Risoluzione dei problemi relativi alla crittografia “ File Storage ” regionale durante il trasferimento

Cloud privato virtuale

Utilizzare le seguenti procedure di risoluzione dei problemi per risolvere eventuali problemi relativi alla crittografia in transito (EIT) del servizio Regional File Storage (RFS).

RFS EIT è disponibile come funzionalità beta ed è consigliato esclusivamente per uso sperimentale. Non utilizzare questa funzionalità nei carichi di lavoro di produzione.

Perché la mia richiesta di PVC è bloccata in "In attesa" con " 'rfs' profile is not accessible"?

Il PVC rimane in stato " Pending " dopo la creazione e negli eventi del PVC viene visualizzato un errore simile al seguente.

'rfs' profile is not accessible

È possibile che il tuo account non sia incluso nell'elenco dei permessi per il profilo rfs oppure che il tuo cluster non disponga delle autorizzazioni IAM necessarie per le operazioni relative alla condivisione di file VPC.

Per risolvere il problema:

  1. Controlla gli eventi PVC per verificare l'errore.

    oc describe pvc <pvc-name>

    Cerca “ 'rfs' profile is not accessible ” nella sezione “ Events ”. Se viene visualizzato questo errore, il tuo account deve essere inserito nell'elenco dei permessi per il profilo rfs.

  2. Se l'errore è " 'rfs' profile is not accessible", apri un ticket di assistenza VPC per richiedere l'accesso. Una volta che il tuo account è stato inserito nella lista bianca, riavvia i pod del nodo driver CSI.

    oc rollout restart daemonset ibm-vpc-file-csi-node -n kube-system

  3. Se invece il PVC segnala errori relativi alle autorizzazioni, verifica che il tuo cluster disponga dell'Autorizzazioni IAM per le operazioni di condivisione dei file nella VPC o necessario.

Perché il mio pod non riesce a montarsi con il comando “ stunnel manager is not initialized ”?

Il tuo pod mostra un evento " FailedMount " con un errore simile al seguente.

stunnel manager is not initialized, this indicates a configuration error.
Restart the file csi node server pod from kube-system namespace where the
application is running and check if the issue is resolved.

Il gestore stunnel presente nel pod del server del nodo CSI sul nodo di lavoro interessato non è stato inizializzato, il che indica un errore di configurazione su quel nodo.

Per risolvere il problema:

  1. Individua il pod del server del nodo CSI in esecuzione sullo stesso nodo del pod della tua applicazione. Prendi nota del nome del nodo su cui è stato pianificato il tuo pod.

    oc get pod <app-pod-name> -o wide

  2. Avvia il pod del server CSI su quel nodo.

    oc get pods -n kube-system -l app=ibm-vpc-file-csi-node \
  --field-selector spec.nodeName=<node-name>

  3. Elimina il pod del server del nodo CSI in modo che si riavvii automaticamente.

    oc delete pod -n kube-system <csi-node-pod>

  4. Attendi che il pod si riavvii e raggiunga lo stato “ Running ”, quindi riprova a eseguire il pod della tua applicazione.

    oc get pods -n kube-system -l app=ibm-vpc-file-csi-node

    Se il problema persiste dopo il riavvio del pod, apri un ticket di assistenza rivolgendoti al team di IBM Cloud Container Storage.

Perché la mia applicazione con hostNetwork: true non riesce a collegarsi a una porta?

Un pod dell'applicazione che utilizza hostNetwork: true non si avvia correttamente e genera il seguente errore.

Address already in use

RFS EIT occupa una porta per ogni montaggio PVC nell'intervallo 11300–11599 su 127.0.0.1. Un pod dell'applicazione che utilizza hostNetwork: true e tenta di collegarsi a una porta compresa in questo intervallo entra in conflitto con un montaggio PVC RFS EIT esistente sullo stesso nodo.

Per risolvere il problema, scegli una delle seguenti opzioni:

  • Ridurre la capacità di tutte le applicazioni che utilizzano le condivisioni di file RFS EIT, quindi ripristinarla. Dopo il ridimensionamento, i pod dell'applicazione utilizzano porte diverse all'interno dell'intervallo di assegnazione e il conflitto viene risolto.
  • Accedere all'applicazione tramite una risorsa Kubernetes Service anziché utilizzare le porte dell'host con hostNetwork: true. In questo modo si evita del tutto il conflitto di porte.