Container Service for Kubernetes：工作負載FAQ

在ACK叢集中使用容器運行應用的大致流程是什嗎？

1. 通過kubectl get命令以YAML格式匯出資源配置。

   kubectl get deploy <deployment-name> -n <old-namespace> -o yaml > deployment.yaml

2. 編輯deployment.yaml，將namespace參數替換成新的命名空間後儲存並退出。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     annotations:
     generation: 1
     labels:
       app: nginx
     name: nginx-deployment
     namespace: new-namespace # 替換為新的命名空間。
     ... ...

3. 使用kubectl apply命令將服務更新至新命名空間。

   kubectl apply -f deployment.yaml 

4. 使用kubectl get命令在新命名空間下查看服務。

   kubectl get deploy -n new-namespace

如何將Pod資訊呈現給容器？

ACK與社區Kubernetes保持一致性，遵循社區規範。將Pod資訊呈現給容器時可通過兩種方式：

• 環境變數：通過設定環境變數的方式，將Pod的資訊傳遞給容器。

• 通過檔案方式：通過掛載檔案的方式，將Pod的資訊以檔案的形式提供給容器。

如何使用imagePullSecrets？

2024年09月09日及之後建立的ACR個人版不支援使用免密組件。使用建立的ACR個人版執行個體時，建議通過Secret儲存使用者名稱與登入密碼的方式，在imagePullSecrets欄位中使用。

1. 執行以下命令並替換其中的參數，即可通過使用者名稱和密碼建立密鑰Secret。

   kubectl create secret docker-registry image-secret \
     --docker-server=<ACR-registry> \
     --docker-username=<username> \
     --docker-password=<password> \
     --docker-email=<email@example.com>

   • docker-server：填入ACR執行個體地址，需與鏡像地址的網路類型相同（內網或公網地址）。

   • docker-username：ACR訪問憑證使用者名稱。

   • docker-password：ACR訪問憑證密碼。

   • docker-email：選填。

2. 建立Secret後，可以通過在Service Account或工作負載中配置imagePullSecrets欄位使用使用者名稱和密碼。

   通過Service Account使用

   在Service Account中添加imagePullSecrets欄位，以default命名空間的預設Service Account default為例：

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: default
     namespace: default
   imagePullSecrets:
   - name: image-secret # 填入ACR密鑰Secret

   工作負載在使用該Service Account時，即可拉取鏡像。

   apiVersion: apps/v1
   kind: Deployment 
   metadata:
     name: nginx-test
     namespace: default 
     labels:
       app: nginx
   spec:
     serviceAccountName: default # 如果使用命名空間預設SA，可以不指定
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx 
       spec:
         containers:
         - name: nginx 
           image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # 替換為ACR執行個體連結

   在工作負載中直接使用

   在工作負載中通過imagePullSecrets欄位使用密鑰。

   apiVersion: apps/v1
   kind: Deployment 
   metadata:
     name: nginx-test
     namespace: default 
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx 
       spec:
         imagePullSecrets:
         - name: image-secret  # 使用上一步建立的Secret
         containers:
         - name: nginx 
           image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # 替換為ACR倉庫的鏡像地址

為什麼配置免密組件後仍然拉取失敗？

一個可能的原因是免密組件配置錯誤，例如：

• 免密組件中的執行個體資訊與ACR執行個體不符。

• 拉取鏡像使用的鏡像地址與免密組件中執行個體資訊的網域名稱不符。

請按照同帳號拉取鏡像中的操作進行排查。

如組件配置正確時，仍出現了拉取失敗情況，可能是因工作負載YAML中手動填入的imagePullSecrets與免密組件產生衝突。請手動刪除imagePullSecrets欄位，並刪除舊Pod重建以解決此問題。

為什麼開啟節點池鏡像加速後，在新增節點容器啟動失敗？

為節點池開啟容器鏡像加速後，容器啟動失敗，且報錯為：

failed to create containerd container: failed to attach and mount for snapshot 46: failed to enable target for /sys/kernel/config/target/core/user_99999/dev_46, failed:failed to open remote file as tar file xxxx

該問題的原因是：開啟容器鏡像加速後，如需拉取私人鏡像，必須同時安裝aliyun-acr-acceleration-suite組件，並配置拉取憑證，請參見配置容器鏡像拉取憑證。