Solución de problemas relacionados con el cifrado regional de « File Storage » en tránsito

Nube privada virtual

Utiliza los siguientes temas de resolución de problemas para solucionar incidencias relacionadas con el cifrado en tránsito (EIT) del Servicio de Archivos Regionales ( File Storage, RFS).

RFS EIT está disponible como función beta y se recomienda su uso únicamente con fines experimentales. No utilices esta función en cargas de trabajo de producción.

¿Por qué mi PVC sigue en «Pendiente» con « 'rfs' profile is not accessible »?

Tu PVC permanece en est Pending e tras su creación, y aparece un error similar al siguiente en los eventos del PVC.

'rfs' profile is not accessible

Es posible que tu cuenta no figure en la lista de permitidos del perfil « rfs », o que tu clúster no disponga de los permisos de IAM necesarios para las operaciones de uso compartido de archivos en VPC.

Para resolver el problema:

  1. Consulta los eventos de PVC para confirmar el error.

    oc describe pvc <pvc-name>

    Busca « 'rfs' profile is not accessible » en la sección « Events ». Si aparece este error, es necesario que tu cuenta figure en la lista de permitidos del perfil « rfs ».

  2. Si el error es « 'rfs' profile is not accessible », abre un ticket de asistencia de VPC para solicitar acceso. Una vez que tu cuenta haya sido incluida en la lista de permitidos, reinicia los pods del nodo del controlador CSI.

    oc rollout restart daemonset ibm-vpc-file-csi-node -n kube-system

  3. Si, por el contrario, el PVC muestra errores relacionados con los permisos, comprueba que tu clúster cuente con el servicio de gestión de permisos ( Permisos de IAM para operaciones de uso compartido de archivos en VPC) necesario.

¿Por qué no se monta mi pod con el comando « stunnel manager is not initialized »?

Tu pod muestra un evento « FailedMount » con un error similar al siguiente.

stunnel manager is not initialized, this indicates a configuration error.
Restart the file csi node server pod from kube-system namespace where the
application is running and check if the issue is resolved.

El gestor de stunnel del pod del servidor del nodo CSI en el nodo de trabajo afectado no se ha inicializado, lo que indica un error de configuración en dicho nodo.

Para resolver el problema:

  1. Busca el pod del servidor del nodo CSI que se esté ejecutando en el mismo nodo que el pod de tu aplicación. Anota el nombre del nodo en el que se ha programado tu pod.

    oc get pod <app-pod-name> -o wide

  2. Pon en marcha el pod del servidor del nodo CSI en ese nodo.

    oc get pods -n kube-system -l app=ibm-vpc-file-csi-node \
  --field-selector spec.nodeName=<node-name>

  3. Elimina el pod del servidor del nodo CSI para que se reinicie automáticamente.

    oc delete pod -n kube-system <csi-node-pod>

  4. Espera a que el pod se reinicie y alcance el estado « Running » y, a continuación, vuelve a intentar ejecutar el pod de tu aplicación.

    oc get pods -n kube-system -l app=ibm-vpc-file-csi-node

    Si el problema persiste tras el reinicio del pod, abre un ticket de asistencia con el equipo de almacenamiento de contenedores de IBM Cloud.

¿Por qué mi aplicación con hostNetwork: true no consigue asociarse a un puerto?

Un pod de aplicación que utiliza hostNetwork: true falla al iniciarse y muestra el siguiente error.

Address already in use

RFS EIT ocupa un puerto por cada instalación de PVC en el rango 11300–11599 en 127.0.0.1. Un pod de aplicación que utiliza « hostNetwork: true » e intenta vincularse a un puerto de este rango entra en conflicto con un montaje PVC de RFS EIT ya existente en el mismo nodo.

Para resolver el problema, elija una de las siguientes opciones:

  • Reduzca la capacidad de todas las aplicaciones que utilicen recursos compartidos de archivos RFS EIT y, a continuación, vuelva a aumentarla. Tras el escalado, los pods de la aplicación seleccionan diferentes puertos del rango de asignación y el conflicto queda resuelto.
  • Accede a la aplicación a través de un recurso Kubernetes Service en lugar de utilizar los puertos del servidor con hostNetwork: true. De este modo se evita por completo el conflicto de puertos.