:

    KNV2009: task failed (action: "Inventory", name: "inventory-set-0"): failed to write updated inventory to cluster: Operation cannot be fulfilled on resourcegroups.kpt.dev "root-sync": the object has been modified; please apply your changes to the latest version and try again

Esse erro é causado por uma disputa entre o reconciliador e o controlador ResourceGroup. O controlador ResourceGroup pode atualizar o status do ResourceGroup antes que o reconciliador possa atualizar a especificação do ResourceGroup, causando o erro KNV2009.

Alternativa:

Não há uma solução alternativa para esse problema. O erro será resolvido automaticamente.
Terraform Versão 5.41.0 do Terraform

O Config Sync não pode ser instalado nem atualizado usando o Terraform.

A versão 5.41.0 do Terraform introduziu um novo campo no recurso google_gke_hub_feature_membership: config_sync.enabled. Como o valor padrão desse campo é false, se ele não for definido explicitamente como true, as instalações ou upgrades do Config Sync vão falhar ao usar o Terraform versão 5.41.0 ou mais recente. Você também pode receber uma mensagem de erro informando git spec not included in configmanagement spec se esse problema ocorrer.

Alternativa:

  • Se você usar o recurso google_gke_hub_feature_membership, defina manualmente config_sync.enabled como true.
  • Se você usa o submódulo acm, recomendamos mudar para uma forma alternativa de instalar o Config Sync. Se não for possível mudar, faça upgrade para a v33.0.0.

Console doGoogle Cloud

Erros de dados ausentes no painel do Config Sync no console Google Cloud

Você pode encontrar erros como "dados ausentes" ou "credenciais de cluster inválidas" para clusters do Config Sync em painéis no console Google Cloud . Esse problema pode ocorrer quando você não faz login nos clusters do GDC (VMware) ou GDC (bare metal).

Alternativa:

Se você encontrar esses tipos de erros no console Google Cloud nos clusters do GDC (VMware) ou GDC (bare metal), verifique se você fez login nos clusters com o Serviço de Identidade do GKE ou o gateway do Connect.

Sincronizando 1.21.0

Corrigido: o Config Sync impede atualizações de recursos abandonados

Antes da versão 1.21.0, um objeto RootSync ou RepoSync excluído podia deixar vários rótulos e anotações que o Config Sync usa para rastrear esses objetos de recursos.

Esses rótulos e anotações podem causar os seguintes efeitos colaterais após a exclusão de um objeto RootSync ou RepoSync:

  • Outros objetos RepoSync não podem assumir a propriedade de objetos gerenciados anteriormente.
  • Se a prevenção de desvio estiver ativada, o Config Sync poderá rejeitar mudanças em recursos abandonados.
Ferramenta de linha de comando nomos 1.17.0

A CLI nomos não é compatível com o plug-in de autenticação oidc

Você pode encontrar erros como no Auth Provider found for name "oidc" ao usar a ferramenta de linha de comando nomos. Esse problema pode ocorrer quando você usa o plug-in de autenticação oidc.

Alternativa:

Não há solução alternativa. O plug-in de autenticação oidc será adicionado novamente em uma versão futura.

Voltar ao início

A seguir

  • Se você não encontrar uma solução para seu problema na documentação, consulte Receber suporte para mais ajuda, incluindo conselhos sobre os seguintes tópicos: