Fehlerbehebung bei der Clustererstellung

Fehler beim Erstellen von Google Kubernetes Engine-Clustern (GKE) können verhindern, dass Sie die erforderliche Infrastruktur bereitstellen. Häufige Ursachen für Fehler sind Verstöße gegen die Organisationsrichtlinien constraints/compute.vmExternalIpAccess oder constraints/compute.restrictVpcPeering. Auf dieser Seite finden Sie Informationen zur Fehlerbehebung und Behebung von Fehlern bei der Clustererstellung, die durch diese Organisationsrichtlinien verursacht werden.

Diese Informationen sind wichtig für Plattformadministratoren und -operatoren oder andere Nutzer, die für das Erstellen und Verwalten von GKE-Clustern in einerGoogle Cloud -Organisation verantwortlich sind. Weitere Informationen zu den gängigen Rollen und Beispielaufgaben, auf die wir inGoogle Cloud -Inhalten verweisen, finden Sie unter Häufig verwendete GKE-Nutzerrollen und -Aufgaben.

Informationen zu allgemeinen Problemen mit einem Kubernetes-Cluster finden Sie in der Kubernetes-Dokumentation unter Fehlerbehebung bei Clustern.

Fehler: Verstoß gegen die Einschränkung constraints/compute.vmExternalIpAccess

Wenn Sie versuchen, einen öffentlichen GKE-Cluster zu erstellen, kann ein Fehler ähnlich dem folgenden auftreten:

Constraint constraints/compute.vmExternalIpAccess violated for project

Dies betrifft nur öffentliche GKE-Cluster, einschließlich GKE Autopilot-Cluster.

Wenn Sie öffentliche GKE-Cluster erstellen, werden den zugrunde liegenden Compute Engine-VMs, die die Worker-Knoten dieses Clusters bilden, externe IP-Adressen zugewiesen. Wenn Sie die Organisationsrichtlinien-Einschränkung constraints/compute.vmExternalIpAccess auf Deny All konfigurieren oder externe IP-Adressen auf bestimmte VM-Instanzen auf Organisations-, Ordner- oder Projektebene beschränken, verhindert die Richtlinie, dass die GKE-Worker-Knoten externe IP-Adressen abrufen. Dies führt zu Fehlschlägen bei der Clustererstellung.

Die Logs zur Clustererstellung finden Sie in den Audit-Logs für GKE-Clustervorgänge im Log-Explorer. Erstellen Sie eine Suchanfrage wie die folgende:

resource.type="gke_cluster"
logName="projects/test-last-gke-sa/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName="google.container.v1beta1.ClusterManager.CreateCluster"
resource.labels.cluster_name="CLUSTER_NAME"
resource.labels.project_id="PROJECT_ID"

Ersetzen Sie Folgendes:

  • CLUSTER_NAME: der Name des Clusters, der nicht erstellt wurde.
  • PROJECT_ID: Ihre Projekt-ID.

Um dieses Problem zu beheben, prüfen Sie, ob die geltende Richtlinie für die Einschränkung constraints/compute.vmExternalIpAccess Allow All in dem Projekt lautet, in dem Sie versuchen, einen öffentlichen GKE-Cluster zu erstellen. Informationen zur Verwendung dieser Einschränkung finden Sie unter Externe IP-Adressen auf bestimmte VM-Instanzen beschränken.

Nachdem Sie die Einschränkung auf Allow All festgelegt haben, löschen Sie den fehlgeschlagenen Cluster und erstellen Sie einen neuen. Dies ist erforderlich, da eine Reparatur des fehlgeschlagenen Clusters nicht möglich ist.

Fehler: Verstoß gegen die Einschränkung constraints/compute.restrictVpcPeering

Wenn Sie versuchen, einen privaten GKE-Cluster zu erstellen, der VPC-Netzwerk-Peering verwendet, um Ihr VPC-Netzwerk mit dem von Google verwalteten Projekt der Steuerungsebene zu verbinden, kann ein Fehler ähnlich dem folgenden auftreten:

Constraint constraints/compute.restrictVpcPeering violated for project

Wenn Sie die Organisationsrichtlinien-Einschränkung constraints/compute.restrictVpcPeering für die Organisation, den Ordner oder das Projekt konfigurieren, zu dem das VPC-Netzwerk des Clusters gehört, blockiert die Richtlinie das Peering des VPC-Netzwerks der Steuerungsebene mit Ihrem VPC-Netzwerk durch GKE, es sei denn, die von Google verwaltete Erstellerhierarchie ist zulässig.

Verwenden Sie eine der folgenden Optionen, um dieses Problem zu beheben:

  • Erstellen Sie einen Cluster, der Private Service Connect für die Verbindung zur Steuerungsebene anstelle von VPC-Netzwerk-Peering verwendet.
  • Aktualisieren Sie die Richtlinie constraints/compute.restrictVpcPeering für das Projekt, den Ordner oder die Organisation, die das VPC-Netzwerk des Clusters besitzt, um die Google-Diensterstellerorganisation (under:organizations/433637338589) dem Feld allowedValues hinzuzufügen.

Nachdem Sie die Organisationsrichtlinie aktualisiert haben, löschen Sie den fehlgeschlagenen Cluster und erstellen Sie einen neuen.

Nächste Schritte