Apigee の既知の問題

Apigee ハイブリッド バージョン 1.14.0 以降では、Zipkin トレース ヘッダー（x-b3-*）の自動追加が削除されました。

該当なし

httpProxy のみを指定する場合は、これらのサービスへの接続を有効にするために、*.googleapis.com が Apigee ランタイム Pod の許可リストに登録されていることを確認する必要があります。

API プロキシの転送プロキシを構成するをご覧ください。

Apigee ハイブリッド クラスタに istio.io カスタム リソース定義（CRD）が存在すると、apigee-ingressgateway-manager Pod で障害が発生する可能性があります。

古いバージョンから 1.14.2 への Apigee Hybrid のアップグレード中に、既存の istio.io CRD が存在すると、apigee-ingressgateway-manager Pod の discovery コンテナで readiness プローブが失敗することがあります。

回避策: istio.io CRD は Apigee では必須ではありません。クラスタ内の istio.io CRD を削除またはアップグレードしてから、ingress-manager コンポーネントをアンインストールして再インストールします。

1. クラスタ内の istio.io CRD を一覧表示して CSV ファイルに保存します。

   kubectl get crd -o custom-columns=NAME:metadata.name | grep istio.io > istio-crd.csv

2. 省略可: 再作成する必要がある場合に備えて、CRD をローカルに保存します。

   kubectl get crd $(cat istio-crd.csv) -o yaml > istio-crd.yaml

3. istio.io CRD を削除します。

   ドライランを実行します。

   kubectl delete crd $(cat istio-crd.csv) --dry-run=client

   次のことを実行します。

   kubectl delete crd $(cat istio-crd.csv)

4. 再インストールまたは再作成する ingress-manager Pod を一覧表示します。

   kubectl get deployments -n apigee

   出力例:

   NAME                            READY   UP-TO-DATE   AVAILABLE   AGE
   apigee-controller-manager       1/1     1            1           32d
   apigee-ingressgateway-manager   2/2     2            2           32d
   

5. ingress-manager Pod を再起動します。

   kubectl rollout restart deployment -n APIGEE_NAMESPACE apigee-ingressgateway-manager

ApigeeTelemetry が creating 状態のままになることがあります。

この問題は、OpenShift のインストールで確認されています。

回避策: apigee-operator チャート テンプレートを変更して、正しいクラスタロール アクセスを作成します。

1. helm-charts/apigee-operator/templates/apigee-operators.yaml テンプレート ファイルを編集し、-apigee-manager-role- クラスタロールの定義を見つけます。次のことで開始します。

   kind: ClusterRole
   metadata:
     name: apigee-manager-role-{{ include 'namespace' }}
   rules:
     ...
                 

2. - apiGroups: apiregistration.k8s.io ブロックを見つけて、apiservices/finalizers リソースをリソースのリストに追加します。

   - apiGroups:
     - apiregistration.k8s.io
     resources:
     - apiservices
     - apiservices/finalizers
     verbs:
     - create
     - delete
     - get
     - patch
     - update
     

3. - apiGroups: authorization.k8s.io ブロックを見つけて、次のテキストが含まれるブロックの末尾の後に - apiGroups: apigee.cloud.google.com ブロックを追加します。

   - apiGroups:
     - apigee.cloud.google.com
     resources:
     - apigeetelemetries/finalizers
     verbs:
     - get
     - patch
     - update
   

   例:

   - apiGroups:
     - authorization.k8s.io
     resources:
     - subjectaccessreviews
     verbs:
     - create
     - get
     - list
   - apiGroups:
     - apigee.cloud.google.com
     resources:
     - apigeetelemetries/finalizers
     verbs:
     - get
     - patch
     - update
   

4. 変更を apigee-operator チャートに適用します。

   ドライランを実行します。

   helm upgrade operator apigee-operator/ \
     --install \
     --namespace APIGEE_NAMESPACE \
     --atomic \
     -f OVERRIDES_FILE \
     --dry-run=server
   

   チャートをアップグレードします。

   helm upgrade operator apigee-operator/ \
     --install \
     --namespace APIGEE_NAMESPACE \
     --atomic \
     -f OVERRIDES_FILE \
   

API プロダクトは 50 パスに制限されています。パスを追加すると、次のエラー メッセージが表示されます。 Operation group limit of 51 exceeded in Operation Config

回避策: リソースパスの構成で説明されているように、ワイルドカード パターンを使用してリソースパスとオペレーションを組み合わせます。

回避策: 複数の API プロダクトを作成します。この回避策は検証済みで、API プロダクトに多くの API プロキシを追加するユーザーに適しています。API プロダクトに関連付けられているアプリは、新しい API プロダクトを含めるように更新する必要がありますが、認証情報とクライアントサイド リクエストの詳細は変更する必要がないことが実証されています。

収益性の確保を使用したインストールの料金タイプを選択する際に、カスタム レポート API と Stats API を使用するとエラーが発生します。

回避策: フィルタリングの前に、クライアントサイドですべての料金タイプを取得します。

Istio Ingress Pod のスケーリングにより、503 エラーが発生することがあります。

Istio Ingress Pod のスケーリングで 503 エラーが発生することがあります。503 エラーが発生すると、ロードバランサのログに statusDetails: backend_connection_closed_before_data_sent_to_client というメッセージが表示されます。

回避策: Istio Ingress Pod を手動でスケーリングします。

ESS と ESS 以外の Cassandra 認証情報のローテーションは、拡張プロキシの上限が有効になっている組織では機能しません。

ランタイム トラフィックは影響を受けません。

GCP と HYBRID のクラウド プロバイダを使用してマルチリージョン設定から取得したバックアップには、スナップショットの取得時に存在していたすべてのハイブリッド リージョンに関する情報が含まれています。これらのリージョンは存在しなくなったため、復元ジョブが Cassandra の現在の状態と競合し、Unrecognized strategy option passed to NetworkTopologyStrategy というエラーで失敗します。

JavaCallout ポリシーを使用する場合、Nimbus JOSE+JWT ライブラリで java.lang.ClassCircularityError が発生する可能性があります。

Nimbus JOSE + JWT ライブラリを使用する JavaCallout ポリシーを持つ Apigee ハイブリッド対応組織がある場合は、ハイブリッド 1.12.4、ハイブリッド 1.13.3、ハイブリッド 1.14.1 以降のバージョンにアップグレードしないでください。

ESS と ESS 以外のマルチリージョン Cassandra 認証情報のローテーションは、最初のリージョンを除くすべてのリージョンで失敗します。

ランタイム トラフィックは影響を受けません。

記載されている回避策に従って問題を解決してください。

Cassandra Pod は、Cassandra のオーバーライド変更を適用した後に再起動されます（バックアップを再度有効にしたときなど）。これにより、この問題が発生します。CrashLoopBackoff 状態の Cassandra Pod のログには、Cannot change the number of tokens from 512 to 256 というエラーが表示されます。

記載されている回避策に従って問題を解決してください。

まれに、Apigee バックアップ ジョブが、HYBRID または GCP Cloud プロバイダを使用してバックアップを取得する際に作成した Cassandra 中間スナップショットをクリーンアップしないことがあります。これは、バックアップ プロセスがリモート サーバーまたは Cloud Storage に正常に接続できない根本的な問題がある場合にのみ発生します。接続の問題が解決しない場合は、残りの Cassandra スナップショットが時間の経過とともに蓄積され、Cassandra のディスク上のストレージが使用される可能性があります。 影響を受けている場合は、根本的な接続の問題を修正してから、Cassandra のトラブルシューティング ガイドの手順に沿って Cassandra スナップショットを手動で消去してください。

KeyValueMapOperations ポリシーが apiproxy スコープで使用され、ポリシーの <Put> オペレーションが共有フロー内でフローフック経由で呼び出されると、KVM エントリが共有フロー名の下に作成されます。これは、API プロキシ名の下に作成されなければなりません。

384937220

仮想ホストが複数ある場合、ApigeeRoute 名が競合するため、Helm リリースの作成に失敗することがあります。回避策として、作成時に仮想ホストごとに次のコマンドを実行します。

kubectl annotate ar apigee-ingressgateway-internal-chaining-PROJECT_ID_SUFFIX -n APIGEE_NAMESPACE meta.helm.sh/release-name=NEW_ENV_GROUP_NAME --overwrite
kubectl annotate cert apigee-ingressgateway-internal-chaining-PROJECT_ID_SUFFIX -n APIGEE_NAMESPACE meta.helm.sh/release-name=NEW_ENV_GROUP_NAME --overwrite

ここで

• PROJECT_ID_SUFFIX は、Kubernetes 内のプロジェクトの内部チェーンに使用する一意の接尾辞です。この接尾辞は、次のコマンドで確認できます。

  kubectl get svc -n apigee -l app=apigee-ingressgateway | grep internal-chaining

  出力は次のようになります。

  kubectl get svc -n apigee -l app=apigee-ingressgateway | grep internal-chaining
  apigee-ingressgateway-internal-chaining-my-project--1234567    ClusterIP  34.118.226.140  <none>    15021/TCP,443/TCP    5d6h

  出力例の my-project--1234567 は PROJECT_ID_SUFFIX です。

• APIGEE_NAMESPACE は Apigee Namespace です。
• NEW_ENV_GROUP_NAME は、追加の環境グループの名前です。この値は、仮想ホストごとに更新します。

該当なし

ユーザーが UpdateControlPlaneAccess API に無効なサービス アカウントを指定すると、オペレーションは再試行ループに入り、オペレーションがタイムアウトするまで、組織が API を呼び出せなくなる実質的なロック状態となります。

GCP Cloud プロバイダを使用している場合、Apigee バックアップ ジョブは保持ポリシーのある Cloud Storage バケットにアップロードできません。バックアップ ファイルは、ファイルサイズが 0 バイトの状態で Cloud Storage バケットに残ることがあります。

回避策: Cloud Storage バケットで保持ポリシーを無効にします。

341099433

apigee-logger は、Google IAM サービス アカウントを使用して Cloud Logging にログを送信します。これは、FluentBit が Workload Identity 連携をサポートしておらず、apigee-logger がこの機能を使用できないためです。

なし

なし

270574696

268104619

364872027

Apigee と Apigee ハイブリッドのバージョン 1.13 以降では、Apigee JWS ポリシーまたは JWT ポリシーで使用される鍵が必要な PEM 形式を逸脱すると、解析エラーが発生する可能性があります。たとえば、"-----END" 行（カプセル化境界後）の直前に改行コード（/n）以外の文字を配置することは許可されず、エラーになります。

このエラーを回避するには、カプセル化後の境界の直前に、改行以外の文字（末尾のスペースやスラッシュなど）がないようにします。

公開鍵または秘密鍵に使用されるエンコードの詳細については、IETF RFC 7468 をご覧ください。

310191899

次のエンドポイントは、秒間クエリ数（QPS）が多い場合にタイムアウトが発生する可能性があります。

• organizations.environments.apis.revisions.
  deployments.deploy
• organizations.environments.apis.revisions.
  deployments.undeploy
• organizations.environments.sharedflows.revisions.
  deployments.deploy
• organizations.environments.sharedflows.revisions.
  deployments.undeploy

タイムアウトが発生する可能性を減らすため、これらのエンドポイントを使用する場合は 1 QPS を目標に設定するか、別のデプロイを試行する前にデプロイのステータスを確認することをおすすめします。

329304975

Apigee では、API プロキシ リビジョンのデプロイ時に発生する可能性のある障害を回避するため、環境ごとのベースパスに一時的な上限（1,000 個）が適用されています。

この上限が適用されている間、環境ごとに最大 1,000 個の API プロキシ リビジョンをデプロイできます（それぞれに 1 つのベースパスを含む）。API プロキシまたはリビジョンに複数のベースパスが含まれている場合、環境あたりのベースパスの合計数は 1,000 を超えないようにする必要があります。

333791378

回避策のパッチをインストールするための手順については、トラブルシューティングをご覧ください。

310384001

289583112

OASValidation ポリシーで、セキュリティ要件がグローバル レベルで設定された <OASResource> が指定されている場合、セキュリティ要件は適用されません。

回避策: 確実に適用するには、OASValidation ポリシーの <OASResource> 要素で渡される OpenAPI の仕様で、すべてのセキュリティ要件をオペレーション レベルで設定する必要があります。

205666368

ターゲット エンドポイントまたはターゲット サーバーでの TLS オプションの設定についてをご覧ください。

295929616

メモリ不足の問題により、Apigee ハイブリッド 1.10.0 から 1.10.2 へのインストールまたはアップグレードが OSE で失敗することがあります。Apigee ハイブリッド バージョン 1.10.3 で修正されました。

292118812

ファイアウォールによってすべてのトラフィックがフォワード プロキシ経由になると、apigee-udca がクラッシュ ループ バックオフ状態になる可能性があります。

292558790

• OASValidation ポリシーは、JSON コンテンツが想定されるパターンと一致しない場合に失敗します。たとえば、ヘッダーが <text>@<text> 形式の値を想定していて、@ 記号が欠落しているテキストが入力されている場合、ポリシーは Unable to parse JSON エラーで失敗します。
• OASValidation ポリシーで、$ref スキーマを利用する path パラメータを含む <OASResource> が指定されている場合、ポリシーは Unable to parse JSON - Unrecognized token エラーで失敗します。

  回避策: <OASResource> 要素で指定した OpenAPI 仕様の path パラメータに $ref を使用しないでください。

297012500

• OpenAPI 3.0.0 仕様の循環参照が無限ループに入ると、OAS Validation ポリシーの Apigee デプロイが失敗します。

回避策: 循環参照のない OpenAPI 仕様の yaml を使用します。

289254725

次の場合、OASValidation ポリシーを含むプロキシのデプロイが失敗することがあります。

• OASValidation ポリシーの検証に使用される OpenAPI 仕様が YAML 形式であり
• YAML 形式の OpenAPI 仕様に浮動小数点数が含まれています。次に例を示します。

  schema:
  type: number
  example: 2.345

284500460

クライアントのレスポンスでレイテンシが増加しないように、Message Logging ポリシーを PostClientFlow に接続する必要があります。PostClientFlow でポリシーを使用する方法については、フローによる API プロキシの制御をご覧ください。

282997216

Cassandra Jolokia のパスワードに使用できるのは英数字のみです。特殊文字（「!」、「@」、「#」、「$」、「%」、「^」、「&」、「*」など）を使用すると、Cassandra の起動に失敗する可能性があります。

270371160

Apigee Ingress ゲートウェイは TLS1.2+ のみをサポートし、以前のバージョンの TLS はサポートしません。

269139342

Apigee 組織の検証は、overrides.yaml で設定された HTTP 転送プロキシルールに従っていません。この検証をスキップするには、validateOrg: false を設定します。

266452840

特定の状況において、Anthos Service Mesh 1.15.3-asm.6 を使用すると、Apigee X と Apigee ハイブリッドで WebSocket が機能しません。

242213234

API プロダクトを読み込もうとしたときに、次のエラーが返されることがあります。「プロダクトが正常に読み込まれませんでした。エラー: Apigee 接続エージェントから使用できる接続がありません。」

この問題は、Google Cloud プロジェクトで VPC Service Controls を有効にし、サービス境界で制限されたサービスの 1 つとして iamcredentials.googleapis.com を追加した後に発生します。

回避策: 次のような下り（外向き）ルールを手動で作成します。

-egressTo:
    operations:
    -serviceName: "iamcredentials.googleapis.com"
        methodSelectors:
        -method:
    resources:
    -projects/608305225983
  egressFrom:
    identityType: ANY_IDENTITY

247540503

非常に高いスループットの特定の状況において、暗号鍵の検索で競合状態が発生すると、KVM 検索が失敗する可能性があります。

258699204

apigee-telemetry-app pod または apigee-telemetry-proxy pod が正常に実行されない場合は、構成プロパティ リファレンス: metrics の次のデフォルトと一致するように metrics リソース リクエストとリソース制限プロパティを変更します。

apigeectl apply に ‑‑telemetry フラグを指定して変更を適用します。

apigeectl apply --telemetry -f overrides.yaml

260324159

特定の状況では、Synchronizer の「ソケットが閉じられた」エラーのために、API プロキシと共有フローがランタイム プレーンにデプロイされるのに 20～30 分ほどかかる場合があります。

214447386

これは 1 分ごとに行われ、請求額には影響しません。

260772383

AKS にハイブリッドをインストールすると、次のエラーが表示されることがあります。

envoy config listener '0.0.0.0_443' failed to bind or apply socket options: cannot bind '0.0.0.0:443': Permission denied

回避策: 次の svcAnnotations スタンザをオーバーライド ファイルに追加します。

ingressGateways:
- name: INGRESS_NAME
  ...
  svcAnnotations:
    service.beta.kubernetes.io/azure-load-balancer-internal: "true"

ハイブリッド ランタイムを構成するをご覧ください。AKS で内部ロードバランサを使用するもご覧ください。

241786534

組織スコープの UDCA を使用している場合、MART が FluentD に接続できないことがあります。Apigee ハイブリッド バージョン 1.8 では、組織スコープの UDCA がデフォルトです。構成プロパティ リファレンスの orgScopedUDCA をご覧ください。

Apigee ハイブリッド バージョン 1.6.6 で apigee-logger を fluend から fluent-bit に移行すると、ロガーが CentOS または RHEL でのベアメタル版 Anthos の動作を停止しました。

livenessProbe を含む現在の apigee-logger 構成は、Kubernetes ランタイムと互換性がないため、想定どおりにログが Cloud Logging に送られません。この問題により、apigee-logger Pod が定期的にクラッシュするようにもなります。この問題は、AKS、Anthos Bare Metal、その他のプラットフォームへの Apigee ハイブリッドのインストールに影響します。この問題によってログ容量が過剰になる場合がありますので注意してください。

Apigee UI では、API プロキシのデプロイで説明されているように、デプロイのステータスの表示、確認を行うことや、アーカイブ デプロイを管理すること、または Debug の使用で説明されているように Debug の UI を使用することができません。回避策として、gcloud または API を使用して環境内のすべてのアーカイブ デプロイを一覧表示し、Debug API を使用できます。

アーカイブ デプロイのロールバックは現在サポートされていません。アーカイブ デプロイのバージョンを削除するには、前のバージョンのアーカイブを再デプロイするか、環境を削除する必要があります。

421402073

Google 認証の使用で説明されているように、ServiceCallout ポリシーと ExternalCallout ポリシーの Google 認証は、VS Code の Apigee ではサポートされていません。

無効な HTTP ヘッダーエラー: Istio Ingress はすべての受信ターゲット レスポンスを HTTP2 プロトコルに切り替えます。ハイブリッド Message Processor は HTTP1 のみをサポートしているため、API プロキシの呼び出し時に次のエラーが発生することがあります。

http2 error: Invalid HTTP header field was received: frame type: 1, stream: 1,

name: [:authority], value: [domain_name]

このエラーが表示された場合は、次のいずれかの方法で問題を解決できます。

• ターゲット サービスを変更して、レスポンスの Host ヘッダーを省略する。
• 必要に応じて、API プロキシの AssignMessage ポリシーを使用して Host ヘッダーを削除する。

420985360

• Apigee は、ポータルで SmartDocs を使用して API を公開するときに OpenAPI Specification 3.0 をサポートしていますが、機能のサブセットは、現時点ではサポートされていません。スキーマを結合して拡張するための allOf プロパティなどが該当します。

  サポートされていない機能が OpenAPI Specification で参照されると、ツールはその機能を無視しながらも、API リファレンス ドキュメントをレンダリングする場合があります。また、サポートされていない機能によって API リファレンス ドキュメントの正常なレンダリングができないエラーが発生する場合もあります。いずれの場合も、今後のリリースでサポートされるまで、OpenAPI Specification を変更して、サポートされていない機能の使用を避ける必要があります。

• ポータルで [Try this API] を使用すると、OpenAPI Specification の consumes に設定されている値に関係なく、Accept ヘッダーが application/json に設定されます。

• 現時点では、複数のユーザーによる同時のポータルの更新（ページ、テーマ、CSS、スクリプトの編集など）はサポートされていません。
• API リファレンス ドキュメントのページをポータルから削除した場合、再作成する方法はありません。API プロダクトを削除して再度追加し、API リファレンス ドキュメントを再生成する必要があります。
• ポータルのテーマをカスタマイズするときには、変更が完全に適用されるまで最大で 5 分かかることがあります。

今後のリリースで、検索は統合ポータルに統合される予定です。

SAML ID プロバイダを使用したシングル ログアウト（SLO）は、カスタム ドメインではサポートされていません。SAML ID プロバイダでカスタム ドメインを有効にするには、SAML 設定の構成を行うときに、ログアウト URL フィールドを空白のままにします。

• API プロキシのリクエストとレスポンスの数（プロキシとターゲット向け）が異常な急増を示す。

  以下は、このような急増のサンプルです。

  （大きい画像を表示）

  
• バグにより、システムでカウントが短時間誤って登録され、その後カウントが修正されました。これは、API トラフィックが減少する（そのため、API ゲートウェイがスケールダウンする）と発生します。
• リクエストの実際の急増とこの問題を区別するには、[API アナリティクス] ページ（特に [Proxy Performance] ページと [Target Performance] ページ）をご覧ください。

影響がある指標:

• apigee.googleapis.com/proxyv2/request_count
• apigee.googleapis.com/proxyv2/response_count
• apigee.googleapis.com/targetv2/request_count
• apigee.googleapis.com/targetv2/response_count

新しい指標

この問題を回避するには、新しい指標を使用します。

Apigee ハイブリッドの場合は、指標の収集の概要と指標を表示するをご覧ください。

回避策: ハイブリッドで Logging エージェントを無効にします。

回避策: ファイア アンド フォーゲットの動作を維持するには、次のようにします。

1. ServiceCallout に <Response>calloutResponse</Response> を追加する。
2. continueOnError を true に設定します。

回避策: この問題を回避するには、プロキシで複数の SpikeArrest ポリシーを使用しないでください。

特定のキーで、継続的トラフィックがある場合、そのキーは更新されたレートでレート制限されない場合があります。特定のキーでトラフィックがない状態が 5 分間続くと、そのレートが反映されます。

回避策: レートをすぐに有効にしなければならない場合は、新しい参照変数でプロキシを再デプロイします。または、2 つの条件付き SpikeArrest を異なるフロー変数で使用してレートを調整します。

構成可能な API プロキシの API Monitoring では、ターゲットから 2xx 以外のステータスのレスポンスで障害コード「(not set)」が表示される場合があります。

プロキシが同じターゲット ホストを使用して 2 つ以上のフローで 2 つ以上の io.timeout.millis 値を設定した場合、1 つの io.timeout.millis 値のみが適用されます。

Apigee ハイブリッド 1.8.x にアップグレードするときに、apigeectl init を実行して check-ready が成功したことを確認した後に Pod を確認すると、Cassandra スキーマ検証ジョブがエラー状態になっていることがあります。これは無害な条件です。アップグレードの次の手順に進んでも問題はありません。

同じインスタンスと環境グループに接続されている複数の環境への同じパスを持つプロキシのデプロイは許可されず、ベースパス競合に関する警告メッセージが返される必要があります。ところが、エラーが表示されず、デプロイは成功したように見えます。

回避策:デプロイ時とデプロイ後に、デプロイされたプロキシとベースパスの競合がないことを確認し、必要に応じて修正します。

以前にデプロイされたプロキシを保存しようとすると、リビジョンが不変であることを示すエラーでデプロイに失敗することがあります。

回避策: [Save] ボタンの横にあるプルダウン矢印をクリックし、[Save as new revision] を選択します。その後、デプロイを再試行してください。

gRPC ターゲット サーバーに対して呼び出しが行われると、「grpc-status」トレーラーのみが返されます。その他のトレーラーはすべてレスポンスから削除されます。