Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page qui se trouve dans le volet droit de chaque page.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Résoudre les problèmes liés aux fonctionnalités ACK

La capacité est ACTIVE mais aucune ressource n'est créée

Si votre fonctionnalité ACK affiche un ACTIVE état mais que les ressources ne sont pas créées AWS, vérifiez l'état de santé de la fonctionnalité, l'état des ressources et les autorisations IAM.

Vérifiez l'état des capacités  :

Vous pouvez consulter les problèmes d'état et d'état des fonctionnalités dans la console EKS ou à l'aide de l' AWS interface de ligne de commande.

Console  :

AWS CLI  :

# View capability status and health
aws eks describe-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-ack

# Look for issues in the health section

Causes courantes :

Vérifiez l'état des ressources  :

# Describe the resource to see conditions and events
kubectl describe bucket my-bucket -n default

# Look for status conditions
kubectl get bucket my-bucket -n default -o jsonpath='{.status.conditions}'

# View resource events
kubectl get events --field-selector involvedObject.name=my-bucket -n default

Vérifiez les autorisations IAM :

# View the Capability Role's policies
aws iam list-attached-role-policies --role-name my-ack-capability-role
aws iam list-role-policies --role-name my-ack-capability-role

# Get specific policy details
aws iam get-role-policy --role-name my-ack-capability-role --policy-name policy-name
      

Ressources créées dans AWS mais ne s'affiche pas dans Kubernetes

ACK suit uniquement les ressources qu'il crée via les manifestes Kubernetes. Pour gérer les AWS ressources existantes avec ACK, utilisez la fonction d'adoption.

apiVersion: s3.services.k8s.aws/v1alpha1
kind: Bucket
metadata:
  name: existing-bucket
  annotations:
    services.k8s.aws/adoption-policy: "adopt-or-create"
spec:
  name: my-existing-bucket-name

Pour en savoir plus sur l'adoption des ressources, consultezConcepts de l'ACK.

Cross-account ressources non créées

Si aucune ressource n'est créée dans un AWS compte cible lors de l'utilisation des sélecteurs de rôles IAM, vérifiez la relation de confiance et IAMRoleSelector la configuration.

Vérifiez la relation de confiance  :

# Check the trust policy in the target account role
aws iam get-role --role-name cross-account-ack-role --query 'Role.AssumeRolePolicyDocument'

La politique de confiance doit permettre au rôle de capacité du compte source de l'assumer.

Confirmez IAMRoleSelector la configuration  :

# List IAMRoleSelectors (cluster-scoped)
kubectl get iamroleselector

# Describe specific selector
kubectl describe iamroleselector my-selector
      

Vérifiez l'alignement de l'espace de noms :

IAMRoleSelectors sont des ressources à portée de cluster mais ciblent des espaces de noms spécifiques. Assurez-vous que vos ressources ACK se trouvent dans un espace de noms qui correspond au sélecteur IAMRoleSelector d'espace de noms :

# Check resource namespace
kubectl get bucket my-cross-account-bucket -n production

# List all IAMRoleSelectors (cluster-scoped)
kubectl get iamroleselector

# Check which namespace the selector targets
kubectl get iamroleselector my-selector -o jsonpath='{.spec.namespaceSelector}'

Vérifiez IAMRoleSelected l'état  :

Vérifiez qu'il a bien IAMRoleSelector été mis en correspondance avec votre ressource en vérifiant la ACK.IAMRoleSelected condition :

# Check if IAMRoleSelector was matched
kubectl get bucket my-cross-account-bucket -n production -o jsonpath='{.status.conditions[?(@.type=="ACK.IAMRoleSelected")]}'

Si la condition est remplie False ou absente, le sélecteur d'espace IAMRoleSelector de noms de la ressource ne correspond pas à l'espace de noms de la ressource. Vérifiez que le sélecteur namespaceSelector correspond aux étiquettes d'espace de noms de votre ressource.

Vérifiez les autorisations du rôle de capacité  :

Le rôle Capability a besoin sts:AssumeRole et sts:TagSession autorisations pour le rôle du compte cible :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["sts:AssumeRole", "sts:TagSession"],
      "Resource": "arn:aws:iam::444455556666:role/cross-account-ack-role"
    }
  ]
}

Pour une configuration multicompte détaillée, consultezConfigurer les autorisations ACK.

Étapes suivantes