Resolver problemas de criação de cluster

Falhas durante a criação do cluster do Google Kubernetes Engine (GKE) podem impedir o provisionamento da infraestrutura necessária. As causas comuns de falhas são violações das políticas da organização constraints/compute.vmExternalIpAccess ou constraints/compute.restrictVpcPeering. Use esta página para ajudar a resolver problemas e falhas na criação de clusters causadas por essas políticas da organização.

Essas informações são importantes para administradores e operadores da plataforma ou outros usuários responsáveis por criar e gerenciar clusters do GKE em uma organização doGoogle Cloud . Para mais informações sobre os papéis comuns e as tarefas de exemplo referenciados no conteúdo doGoogle Cloud , consulte Tarefas e papéis de usuário comuns do GKE.

Para problemas gerais com um cluster do Kubernetes, consulte Como solucionar problemas de clusters na documentação do Kubernetes.

Erro: restrição constraints/compute.vmExternalIpAccess violada

Um erro semelhante ao seguinte pode ocorrer ao tentar criar um cluster público do GKE:

Constraint constraints/compute.vmExternalIpAccess violated for project

Isso afeta apenas clusters públicos do GKE, inclusive os do Autopilot do GKE.

Quando você cria clusters públicos do GKE, as VMs subjacentes do Compute Engine, que compõem os nós de trabalho desse cluster, recebem endereços IP externos. Se você configurar a restrição da política da organização constraints/compute.vmExternalIpAccess para Deny All ou restringir endereços IP externos a instâncias de VM específicas no nível da organização, da pasta ou do projeto, a política vai impedir que os nós de trabalho do GKE recebam endereços IP externos, o que vai resultar na falha na criação do cluster.

Para encontrar os registros da operação de criação de cluster, confira os registros de auditoria das operações de cluster do GKE usando a Análise de registros com uma consulta de pesquisa semelhante a esta:

resource.type="gke_cluster"
logName="projects/test-last-gke-sa/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName="google.container.v1beta1.ClusterManager.CreateCluster"
resource.labels.cluster_name="CLUSTER_NAME"
resource.labels.project_id="PROJECT_ID"

Substitua:

  • CLUSTER_NAME: o nome do cluster que não foi criado.
  • PROJECT_ID: o ID do projeto.

Para resolver esse problema, verifique se a política efetiva para a restrição constraints/compute.vmExternalIpAccess é Allow All no projeto em que você está tentando criar um cluster público do GKE. Para saber como trabalhar com essa restrição, consulte Como restringir endereços IP externo a instâncias de VM específicas.

Depois de definir a restrição como Allow All, exclua o cluster com falha e crie um novo. Isso é necessário porque não é possível reparar o cluster com falha.

Erro: restrição constraints/compute.restrictVpcPeering violada

Um erro semelhante ao seguinte pode ocorrer quando você tenta criar um cluster particular do GKE que usa o peering de rede VPC para conectar sua rede VPC ao projeto do plano de controle gerenciado pelo Google:

Constraint constraints/compute.restrictVpcPeering violated for project

Se você configurar a restrição da política da organização constraints/compute.restrictVpcPeering na organização, na pasta ou no projeto que é proprietário da rede VPC do cluster, a política vai impedir que o GKE faça peering da rede VPC do plano de controle com sua rede VPC, a menos que a hierarquia de produtores gerenciada pelo Google seja permitida.

Para resolver esse problema, use uma das seguintes opções:

  • Crie um cluster que use o Private Service Connect para conectividade do plano de controle em vez do peering de rede VPC.
  • Atualize a política constraints/compute.restrictVpcPeering no projeto, na pasta ou na organização que possui a rede VPC do cluster para adicionar a organização do produtor de serviços do Google (under:organizations/433637338589) ao campo allowedValues.

Depois de atualizar a política da organização, exclua o cluster com falha e crie um novo.

A seguir