Container Intelligent Service (CIS) propose un diagnostic de l'Ingress pour vous aider à identifier et corriger les problèmes courants liés à l'Ingress. Cette fonctionnalité exécute des vérifications dans trois catégories : les ressources Ingress, le module complémentaire (Addon) (paramètres de démarrage du contrôleur, services associés et pods), ainsi que l'instance Server Load Balancer (SLB).
Important
Lorsque vous exécutez le diagnostic de l'Ingress, CIS lance un programme de collecte de données sur chaque nœud du cluster. Ce programme recueille des informations au niveau du système : version du système, état de charge, statut Docker, statut kubelet et entrées d'erreur clés des journaux système. Aucune donnée métier ni information sensible n'est collectée.
Remarque
Les éléments de diagnostic disponibles dépendent de la configuration de votre cluster. Les éléments affichés sur la page de diagnostic font autorité.
Catégories de diagnostic
| Catégorie | Éléments vérifiés |
|---|---|
| Ingress | Disponibilité des ressources Ingress |
| Addon | Paramètres de démarrage du contrôleur Ingress, service associé à l'Ingress et pods Ingress |
| SLB | État de l'instance SLB utilisée par le contrôleur Ingress, y compris le nombre maximal de connexions, les QPS et l'état de santé |
Ingress
| Élément de diagnostic | Description | Résolution |
|---|---|---|
| Vérification de l'Ingress | Vérifie si l'Ingress spécifié existe. | Assurez-vous qu'une règle Ingress existe pour l'URL. Si l'URL est correcte, inspectez les règles Ingress — par exemple, vérifiez si une expression régulière est spécifiée comme chemin ou si l'annotation use-regex est définie. |
| Vérification base-url-scheme | Détecte l'utilisation de l'annotation nginx.ingress.kubernetes.io/base-url-scheme, qui a été dépréciée dans le contrôleur Ingress 0.22.0. |
Vérifiez la version du contrôleur Ingress, puis supprimez cette annotation ou remplacez-la par une annotation prise en charge. |
| Vérification grpc-backend | Détecte l'utilisation de l'annotation nginx.ingress.kubernetes.io/grpc-backend, qui a été dépréciée dans le contrôleur Ingress 0.21.0. |
Vérifiez la version du contrôleur Ingress, puis supprimez cette annotation ou remplacez-la par une annotation prise en charge. |
| Vérification mirror-uri | Détecte l'utilisation de l'annotation nginx.ingress.kubernetes.io/mirror-uri, qui a été dépréciée dans le contrôleur Ingress 0.24.0. |
Vérifiez la version du contrôleur Ingress, puis supprimez cette annotation ou remplacez-la par une annotation prise en charge. |
| Vérification secure-backends | Détecte l'utilisation de l'annotation nginx.ingress.kubernetes.io/secure-backends, qui a été dépréciée dans le contrôleur Ingress 0.21.0. |
Vérifiez la version du contrôleur Ingress, puis supprimez cette annotation ou remplacez-la par une annotation prise en charge. |
| Vérification session-cookie-hash | Détecte l'utilisation de l'annotation nginx.ingress.kubernetes.io/session-cookie-hash, qui a été dépréciée dans le contrôleur Ingress 0.24.0. |
Vérifiez la version du contrôleur Ingress, puis supprimez cette annotation ou remplacez-la par une annotation prise en charge. |
| Vérification nginx.com/nginx.org | Détecte les annotations préfixées par nginx.com/nginx.org. Ces annotations sont spécifiques au contrôleur Ingress NGINX commercial et ne sont pas reconnues par la version open source. |
Remplacez-les par des annotations prises en charge par le contrôleur Ingress NGINX open source. Pour plus de détails, consultez Gestion de l'Ingress NGINX ou la documentation officielle. |
| État de Canary | Vérifie si nginx.ingress.kubernetes.io/canary: "true" est défini. Sans cette annotation, la fonctionnalité Canary ne prend pas effet. |
Ajoutez l'annotation nginx.ingress.kubernetes.io/canary: "true" aux règles Ingress pour activer le routage canari. |
Addon
| Élément de diagnostic | Description | Résolution |
|---|---|---|
| Pourcentage de pods Ingress à l'état Ready | Vérifie le pourcentage de pods Ingress à l'état Ready. Une valeur inférieure à 100 % peut indiquer un problème. | Consultez les journaux d'erreurs pour identifier et corriger les pods défaillants. Voir Dépannage du contrôleur Ingress NGINX. |
| Vérification de l'adresse IP de l'Ingress | Vérifie si le contrôleur Ingress a attribué une adresse IP à l'Ingress. | Si aucune adresse IP n'est attribuée, vérifiez que le contrôleur Ingress est référencé dans l'IngressClass de l'Ingress et que le contrôleur fonctionne correctement. Corrigez les problèmes identifiés selon les résultats du diagnostic. |
| Vérification du pod leader | Vérifie si un pod leader a été élu. L'absence de pod leader peut indiquer que le temps de démarrage du pod est trop court ou que les permissions du contrôleur Ingress sont mal configurées. | Consultez les journaux d'erreurs des pods Ingress et corrigez les erreurs signalées. Voir Dépannage du contrôleur Ingress NGINX. |
| Annotations NGINX Ingress incorrectes | Vérifie la présence d'annotations préfixées par nginx.com/nginx.org. Le contrôleur Ingress NGINX open source ne reconnaît que les annotations préfixées par nginx.ingress.kubernetes.io. Si vous utilisez des annotations commençant par nginx.com/nginx.org, vos configurations peuvent devenir invalides ou ne pas répondre à vos besoins. |
Remplacez-les par les annotations prises en charge par le contrôleur open source. Voir Annotations. |
| Utilisation de groupes de capture avec rewrite-target dans les Ingress NGINX | Vérifie si l'annotation rewrite-target est utilisée avec des groupes de capture. Dans le contrôleur Ingress 0.22.0 et versions ultérieures, les groupes de capture doivent être explicitement spécifiés lors de l'utilisation de rewrite-target. En leur absence, des erreurs de transfert de trafic se produisent. |
Configurez correctement l'Ingress. Voir Configurations avancées de l'Ingress NGINX. |
| Règles canari de l'Ingress NGINX | Vérifie si plus de deux services sont spécifiés dans service-match ou service-weight. Chaque champ prend en charge la distribution du trafic entre exactement deux services. Tout service au-delà du deuxième est ignoré, ce qui peut entraîner un comportement inattendu du routage du trafic. |
Ajustez la configuration de sorte que service-match ou service-weight ne référence pas plus de deux services. |
| Nom de l'Ingress | Affiche les noms des règles Ingress correspondantes. | Aucun. |
| Journaux d'erreurs des pods | Vérifie si les pods du contrôleur Ingress génèrent des journaux d'erreurs. Les journaux d'erreurs indiquent que le contrôleur peut ne pas fonctionner comme prévu. | Examinez les journaux d'erreurs pour identifier la cause et corriger le problème. Voir Dépannage du contrôleur Ingress NGINX. |
| Utilisation de groupes de capture dans les chemins de rewrite-target | Vérifie si des groupes de capture sont spécifiés dans l'annotation nginx.ingress.kubernetes.io/rewrite-target. Dans le contrôleur Ingress 0.22.0 et versions ultérieures, les groupes de capture sont requis. En leur absence, des erreurs de chemin peuvent se produire. |
Configurez correctement l'Ingress. Voir Configurer des règles de routage pour rediriger le trafic depuis des URL spécifiques. |
| Cibles multiples dans service-* | Vérifie si plus de deux services sont spécifiés dans service-match ou service-weight. Le trafic ne peut être distribué qu'entre deux services à la fois. |
Configurez service-weight ou service-match pour ne référencer pas plus de deux services. Voir Utiliser le contrôleur Ingress NGINX pour implémenter des déploiements canaris et bleu-vert. |
| Vérification du service Ingress | Vérifie si le service référencé dans les paramètres de démarrage du contrôleur Ingress existe. La suppression d'un service empêche le démarrage du contrôleur Ingress. | Localisez le nom du service supprimé dans les paramètres de démarrage du Deployment et restaurez-le. Voir Opérations à haut risque liées aux réseaux et aux instances SLB. |
| Vérification des points de terminaison du service Ingress | Vérifie si le service associé à l'Ingress dispose de points de terminaison. Sans points de terminaison, l'instance SLB ne peut pas router le trafic vers le contrôleur Ingress. | Vérifiez que le sélecteur d'étiquettes du service correspond aux bons pods. |
| Événements du service Ingress | Vérifie si le service associé à l'Ingress a généré des événements Warning ou Error. Ces événements indiquent souvent des erreurs de configuration SLB. | Examinez les événements du service pour identifier et corriger la cause. Voir Erreurs de service et solutions. |
| Politique de trafic externe du service Ingress | Vérifie la politique de trafic externe du service. La politique par défaut est Local ; elle peut également être définie sur Cluster. En mode Cluster, les adresses IP des clients peuvent ne pas être conservées, ce qui peut entraîner des résultats incorrects lors des checks de santé. | Utilisez le mode Local sauf si votre charge de travail nécessite le mode Cluster ou si vous devez accéder au contrôleur Ingress via l'adresse IP SLB depuis l'intérieur du cluster. |
| Adresse IP externe du service Ingress | Vérifie si le gestionnaire de contrôleur cloud a attribué une adresse IP externe au service. Sans celle-ci, l'Ingress ne peut pas recevoir de trafic depuis Internet. | Vérifiez l'état du service, l'état du gestionnaire de contrôleur cloud et votre quota SLB. La plupart des problèmes apparaissent sous forme d'événements de service. |
| Type de service Ingress (LoadBalancer) | Vérifie si le service référencé dans les paramètres de démarrage du contrôleur Ingress est de type LoadBalancer. Un type de service autre que LoadBalancer rend le contrôleur Ingress inaccessible via Internet. | Modifiez le type de service en LoadBalancer sauf si votre charge de travail ne nécessite pas d'accès Internet. |
| Vérification --force-namespace-isolation | Détecte l'utilisation du paramètre de démarrage --force-namespace-isolation, qui a été déprécié dans le contrôleur Ingress 0.24.0. |
Vérifiez la version du contrôleur Ingress, puis supprimez ce paramètre de démarrage. |
| Vérification --sort-backends | Détecte l'utilisation du paramètre de démarrage --sort-backends, qui a été déprécié dans le contrôleur Ingress 0.22.0. |
Vérifiez la version du contrôleur Ingress, puis supprimez ce paramètre de démarrage. |
SLB
| Élément de diagnostic | Description | Résolution |
|---|---|---|
| Instance SLB | Vérifie si l'instance SLB utilisée par le contrôleur Ingress existe. | Si l'instance SLB est manquante, vérifiez le service associé et ses événements, puis consultez la console SLB. Si l'instance a été supprimée accidentellement, recréez le service pour en provisionner une nouvelle. Voir Que faire si je supprime accidentellement une instance SLB ? |
| Santé des serveurs backend de l'instance SLB du contrôleur Ingress | Vérifie l'état de santé des serveurs backend SLB. | Si les serveurs backend sont indisponibles, examinez les événements du service référencé par le contrôleur Ingress et vérifiez si les pods du contrôleur sont surchargés. Voir Dépannage du contrôleur Ingress NGINX. |
| ID SLB | Affiche l'ID de l'instance SLB. | Aucun. |
| Connexions de l'instance SLB du contrôleur Ingress | Vérifie si le nombre de connexions sur l'instance SLB au cours des trois derniers jours a dépassé 80 % de la limite supérieure. L'atteinte de cette limite empêche les clients d'établir de nouvelles connexions. | Si les connexions ont atteint la limite supérieure, mettez à niveau l'instance SLB pour éviter les interruptions de service. Voir Utiliser une instance SLB existante. |
| Taux de nouvelles connexions de l'instance SLB du contrôleur Ingress | Vérifie si le taux de nouvelles connexions sur l'instance SLB au cours des trois derniers jours a dépassé 80 % de la limite supérieure. L'atteinte de cette limite empêche temporairement les nouvelles connexions client. | Si le taux de nouvelles connexions a atteint la limite supérieure, mettez à niveau l'instance SLB pour éviter les interruptions de service. Voir Utiliser une instance SLB existante. |
| QPS de l'instance SLB du contrôleur Ingress | Vérifie si les QPS de l'instance SLB au cours des trois derniers jours ont dépassé 80 % de la limite supérieure. L'atteinte de cette limite empêche les clients de se connecter. | Si les QPS ont atteint la limite supérieure, mettez à niveau l'instance SLB pour éviter les interruptions de service. Voir Utiliser une instance SLB existante. |
| Host et SecretName pour TLS | Vérifie si les paramètres Host et SecretName sont tous deux spécifiés dans la configuration TLS de l'Ingress. Les deux sont requis. |
Spécifiez à la fois Host et SecretName, et assurez-vous que la valeur host correspond au nom d'hôte du certificat. |
| Check de santé SLB du contrôleur Ingress | Vérifie si l'instance SLB a échoué aux checks de santé au cours des trois derniers jours. Les échecs indiquent que les pods du contrôleur peuvent être surchargés ou que la configuration SLB contient des erreurs. | En cas d'échec des checks de santé, examinez les événements du service référencé par le contrôleur Ingress et vérifiez que le contrôleur n'est pas surchargé. Voir Dépannage du contrôleur Ingress NGINX. |