Amazon EKS クラスターのランタイムカバレッジとトラブルシューティング

アドオンの作成に失敗

アドオン aws-guardduty-agent は、クラスター ClusterName の現在のクラスターバージョンと互換性がありません。指定されたアドオンはサポートされていません。

aws-guardduty-agent EKS アドオンのデプロイをサポートする Kubernetes バージョンのいずれかを使用していることを確認してください。詳細については、「GuardDuty セキュリティエージェントでサポートされている Kubernetes のバージョン」を参照してください。Kubernetes バージョンの更新については、「Amazon EKS クラスターの Kubernetes バージョンの更新」を参照してください。

アドオンの作成に失敗

アドオンの更新に失敗

アドオンのステータスが異常

EKS アドオンの問題 - AddonIssueCode: AddonIssueMessage

特定のアドオン問題コードの推奨ステップについては、「Troubleshooting steps for Addon creation/updatation error with Addon issue code」を参照してください。

この問題で発生する可能性のあるアドオンの問題コードのリストについては、「AddonIssue」を参照してください。

VPC エンドポイントの作成に失敗

VPC エンドポイントの作成は、共有 VPC vpcId ではサポートされていません

Runtime Monitoring では、組織内の共有 VPC の使用がサポートされるようになりました。アカウントがすべての前提条件を満たしていることを確認します。詳細については、「共有 VPC を使用するための前提条件」を参照してください。

自動エージェント設定で共有 VPC を使用する場合のみ

共有 VPC vpcId の所有者アカウント ID 111122223333 では、Runtime Monitoring、自動エージェント設定、またはその両方が有効になっていません。

プライベート DNS を有効にするには、enableDnsSupport とenableDnsHostnames VPC 属性の両方が vpcId に対して true に設定されている必要があります (サービス: Ec2、ステータス コード: 400、リクエスト ID: a1b2c3d4-5678-90ab-cdef-EXAMPLE11111)。

次の VPC 属性が true - enableDnsSupport および enableDnsHostnames に設定されていることを確認する必要があります。詳細については、「VPC の DNS 属性」を参照してください。

https://console.aws.amazon.com/vpc/ にある Amazon VPC コンソールを使用して Amazon VPC を作成する場合は、必ず [DNS ホスト名を有効にする] および [解決を有効にする] の両方を選択してください。詳細については、「VPC 設定オプション」を参照してください。

共有 VPC エンドポイントの削除に失敗

共有 VPC エンドポイントの削除は、アカウント ID 111122223333、共有 VPC vpcId、所有者アカウント ID 555555555555 では許可されません。

ローカル EKS クラスター

EKS アドオンはローカルのアウトポストクラスターではサポートされていません。

実用的ではありません。

詳細については、AWS 「Outposts での Amazon EKS」を参照してください。

EKS Runtime Monitoring の有効化許可が付与されていません

(追加情報が表示される場合と表示されない場合があります)

進行中の EKS Runtime Monitoring 有効化リソースのプロビジョニング

(追加情報が表示される場合と表示されない場合があります)

実用的ではありません。

EKS Runtime Monitoring を有効にしても、リソースプロビジョニングステップが完了するまでカバレッジステータスが Unhealthy として残る場合があります。カバレッジステータスは定期的に監視および更新されます。

その他 (その他の問題)

承認が失敗したためにエラーが発生しました

EKS Runtime Monitoring を切り替えて、オフにしてから再度オンにします。GuardDuty エージェントも、GuardDuty を使用して自動的にデプロイするか、手動でデプロイするようにしてください。

EKS アドオンの問題 - InsufficientNumberOfReplicas: 必要な数の複製がないため、アドオンは異常です。

EKS アドオンの問題 - InsufficientNumberOfReplicas: 1 つ以上のポッドがスケジュールされた0/xノードを使用できないため、アドオンが異常です: x Insufficient cpu. preemption: not eligible due to preemptionPolicy=Never。

この問題を解決するには、次のいずれかを実行します。

EKS アドオンの問題 - InsufficientNumberOfReplicas: 1 つ以上のポッドがスケジュールされた0/xノードを使用できないため、アドオンが異常です: x Too many pods. preemption: not eligible due to preemptionPolicy=Never。

EKS アドオンの問題 - InsufficientNumberOfReplicas: 1 つ以上のポッドがスケジュールされた0/xノードを使用できないため、アドオンが異常です: 1 Insufficient memory. preemption: not eligible due to preemptionPolicy=Never。

EKS アドオンの問題 - InsufficientNumberOfReplicas: 1 つ以上のポッドに待機コンテナがあるため、アドオンが異常です CrashLoopBackOff: Completed

ポッドに関連付けられたログを表示し、問題を特定できます。これを行う方法については、Kubernetes ドキュメントの「実行中のポッドのデバッグ」を参照してください。

次のチェックリストを使用して、このアドオンの問題をトラブルシューティングします。

EKS アドオンの問題 - InsufficientNumberOfReplicas: 1 つ以上のポッドに待機コンテナがあるため、アドオンが異常です CrashLoopBackOff: Error

ポッドに関連付けられたログを表示し、問題を特定できます。これを行う方法については、Kubernetes ドキュメントの「実行中のポッドのデバッグ」を参照してください。

問題を特定したら、次のチェックリストを使用してトラブルシューティングを行います。

EKS アドオンの問題 - AdmissionRequestDenied: 許可ウェブフック "validate.kyverno.svc-fail" がリクエストを拒否しました: リソース違反のポリシー DaemonSet/amazon-guardduty/aws-guardduty-agent: restrict-image-registries: autogen-validate-registries:...

EKS アドオンの問題 - ConfigurationConflict: 適用しようとしたときにコンフリクトが見つかりました。コンフリクト解決モードのため、続行できません。Conflicts: DaemonSet.apps aws-guardduty-agent - .spec.template.spec.containers[name="aws-guardduty-agent"].image

アドオンを作成または更新するときは、OVERWRITE コンフリクト解決フラグを指定してください。これにより、Kubernetes API を使用して Kubernetes の関連リソースに直接加えられた変更が上書きされる可能性があります。

最初にクラスターから Amazon EKS アドオンを削除してから再インストールできます。

EKS アドオンの問題 - AccessDenied: priorityclasses.scheduling.k8s.io "aws-guardduty-agent.priorityclass" is forbidden: User "eks:addon-manager" cannot patch resource "priorityclasses" in API group "scheduling.k8s.io" at the cluster scope

不足している権限を手動で eks:addon-cluster-admin ClusterRoleBinding に追加する必要があります。以下を yaml から eks:addon-cluster-admin に追加します。

---
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: eks:addon-cluster-admin
subjects:
- kind: User
  name: eks:addon-manager
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
---

次のコマンドを使用して、この yaml を Amazon EKS クラスターに適用できるようになります。

kubectl apply -f eks-addon-cluster-admin.yaml

AddonUpdationFailed: EKSAddonIssue - AccessDenied: namespaces\"amazon-guardduty\"isforbidden:User\"eks:addon-manager\"cannotpatchresource\"namespaces\"inAPIgroup\"\"inthenamespace\"amazon-guardduty\"

EKS アドオンの問題 - AccessDenied: admission webhook "validation.gatekeeper.sh" denied the request: [all-namespace-must-have-label-owner] All namespaces must have an `owner` label

コントローラを無効にするか、コントローラが Amazon EKS クラスターからのリクエストを受け付けるようにする必要があります。

アドオンを作成または更新する前に、GuardDuty 名前空間を作成して owner というラベルを付けることもできます。

EKS アドオンの問題 - AccessDenied: admission webhook "validation.gatekeeper.sh" denied the request: [all-namespace-must-have-label-owner] All namespaces must have an `owner` label

コントローラを無効にするか、コントローラが Amazon EKS クラスターからのリクエストを受け付けるようにする必要があります。

アドオンを作成または更新する前に、GuardDuty 名前空間を作成して owner というラベルを付けることもできます。

EKS アドオンの問題 - AccessDenied: admission webhook "validation.gatekeeper.sh" denied the request: [allowed-container-registries] container <aws-guardduty-agent> has an invalid image registry

GuardDuty のイメージレジストリをアドミッションコントローラーallowed-container-registriesの に追加します。詳細については、「」の「EKS v1.8.1-eks-build.2 の ECR リポジトリ」を参照してくださいAmazon ECR リポジトリホスティング GuardDuty エージェント。