Risolvere i problemi relativi alla creazione del cluster

Gli errori durante la creazione del cluster Google Kubernetes Engine (GKE) possono impedirti di eseguire il provisioning dell'infrastruttura necessaria. Le cause più comuni degli errori sono le violazioni delle policy dell'organizzazione constraints/compute.vmExternalIpAccess o constraints/compute.restrictVpcPeering. Utilizza questa pagina per risolvere i problemi di creazione dei cluster causati da queste policy dell'organizzazione.

Queste informazioni sono importanti per gli amministratori e gli operatori della piattaforma o per altri utenti responsabili della creazione e della gestione dei cluster GKE all'interno di un'organizzazioneGoogle Cloud . Per ulteriori informazioni sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti diGoogle Cloud , consulta Ruoli e attività comuni degli utenti GKE.

Per problemi generali relativi a un cluster Kubernetes, consulta la sezione Risoluzione dei problemi dei cluster nella documentazione di Kubernetes.

Errore: vincolo constraints/compute.vmExternalIpAccess violato

Quando provi a creare un cluster GKE pubblico, può verificarsi un errore simile al seguente:

Constraint constraints/compute.vmExternalIpAccess violated for project

Questo riguarda solo i cluster GKE pubblici, inclusi i cluster GKE Autopilot.

Quando crei cluster GKE pubblici, alle VM di Compute Engine sottostanti, che costituiscono i nodi worker di questo cluster, vengono assegnati indirizzi IP esterni. Se configuri il vincolo della policy dell'organizzazione constraints/compute.vmExternalIpAccess su Deny All o per limitare gli indirizzi IP esterni a istanze VM specifiche a livello di organizzazione, cartella o progetto, la policy impedisce ai nodi worker GKE di ottenere indirizzi IP esterni, il che comporta un errore di creazione del cluster.

Per trovare i log dell'operazione di creazione del cluster, puoi esaminare gli audit log delle operazioni del cluster GKE utilizzando Esplora log con una query di ricerca simile alla seguente:

resource.type="gke_cluster"
logName="projects/test-last-gke-sa/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName="google.container.v1beta1.ClusterManager.CreateCluster"
resource.labels.cluster_name="CLUSTER_NAME"
resource.labels.project_id="PROJECT_ID"

Sostituisci quanto segue:

  • CLUSTER_NAME: il nome del cluster che non è stato creato.
  • PROJECT_ID: il tuo ID progetto.

Per risolvere il problema, assicurati che la policy effettiva per il vincolo constraints/compute.vmExternalIpAccess sia Allow All nel progetto in cui stai tentando di creare un cluster pubblico GKE. Per informazioni su come utilizzare questo vincolo, consulta Limita gli indirizzi IP esterni a istanze VM specifiche.

Dopo aver impostato il vincolo su Allow All, elimina il cluster con errori e creane uno nuovo. Questo è necessario perché non è possibile riparare il cluster con errori.

Errore: vincolo constraints/compute.restrictVpcPeering violato

Quando provi a creare un cluster GKE privato che utilizza il peering di rete VPC per connettere la tua rete VPC al progetto del control plane gestito da Google, può verificarsi un errore simile al seguente:

Constraint constraints/compute.restrictVpcPeering violated for project

Se configuri il vincolo della policy dell'organizzazione constraints/compute.restrictVpcPeering sull'organizzazione, sulla cartella o sul progetto proprietario della rete VPC del cluster, la policy impedisce a GKE di eseguire il peering della rete VPC del control plane con la tua rete VPC, a meno che non sia consentita la gerarchia del producer gestito da Google.

Per risolvere il problema, utilizza una delle seguenti opzioni:

  • Crea un cluster che utilizza Private Service Connect per la connettività del control plane anziché il peering di rete VPC.
  • Aggiorna la policy constraints/compute.restrictVpcPeering sul progetto, sulla cartella o sull'organizzazione proprietaria della rete VPC del cluster per aggiungere l'organizzazione del producer di servizi Google (under:organizations/433637338589) al campo allowedValues.

Dopo aver aggiornato la policy dell'organizzazione, elimina il cluster con errori e creane uno nuovo.

Passaggi successivi