Container Service for Kubernetes:コンソールからのクラスターアクセスに関する問題のトラブルシューティング

現在のクラスターの API サーバーリクエストの例外：ErrorQueryClusterNamespace または APIServer.500

現象

原因

API サーバーの負荷分散の構成またはステータスが異常なため、Container Service のコントロールプレーンとクラスターの API サーバー間の接続に失敗します。

ソリューション

1. Container Service for Kubernetes (ACK) コンソールにログインします。左側のナビゲーションウィンドウで、クラスターリスト をクリックします。

2. クラスターリスト ページで、対象クラスターの名前をクリックします。左側のナビゲーションウィンドウで、クラスター情報 をクリックします。

3. 基本情報 タブで、API サーバーの SLB のインスタンス ID をクリックして、SLB コンソールに移動します。

   • UI に ロードバランサー ID が存在しませんと表示された場合、API サーバーの負荷分散インスタンスが削除またはリリースされており、クラスターは回復できません。「ACK マネージドクラスターの作成」をご参照のうえ、クラスターを再作成してください。

   • インスタンスが存在する場合は、次のステップに進みます。

4. 負荷分散インスタンスの ステータス が 実行中 であるかどうかを確認します。

   • 実行中でない場合は、インスタンスの支払いが遅延しているか、期限切れになっていないかを確認します。その場合は、インスタンスを更新して有効化します。SLB の料金滞納についての詳細は、「料金滞納について」をご参照ください。

   • 「はい」の場合、次のステップに進んでください。

5. リスナー をクリックし、フロントエンドとバックエンドの両方に TCP:6443 リスナーが存在し、その ステータス が 実行中 であることを確認します。

   • そうでない場合、API サーバーの負荷分散リスナーが変更されていることを示します。

     • リスナーが 無効化 状態の場合は、リスナーを選択して 有効化 をクリックします。

     • リスナーが存在しない場合は、次の手順を実行します。

       • ACK マネージドクラスターの場合：します。

       • ACK 専用クラスターの場合：すべてのクラスター Master ノードがデフォルトサーバーグループに追加されていることを確認します。次に、フロントエンドとバックエンドの両方を TCP:6443 に設定したリスナーを作成します。リスナーのバックエンドを デフォルトのサーバーグループ に設定し、リスナーを有効化します。詳細については、「TCP リスナーの追加」をご参照ください。

   • はいの場合、次の ステップに進んでください。

6. リスナーの ヘルスチェックステータス が 正常 であるかどうかを確認します。

   • 正常でない場合、API サーバーの負荷分散バックエンドが異常であることを示します。

     • ACK マネージドクラスターの場合：します。

     • ACK 専用クラスターについては、以下のステップに従ってトラブルシューティングを行ってください。問題が解決しない場合は、チケットを送信してください。

       • ACK コンソールで、ノード > ノード に移動します。各 Master インスタンスについて、対応する Elastic Compute Service (ECS) インスタンス ID をクリックして ECS コンソールに移動し、インスタンスが 実行中 状態であることを確認します。

       • ECS コンソールで、各 Master ノードにリモートでログインし、API サーバーコンテナが正常に実行されているかどうかを確認します。

         1. マスターノードへのログインについては、「接続方法」をご参照ください。

         2. コンテナランタイムに基づいて、API サーバーコンテナのステータスを確認します。

            • Docker ランタイム：docker ps | grep kube-apiserver コマンドを実行し、出力に基づいて docker inspect コマンドを使用してコンテナのステータスを確認します。

            • containerd ランタイム：crictl ps | grep kube-apiserver コマンドを実行し、出力に基づいて crictl inspect コマンドを使用してコンテナのステータスを確認します。

   • 「はい」の場合は、次のステップに進んでください。

7. 指定されたリスナーでアクセス制御が有効になっているかどうかを確認します。

   • 有効になっている場合、API サーバーの負荷分散リスナーのアクセス制御ホワイトリストが正しく構成されていないことを示します。アクセス制御ポリシーのホワイトリストに、アドレスブロック 100.104.0.0/16 を追加する必要があります。このアドレスブロックは、ACK コントロールプレーンから API サーバーに内部アクセスするリクエストのソースアドレスブロックです。

   • 「いいえ」の場合は、次のステップに進みます。

8. 上記のいずれにも当てはまらない場合は、チケットを送信してください。

Pod ログアクセス時の API サーバーリクエストの異常

現在のアカウントに操作に必要なクラスター RBAC 権限が付与されていない：ForbiddenQueryClusterNamespace または APISERVER.403

現象

原因

お使いのアカウントには、この操作に必要なクラスター RBAC 権限がありません。

ソリューション

1. Alibaba Cloud アカウント (root ユーザー) または管理者権限を持つアカウントで ACK コンソールにログインします。左側のナビゲーションウィンドウで、承認 を選択します。

2. RAM ユーザー タブで、エラーが発生したユーザーを見つけ、ユーザー名の右側にある アクセス権限の管理 をクリックします。

3. ロール権限の追加 をクリックし、必要なクラスター、名前空間、および権限を選択してから、送信 をクリックします。

現在のアカウントに操作に必要な RAM 権限がない：StatusForbidden

症状

原因

お使いのアカウントには、この操作に必要な Resource Access Management (RAM) 権限がありません。

ソリューション

1. Alibaba Cloud アカウント (root ユーザー) または RAM 権限を持つアカウントを使用して、RAM コンソールにログインします。

2. エラーページに表示される CS 情報に基づいて、cs:DescribeKubernetesVersionMetadata などの必要な権限をアカウントに追加します。詳細については、「RAM を使用したクラスターとクラウドリソースへの権限付与」をご参照ください。