本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

App Mesh 設定疑難排解

本主題詳細說明您在 App Mesh 設定時可能遇到的常見問題。

無法提取 Envoy 容器映像

徵狀

您在 Amazon ECS 任務中收到下列錯誤訊息。以下訊息中的 Amazon ECR 帳戶 ID 和區域可能不同，具體取決於您提取容器映像的 Amazon ECR 儲存庫。

CannotPullContainerError: Error response from daemon: pull access denied for 840364872350.dkr.ecr.us-west-2.amazonaws.com/aws-appmesh-envoy, repository does not exist or may require 'docker login'

Resolution

此錯誤表示正在使用的任務執行角色沒有與 Amazon ECR 通訊的許可，而且無法從儲存庫提取 Envoy 容器映像。指派給 Amazon ECS 任務的任務執行角色需要具有下列陳述式的 IAM 政策：

{
  "Action": [
    "ecr:BatchCheckLayerAvailability",
    "ecr:GetDownloadUrlForLayer",
    "ecr:BatchGetImage"
  ],
  "Resource": "arn:aws:ecr:us-west-2:111122223333:repository/aws-appmesh-envoy",
  "Effect": "Allow"
},
{
  "Action": "ecr:GetAuthorizationToken",
  "Resource": "*",
  "Effect": "Allow"
}

如果您的問題仍未解決，請考慮開啟 GitHub 問題或聯絡 AWS Support。

無法連線至 App Mesh Envoy 管理服務

徵狀

您的 Envoy 代理無法連線至 App Mesh Envoy 管理服務。您看到：

Resolution

請確定您的 Envoy 代理可存取網際網路或私有 VPC 端點，且您的安全群組允許連接埠 443 上的傳出流量。App Mesh 的公有 Envoy 管理服務端點遵循完整網域名稱 (FQDN) 格式。

# App Mesh Production Endpoint
appmesh-envoy-management.Region-code.amazonaws.com

# App Mesh Preview Endpoint
appmesh-preview-envoy-management.Region-code.amazonaws.com

您可以使用以下命令來偵錯 EMS 的連線。這會將有效但空白的 gRPC 請求傳送至 Envoy Management Service。

curl -v -k -H 'Content-Type: application/grpc' -X POST https://appmesh-envoy-management.Region-code.amazonaws.com:443/envoy.service.discovery.v3.AggregatedDiscoveryService/StreamAggregatedResources

如果您收到這些訊息，則與 Envoy Management Service 的連線會正常運作。如需偵錯 gRPC 相關錯誤，請參閱 Envoy 中與 App Mesh Envoy 管理服務中斷連線的錯誤與錯誤文字。

grpc-status: 16
grpc-message: Missing Authentication Token

如果您的問題仍未解決，請考慮開啟 GitHub 問題或聯絡 AWS Support。

Envoy 已中斷與 App Mesh Envoy 管理服務的連線，並顯示錯誤文字

徵狀

您的 Envoy 代理程式無法連線至 App Mesh Envoy 管理服務並接收其組態。您的 Envoy 代理日誌包含如下所示的日誌項目。

gRPC config stream closed: gRPC status code, message

Resolution

在大多數情況下，日誌的訊息部分應指出問題。下表列出您可能看到的最常見 gRPC 狀態碼、其原因及其解析度。

您可以使用下列查詢，透過 Amazon CloudWatch Insights 觀察 Envoy 代理的狀態碼和訊息：

filter @message like /gRPC config stream closed/
| parse @message "gRPC config stream closed: *, *" as StatusCode, Message

如果提供的錯誤訊息沒有幫助，或您的問題仍未解決，請考慮開啟 GitHub 問題。

Envoy 容器運作狀態檢查、準備程度探查或即時性探查失敗

徵狀

您的 Envoy 代理在 Amazon ECS 任務、Amazon EC2 執行個體或 Kubernetes Pod 中運作狀態檢查失敗。例如，您可以使用下列命令查詢 Envoy 管理介面，並接收 以外的狀態LIVE。

curl -s http://my-app.default.svc.cluster.local:9901/server_info | jq '.state'

Resolution

以下是修復步驟的清單，取決於 Envoy 代理傳回的狀態。

如果您的問題仍未解決，請考慮開啟 GitHub 問題或聯絡 AWS Support。

從負載平衡器到網格端點的運作狀態檢查失敗

徵狀

容器運作狀態檢查或整備調查會將您的網格端點視為運作狀態良好，但從負載平衡器到網格端點的運作狀態檢查失敗。

Resolution

若要解決問題，請完成下列任務。

如果您的問題仍未解決，請考慮開啟 GitHub 問題或聯絡 AWS Support。

虛擬閘道不接受連接埠 1024 或以下的流量

徵狀

您的虛擬閘道不接受連接埠 1024 或更少的流量，但接受連接埠號碼大於 1024 的流量。例如，您可以使用下列命令查詢 Envoy 統計資料，並接收零以外的值。

curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "update_rejected"

您可能會在日誌中看到類似下列文字的文字，說明無法繫結至特權連接埠：

gRPC config for type.googleapis.com/envoy.api.v2.Listener rejected: Error adding/updating listener(s) lds_ingress_0.0.0.0_port_<port num>: cannot bind '0.0.0.0:<port num>': Permission denied

Resolution

若要解決問題，為閘道指定的使用者需要具有 linux 功能 CAP_NET_BIND_SERVICE。如需詳細資訊，請參閱 Linux 程式師手冊中的功能、ECS 任務定義參數中的 Linux 參數，以及 Kubernetes 文件中的設定容器的功能。

如果您的問題仍未解決，請考慮開啟 GitHub 問題或聯絡 AWS Support。