Solução de problemas relacionados à criptografia “ File Storage ” regional em trânsito

Nuvem Privada Virtual

Utilize os tópicos de solução de problemas a seguir para resolver problemas relacionados à criptografia em trânsito (EIT) do Serviço de Arquivos Regionais ( File Storage, RFS).

O RFS EIT está disponível como recurso em versão beta e é recomendado apenas para uso experimental. Não utilize esse recurso em cargas de trabalho de produção.

Por que meu PVC está preso no status “Pendente” com o código “ 'rfs' profile is not accessible ”?

Seu PVC permanece no est Pending e após a criação, e você visualiza um erro semelhante ao seguinte nos eventos do PVC.

'rfs' profile is not accessible

Talvez sua conta não esteja na lista de permissões do perfil rfs, ou talvez seu cluster não tenha as permissões necessárias do IAM para operações de compartilhamento de arquivos na VPC.

Para resolver o problema:

  1. Verifique os eventos do PVC para confirmar o erro.

    oc describe pvc <pvc-name>

    Procure por “ 'rfs' profile is not accessible ” na seção “ Events ”. Se esse erro ocorrer, sua conta precisa ser incluída na lista de permissões do perfil rfs.

  2. Se o erro for “ 'rfs' profile is not accessible ”, abra um ticket de suporte da VPC para solicitar acesso. Depois que sua conta for incluída na lista de permissões, reinicie os pods do nó do driver CSI.

    oc rollout restart daemonset ibm-vpc-file-csi-node -n kube-system

  3. Se, em vez disso, o PVC apresentar erros relacionados a permissões, verifique se o seu cluster possui o Permissões do IAM para operações de compartilhamento de arquivos na VPC necessário.

Por que meu pod não consegue ser montado com o comando stunnel manager is not initialized``?

Seu pod apresenta um evento “ FailedMount ” com um erro semelhante ao seguinte.

stunnel manager is not initialized, this indicates a configuration error.
Restart the file csi node server pod from kube-system namespace where the
application is running and check if the issue is resolved.

O gerenciador do stunnel no pod do servidor do nó CSI no nó de trabalho afetado não está inicializado, o que indica um erro de configuração nesse nó.

Para resolver o problema:

  1. Encontre o pod do servidor do nó CSI que está em execução no mesmo nó que o pod da sua aplicação. Anote o nome do nó no qual seu pod está agendado.

    oc get pod <app-pod-name> -o wide

  2. Inicie o pod do servidor do nó CSI nesse nó.

    oc get pods -n kube-system -l app=ibm-vpc-file-csi-node \
  --field-selector spec.nodeName=<node-name>

  3. Exclua o pod do servidor do nó CSI para que ele seja reiniciado automaticamente.

    oc delete pod -n kube-system <csi-node-pod>

  4. Aguarde até que o pod reinicie e atinja o estado “ Running ” e, em seguida, tente novamente o pod do seu aplicativo.

    oc get pods -n kube-system -l app=ibm-vpc-file-csi-node

    Se o problema persistir após a reinicialização do pod, abra um ticket de suporte junto à equipe de Armazenamento de Contêineres do IBM Cloud.

Por que meu aplicativo com o hostNetwork: true não consegue vincular uma porta?

Um pod de aplicativo que utiliza o hostNetwork: true apresenta falha na inicialização com o seguinte erro.

Address already in use

O RFS EIT ocupa uma porta por instalação do PVC no intervalo de 11.300 a 11.599 no endereço 127.0.0.1. Um pod de aplicativo que utiliza o hostNetwork: true e tenta se conectar a uma porta nesse intervalo entra em conflito com uma montagem PVC do RFS EIT já existente no mesmo nó.

Para resolver o problema, escolha uma das seguintes opções:

  • Reduza a carga de todas as aplicações que utilizam compartilhamentos de arquivos RFS EIT e, em seguida, aumente-a novamente. Após o aumento de escala, os pods da aplicação selecionam portas diferentes do intervalo de alocação, e o conflito é resolvido.
  • Acesse o aplicativo por meio de um recurso Kubernetes Service, em vez de depender das portas do host com hostNetwork: true. Isso evita totalmente o conflito de portas.