容器服务 Kubernetes 版 ACK：工作负载FAQ

在ACK集群中使用容器运行应用的大致流程是什么？

1. 通过kubectl get命令以YAML格式导出资源配置。

   kubectl get deploy <deployment-name> -n <old-namespace> -o yaml > deployment.yaml

2. 编辑deployment.yaml，将namespace参数替换成新的命名空间后保存并退出。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     annotations:
     generation: 1
     labels:
       app: nginx
     name: nginx-deployment
     namespace: new-namespace # 替换为新的命名空间。
     ... ...

3. 使用kubectl apply命令将服务更新至新命名空间。

   kubectl apply -f deployment.yaml 

4. 使用kubectl get命令在新命名空间下查看服务。

   kubectl get deploy -n new-namespace

如何将Pod信息呈现给容器？

ACK与社区Kubernetes保持一致性，遵循社区规范。将Pod信息呈现给容器时可通过两种方式：

• 环境变量：通过设置环境变量的方式，将Pod的信息传递给容器。

• 通过文件方式：通过挂载文件的方式，将Pod的信息以文件的形式提供给容器。

如何使用imagePullSecrets？

2024年09月09日及之后新建的ACR个人版不支持使用免密组件。使用新建的ACR个人版实例时，建议通过Secret保存用户名与登录密码的方式，在imagePullSecrets字段中使用。

1. 执行以下命令并替换其中的参数，即可通过用户名和密码创建密钥Secret。

   kubectl create secret docker-registry image-secret \
     --docker-server=<ACR-registry> \
     --docker-username=<username> \
     --docker-password=<password> \
     --docker-email=<email@example.com>

   • docker-server：填入ACR实例地址，需与镜像地址的网络类型相同（内网或公网地址）。

   • docker-username：ACR访问凭证用户名。

   • docker-password：ACR访问凭证密码。

   • docker-email：选填。

2. 创建Secret后，可以通过在Service Account或工作负载中配置imagePullSecrets字段使用用户名和密码。

   通过Service Account使用

   在Service Account中添加imagePullSecrets字段，以default命名空间的默认Service Account default为例：

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: default
     ...
   imagePullSecrets:
   - name: acr-3 # 填入ACR密钥Secret

   工作负载在使用该Service Account时，即可拉取镜像。

   apiVersion: apps/v1
   kind: Deployment 
   metadata:
     name: nginx-test
     namespace: default 
     labels:
       app: nginx
   spec:
     serviceAccountName: default # 如果使用命名空间默认SA，可以不指定
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx 
       spec:
         containers:
         - name: nginx 
           image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # 替换为ACR实例链接

   在工作负载中直接使用

   在工作负载中通过imagePullSecrets字段使用密钥。

   apiVersion: apps/v1
   kind: Deployment 
   metadata:
     name: nginx-test
     namespace: default 
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx 
       spec:
         imagePullSecrets:
         - name: image-secret  # 使用上一步创建的Secret
         containers:
         - name: nginx 
           image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # 替换为ACR仓库的镜像地址

为什么配置免密组件后仍然拉取失败？

一个可能的原因是免密组件配置错误，例如：

• 免密组件中的实例信息与ACR实例不符。

• 拉取镜像使用的镜像地址与免密组件中实例信息的域名不符。

请按照同账号拉取镜像中的操作进行排查。

如组件配置正确时，仍出现了拉取失败情况，可能是因工作负载YAML中手动填入的imagePullSecrets与免密组件产生冲突。请手动删除imagePullSecrets字段，并删除旧Pod重建以解决此问题。

为什么开启节点池镜像加速后，在新增节点容器启动失败？

为节点池开启容器镜像加速后，容器启动失败，且报错为：

failed to create containerd container: failed to attach and mount for snapshot 46: failed to enable target for /sys/kernel/config/target/core/user_99999/dev_46, failed:failed to open remote file as tar file xxxx

该问题的原因是：开启容器镜像加速后，如需拉取私有镜像，必须同时安装aliyun-acr-acceleration-suite组件，并配置拉取凭证，请参见1、配置容器镜像拉取凭证。