Résoudre les problèmes de création de clusters

Les échecs lors de la création d'un cluster Google Kubernetes Engine (GKE) peuvent vous empêcher de provisionner l'infrastructure nécessaire. Les causes courantes d'échec sont les cas de non-respect des règles d'administration constraints/compute.vmExternalIpAccess ou constraints/compute.restrictVpcPeering. Utilisez cette page pour vous aider à résoudre les échecs de création de clusters causés par ces règles d'administration.

Ces informations sont importantes pour les administrateurs et les opérateurs de la plate-forme, ou pour les autres utilisateurs chargés de créer et de gérer des clusters GKE au sein d'une organisationGoogle Cloud . Pour en savoir plus sur les rôles courants et les exemples de tâches que nous citons dans le contenuGoogle Cloud , consultez Rôles utilisateur et tâches courantes de GKE.

Pour les problèmes généraux liés à un cluster Kubernetes, consultez la section Dépannage des clusters dans la documentation Kubernetes.

Erreur : la contrainte constraints/compute.vmExternalIpAccess a été enfreinte

Une erreur semblable à celle-ci peut se produire lorsque vous essayez de créer un cluster GKE public :

Constraint constraints/compute.vmExternalIpAccess violated for project

Remarque : Cela ne concerne que les clusters GKE publics, y compris les clusters GKE Autopilot.

Lorsque vous créez des clusters GKE publics, des adresses IP externes sont attribuées aux VM Compute Engine sous-jacentes, qui constituent les nœuds de calcul de ce cluster. Si vous configurez la contrainte de règle d'administration constraints/compute.vmExternalIpAccess sur Deny All ou pour limiter les adresses IP externes à des instances de VM spécifiques au niveau de l'organisation, du dossier ou du projet, la règle empêche les nœuds de calcul GKE d'obtenir des adresses IP externes, ce qui entraîne l'échec de la création du cluster.

Pour trouver les journaux de l'opération de création de cluster, vous pouvez consulter les journaux d'audit des opérations de cluster GKE à l'aide de l'explorateur de journaux avec une requête de recherche semblable à la suivante :

resource.type="gke_cluster"
logName="projects/test-last-gke-sa/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName="google.container.v1beta1.ClusterManager.CreateCluster"
resource.labels.cluster_name="CLUSTER_NAME"
resource.labels.project_id="PROJECT_ID"

Remplacez les éléments suivants :

  • CLUSTER_NAME : nom du cluster qui n'a pas été créé.
  • PROJECT_ID : ID de votre projet.

Pour résoudre ce problème, assurez-vous que la règle en vigueur pour la contrainte constraints/compute.vmExternalIpAccess est Allow All sur le projet dans lequel vous essayez de créer un cluster public GKE. Pour en savoir plus sur l'utilisation de cette contrainte, consultez la section Limiter les adresses IP externes à des instances de VM spécifiques.

Après avoir défini cette contrainte sur Allow All, supprimez le cluster défaillant et créez-en un autre. Cette étape est nécessaire, car il n'est pas possible de réparer le cluster défaillant.

Erreur : la contrainte constraints/compute.restrictVpcPeering a été enfreinte

Une erreur semblable à celle-ci peut se produire lorsque vous essayez de créer un cluster GKE privé qui utilise l'appairage de réseaux VPC pour connecter votre réseau VPC au projet de plan de contrôle géré par Google :

Constraint constraints/compute.restrictVpcPeering violated for project

Si vous configurez la contrainte de règle d'administration constraints/compute.restrictVpcPeering sur l'organisation, le dossier ou le projet propriétaire du réseau VPC du cluster, la règle empêche GKE d'appairer le réseau VPC du plan de contrôle avec votre réseau VPC, sauf si la hiérarchie du producteur géré par Google est autorisée.

Pour résoudre ce problème, utilisez l'une des options suivantes :

  • Créez un cluster qui utilise Private Service Connect pour la connectivité du plan de contrôle au lieu de l'appairage de réseaux VPC.
  • Mettez à jour la règle constraints/compute.restrictVpcPeering sur le projet, le dossier ou l'organisation propriétaire du réseau VPC du cluster pour ajouter l'organisation du producteur de services Google (under:organizations/433637338589) au champ allowedValues.

Après avoir mis à jour la règle d'administration, supprimez le cluster défaillant et créez-en un autre.

Étapes suivantes