Ayude a mejorar esta página

Para contribuir a esta guía del usuario, elija el enlace Edit this page on GitHub que se encuentra en el panel derecho de cada página.

Solución de problemas de capacidades de EKS

Enfoque general para la solución de problemas

Al solucionar problemas de las capacidades de EKS, siga este enfoque general:

Uso de registros del controlador para solucionar problemas

Si ha configurado la entrega de registros del controlador (consulte Acceso a los registros del controlador de Capacidades de EKS), puede consultar los registros para identificar los errores de conciliación, los conflictos de los recursos y los problemas de configuración.

Consulta de errores en todos los controladores

fields @timestamp, controller, message, error
| filter level = "error"
| sort @timestamp desc
| limit 50

Filtrado de registros para un controlador de servicios de ACK específico

Utilice el campo controllerGroup para aislar los registros de un controlador de servicio de ACK específico:

fields @timestamp, message, error
| filter controllerGroup = "s3.services.k8s.aws"
| filter level = "error"
| sort @timestamp desc

Para filtrar aún más por tipo de recurso (por ejemplo, solo los registros SecurityGroup del controlador de EC2):

fields @timestamp, message, error
| filter controllerGroup = "ec2.services.k8s.aws"
| filter controllerKind = "SecurityGroup"
| sort @timestamp desc
| limit 100

Filtrado de registros para una aplicación de Argo CD específica

Utilice el campo application para aislar los registros de una aplicación de Argo CD concreta:

fields @timestamp, message, error
| filter application = "my-application"
| sort @timestamp desc
| limit 100

Seguimiento de la conciliación de un recurso específico

Utilice el campo reconcileID para hacer un seguimiento de un único ciclo de conciliación:

fields @timestamp, level, message, error
| filter reconcileID = "your-reconcile-id"
| sort @timestamp asc

Patrones de registros comunes que indican problemas

Comprobación de estado de la capacidad

Todas las capacidades de EKS proporcionan información sobre el estado a través de la consola de EKS y la API describe-capability.

Consola:

La pestaña Capacidades muestra lo siguiente:

AWS CLI:

aws eks describe-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-capability-name
      

La respuesta incluye:

Estados de capacidad comunes

CREANDO: Se está configurando la capacidad.

ACTIVA: la capacidad está en ejecución y lista para usarse. Si los recursos no funcionan según lo esperado, compruebe el estado de los recursos y los permisos de IAM.

ACTUALIZANDO: se están aplicando cambios en la configuración. Espere a que el estado vuelva a ser ACTIVE.

CREATE_FAILED o UPDATE_FAILED: la configuración o la actualización detectaron un error. Consulte la sección sobre el estado para obtener más información. Causas comunes:

Comprobación del estado de los recursos de Kubernetes

Las capacidades de EKS crean y administran definiciones de recursos personalizados (CRD) de Kubernetes en el clúster. Al solucionar problemas, compruebe el estado de los recursos que creó:

# List resources of a specific type
kubectl get resource-kind -A

# Describe a specific resource to see conditions and events
kubectl describe resource-kind
         resource-name -n namespace

# View resource status conditions
kubectl get resource-kind
         resource-name -n namespace -o jsonpath='{.status.conditions}'

# View events related to the resource
kubectl get events --field-selector involvedObject.name=resource-name -n namespace
      

Las condiciones de estado de los recursos proporcionan información sobre:

Revisión de los permisos de IAM y el acceso al clúster

Muchos problemas de las capacidades se deben a problemas con los permisos de IAM o a la falta de una configuración de acceso al clúster. Compruebe los permisos del rol de capacidad y las entradas de acceso al clúster.

Comprobación de los roles de IAM

Compruebe que el rol de capacidad tenga los permisos necesarios:

# List attached managed policies
aws iam list-attached-role-policies --role-name my-capability-role

# List inline policies
aws iam list-role-policies --role-name my-capability-role

# Get specific policy details
aws iam get-role-policy --role-name my-capability-role --policy-name policy-name

# View the role's trust policy
aws iam get-role --role-name my-capability-role --query 'Role.AssumeRolePolicyDocument'

La política de confianza debe permitir la entidad principal de servicio capabilities.eks.amazonaws.com:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "capabilities.eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Comprobación de las entradas y políticas de acceso de EKS

Todas las capacidades requieren entradas de acceso y políticas de acceso de EKS adecuadas en el clúster en el que operan.

Compruebe que la entrada de acceso exista:

aws eks list-access-entries \
  --cluster-name my-cluster \
  --region region-code
         

Busque el ARN del rol de capacidad en la lista. Si falta, la capacidad no puede acceder al clúster.

Compruebe las políticas de acceso adjuntas a la entrada:

aws eks list-associated-access-policies \
  --cluster-name my-cluster \
  --principal-arn arn:aws:iam::111122223333:role/my-capability-role \
  --region region-code
         

Todas las capacidades requieren políticas de acceso adecuadas:

Para las implementaciones de varios clústeres de Argo CD:

Si se implementa en clústeres remotos, compruebe que el rol de capacidad tenga una entrada de acceso en cada clúster de destino:

# Check Access Entry on target cluster
aws eks describe-access-entry \
  --cluster-name target-cluster \
  --principal-arn arn:aws:iam::111122223333:role/argocd-capability-role \
  --region region-code
         

Si falta la entrada de acceso en un clúster de destino, Argo CD no podrá implementar aplicaciones en él. Consulte Registro de clústeres de destino para obtener información detallada sobre la configuración.

Solución de problemas específicos de la capacidad

Para obtener una guía detallada de solución de problemas específica para cada tipo de capacidad:

Problemas comunes en todas las capacidades

La capacidad se ha bloqueado en el estado CREANDO

Si una capacidad permanece en el estado CREATING durante más tiempo del esperado:

Los recursos no se crean o actualizan

Si la capacidad es ACTIVE, pero los recursos no se crean o actualizan:

El estado de la capacidad muestra problemas

Si describe-capability muestra problemas de estado:

Siguientes pasos