Ajudar a melhorar esta página

Para contribuir com este guia de usuário, escolha o link Editar esta página no GitHub, disponível no painel direito de cada página.

Solução de problemas das funcionalidades do EKS

Abordagem geral para a solução de problemas

Ao solucionar problemas das funcionalidades do EKS, siga esta abordagem geral:

Usar logs do controlador para solucionar problemas

Se você configurou a entrega de logs do controlador (consulte Acessar logs do controlador de Funcionalidades do EKS), poderá consultar os logs para identificar erros de reconciliação, conflitos de recursos e problemas de configuração.

Consultar erros em todos os controladores

fields @timestamp, controller, message, error
| filter level = "error"
| sort @timestamp desc
| limit 50

Filtrar logs para um determinado controlador de serviço do ACK

Use o campo controllerGroup para isolar os logs de um determinado controlador de serviço do ACK:

fields @timestamp, message, error
| filter controllerGroup = "s3.services.k8s.aws"
| filter level = "error"
| sort @timestamp desc

Para filtrar ainda mais por tipo de recurso (por exemplo, somente logs de SecurityGroup do controlador do EC2):

fields @timestamp, message, error
| filter controllerGroup = "ec2.services.k8s.aws"
| filter controllerKind = "SecurityGroup"
| sort @timestamp desc
| limit 100

Filtrar logs de uma aplicação específica do Argo CD

Use o campo application para isolar os logs de uma aplicação específica do Argo CD:

fields @timestamp, message, error
| filter application = "my-application"
| sort @timestamp desc
| limit 100

Acompanhar a reconciliação de um recurso específico

Use o campo reconcileID para seguir um único ciclo de reconciliação:

fields @timestamp, level, message, error
| filter reconcileID = "your-reconcile-id"
| sort @timestamp asc

Padrões de log comuns que indicam problemas

Verificação da integridade da funcionalidade

Todas as funcionalidades do EKS fornecem informações de integridade por meio do console do EKS e da API describe-capability.

Console do:

A guia Funcionalidades apresenta:

AWS CLI:

aws eks describe-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-capability-name
      

A resposta inclui:

Status comuns das funcionalidades

CREATING: a funcionalidade está sendo configurada.

ACTIVE: a funcionalidade está em execução e pronta para uso. Caso os recursos não estejam funcionando como esperado, verifique o status desses recursos e as permissões do IAM.

UPDATING: as alterações de configuração estão sendo aplicadas. Aguarde até que o status retorne para ACTIVE.

CREATE_FAILED ou UPDATE_FAILED: o processo de criação ou de atualização apresentou um erro. Confira a seção destinada à integridade para obter mais detalhes. Causas comuns:

Verificação do status dos recursos do Kubernetes

As funcionalidades do EKS criam e gerenciam definições de recursos personalizados (CRDs, na sigla em inglês) do Kubernetes em seu cluster. Ao solucionar problemas, verifique o status dos recursos que você criou:

# List resources of a specific type
kubectl get resource-kind -A

# Describe a specific resource to see conditions and events
kubectl describe resource-kind
         resource-name -n namespace

# View resource status conditions
kubectl get resource-kind
         resource-name -n namespace -o jsonpath='{.status.conditions}'

# View events related to the resource
kubectl get events --field-selector involvedObject.name=resource-name -n namespace
      

As condições de status do recurso fornecem informações sobre:

Análise das permissões do IAM e do acesso ao cluster

Diversos problemas relacionados às funcionalidades são causados por permissões inadequadas no IAM ou pela falta de configuração de acesso ao cluster. Verifique tanto as permissões do perfil da funcionalidade quanto as entradas de acesso ao cluster.

Verificação das permissões do perfil do IAM

Confirme se o perfil da funcionalidade detém todas as permissões necessárias:

# List attached managed policies
aws iam list-attached-role-policies --role-name my-capability-role

# List inline policies
aws iam list-role-policies --role-name my-capability-role

# Get specific policy details
aws iam get-role-policy --role-name my-capability-role --policy-name policy-name

# View the role's trust policy
aws iam get-role --role-name my-capability-role --query 'Role.AssumeRolePolicyDocument'

É necessário que a política de confiança autorize a entidade principal do serviço capabilities.eks.amazonaws.com:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "capabilities.eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Verificação das entradas de acesso e das políticas de acesso do EKS

Todas as funcionalidades necessitam de entradas de acesso e de políticas de acesso apropriadas no cluster em que são executadas.

Verifique se a entrada de acesso existe:

aws eks list-access-entries \
  --cluster-name my-cluster \
  --region region-code
         

Procure o ARN do perfil da funcionalidade na lista. Se estiver ausente, a funcionalidade não poderá acessar o cluster.

Verifique as políticas de acesso anexadas à entrada:

aws eks list-associated-access-policies \
  --cluster-name my-cluster \
  --principal-arn arn:aws:iam::111122223333:role/my-capability-role \
  --region region-code
         

Todas as funcionalidades requerem políticas de acesso apropriadas:

Para implantações de vários clusters do Argo CD:

Ao realizar implantações em clusters remotos, assegure-se de que o perfil da funcionalidade disponha de uma entrada de acesso em cada cluster de destino:

# Check Access Entry on target cluster
aws eks describe-access-entry \
  --cluster-name target-cluster \
  --principal-arn arn:aws:iam::111122223333:role/argocd-capability-role \
  --region region-code
         

Se a entrada de acesso estiver ausente em algum cluster de destino, o Argo CD não conseguirá implantar aplicações nele. Consulte Registro de clusters de destino para obter detalhes sobre a configuração.

Solução de problemas específicas por funcionalidade

Para obter orientações detalhadas de solução de problemas específicas relacionadas a cada tipo de funcionalidade:

Problemas comuns em todas as funcionalidades

Funcionalidade travada no estado CREATING

Se uma funcionalidade permanecer no estado CREATING por mais tempo do que o esperado:

Recursos não estão sendo criados ou atualizados

Caso a funcionalidade esteja ACTIVE, mas os recursos não estejam sendo criados ou atualizados:

Problemas de integridade da funcionalidade

Se o comando describe-capability apresentar problemas de integridade:

Próximas etapas