既知の問題

このページでは、Config Connector の既知の問題について説明します。

ここに記載されている問題の多くはすでに修正されています。修正済みバージョンは、修正が導入されたバージョンを表します。この修正を適用するには、記載されているバージョン以降にアップグレードしてください。

Google Developer Program に参加している場合は、このページを保存して、このページに関連するリリースノートが公開されたときに通知を受け取るようにしてください。詳細については、保存したページをご覧ください。

既知の問題を製品版またはカテゴリでフィルタするには、次のプルダウン メニューからフィルタを選択します。

Config Connector のバージョンを選択します。

問題のカテゴリを選択:

既知の問題をフィルタすることもできます。

カテゴリ 特定された最も古いバージョン 固定バージョン 問題と回避策
リソース 1.126.0 1.134.1

新しい Config Connector リソースを作成または適用しようとすると、Kubernetes API サーバーがリクエストを拒否し、リソースの作成をブロックします。新しいリソースをデプロイすることはできませんが、既存のリソースは引き続き正常に調整される可能性があります。この問題は、1.134.1 より前のバージョンの Config Connector の cnrm-webhook-manager コンポーネント内で確認されている競合状態が原因で発生します。

デプロイ出力または API サーバーログに、次のようなエラーが表示されることがあります。

failed calling webhook "container-annotation-handler.cnrm.cloud.google.com": failed to call webhook: Post "https://cnrm-validating-webhook.cnrm-system.svc:443/...": tls: failed to verify certificate: x509: certificate signed by unknown authority

また、cnrm-webhook-manager Pod ログに次のように表示されることがあります。

http: TLS handshake error ... remote error: tls: bad certificate.

回避策:

リソースの作成をすぐにブロック解除するには、次のコマンドを使用して Deployment を再起動し、Webhook マネージャー Pod を強制的に同期して正しい証明書データを pull します。

kubectl rollout restart deployment cnrm-webhook-manager -n cnrm-system
リソース 1.134 1.134.2

影響を受ける SQLInstance リソースが Updating 状態のままになり、state-into-spec アノテーションに関するエラー メッセージが表示されることがあります。

invalid value "merge" for "cnrm.cloud.google.com/state-into-spec" annotation

この問題は、バージョン 1.134.0 で導入された厳格な検証により、デフォルトとして適用された場合でも、SQLInstance リソースの「マージ」戦略が誤って拒否されるために発生します。この問題は、以降のバージョンで修正されています。
直接調整担当者 1.131 1.134

Config Connector バージョン 1.132.0 で、ダイレクト リコンサイラを使用するリソースに影響する問題が発生しました。

コントローラ名の重複エラー

バージョン 1.132.0 では、SpannerInstance や SecretManagerSecret などのリソースが、同じ名前のコントローラがすでに存在することを示すエラーで調整に失敗することがあります。

error registering controller: error adding direct controller for SpannerInstance to a manager: error creating new controller: controller with name spannerinstance-controller already exists.

SecretManagerSecret の「last-applied-configuration」エラー

バージョン 1.131.0 から 1.133 で SecretManagerSecret の直接リコンサイラを有効にすると（alpha.cnrm.cloud.google.com/reconciler: direct アノテーションを使用）、API エラーで調整が失敗することがあります。

[kubectl.kubernetes.io/last-applied-configuration] must follow pattern [a-z0-9A-Z]+([_\.\-]*[a-z0-9A-Z]+)*), be less than 64 characters, and must have a UTF encoding of less than 128 bytes

これは、Config Connector が Kubernetes の内部アノテーションをラベルとして Secret Manager API に渡そうとしたために発生します。
インストール、ネットワーキング Kubernetes 1.19 1.43

次の例のようなエラーが表示される場合は、証明書に関する問題が発生している可能性があります。

Error from server (InternalError): error when creating "/mnt/set-weaver-dns-record.yml": Internal error occurred: failed calling webhook "annotation-defaulter.cnrm.cloud.google.com": Post "https://cnrm-validating-webhook.cnrm-system.svc:443/annotation-defaulter?timeout=30s": x509: certificate relies on legacy Common Name field, use SANs or temporarily enable Common Name matching with GODEBUG=x509ignoreCN=0

この問題は、Kubernetes バージョン 1.19 以降で発生します。Config Connector バージョン 1.43 以降では証明書の自動生成をサポートしているため、この問題が発生しなくなります。


回避策:

この問題を回避するには、関連する証明書と Pod を削除します。

kubectl delete -n cnrm-system secrets cnrm-webhook-cert-abandon-on-uninstall
kubectl delete -n cnrm-system secrets cnrm-webhook-cert-cnrm-validating-webhook
kubectl delete -n cnrm-system pods -l "cnrm.cloud.google.com/component=cnrm-webhook-manager"

これらのリソースを削除すると、正しい証明書が再生成されます。

トップへ戻る