Memecahkan masalah webhook penerimaan

Halaman ini menunjukkan cara menyelesaikan masalah pada webhook penerimaan Config Sync. Untuk mempelajari webhook lebih lanjut, lihat Mencegah penyimpangan konfigurasi.

Memecahkan masalah error KNV 2009

Bagian berikut membantu Anda menyelesaikan error KNV2009.

Koneksi webhook penerimaan ditolak

Jika Anda mengaktifkan perlindungan dari penyimpangan, Anda mungkin menerima error berikut saat penyusun ulang mencoba menerapkan konfigurasi ke cluster:

KNV2009: Internal error occurred: failed calling webhook "v1.admission-webhook.configsync.gke.io": Post "https://admission-webhook.config-management-system.svc:8676/admission-webhook?timeout=3s": dial tcp 10.92.2.14:8676: connect: connection refused

Error ini berarti webhook penerimaan belum siap atau menjadi tidak berfungsi. Error ini biasanya merupakan error sementara yang mungkin Anda lihat saat melakukan bootstrapping Config Sync.

Jika masalah berlanjut, jelaskan Deployment webhook penerimaan untuk melihat apakah Pod-nya dapat dijadwalkan dan responsif:

kubectl describe deploy admission-webhook -n config-management-system

kubectl get pods -n config-management-system -l app=admission-webhook

Deployment dengan Pod yang sehat memiliki output yang mirip dengan berikut ini:

Replicas:               2 desired | 2 updated | 2 total | 2 available | 0 unavailable
...
Conditions:
  Type           Status  Reason
  ----           ------  ------
  Available      True    MinimumReplicasAvailable
  Progressing    True    NewReplicaSetAvailable
...

Waktu tunggu I/O permintaan webhook penerimaan habis

Jika Anda menerima error yang mirip dengan berikut saat rekonsiliasi mencoba menerapkan konfigurasi ke cluster, port webhook penerimaan 8676 mungkin diblokir oleh firewall ke jaringan bidang kontrol:

KNV2009: Internal error occurred: failed calling webhook "v1.admission-webhook.configsync.gke.io": Post https://admission-webhook.config-management-system.svc:8676/admission-webhook?timeout=3s: dial tcp 10.1.1.186:8676: i/o timeout

Untuk mengatasi masalah ini, tambahkan aturan firewall untuk mengizinkan port 8676, yang digunakan webhook penerimaan Config Sync untuk pencegahan penyimpangan. Port 8676 harus dibuka dari bidang kontrol ke node karena bidang kontrol harus dapat menjangkau backend webhook di node cluster.

Webhook penerimaan menolak permintaan

Jika Anda menerima error berikut saat mencoba menerapkan perubahan pada kolom yang dikelola oleh Config Sync, Anda mungkin telah melakukan perubahan yang bertentangan:

error: OBJECT could not be patched: admission webhook "v1.admission-webhook.configsync.gke.io"
denied the request: fields managed by Config Sync can not be modified

Jika Anda mengaktifkan perlindungan penyimpangan, saat Anda mendeklarasikan kolom dalam konfigurasi dan repositori Anda disinkronkan ke cluster, Config Sync akan mengelola kolom tersebut. Setiap perubahan yang Anda coba lakukan pada kolom tersebut adalah perubahan yang bertentangan.

Misalnya, jika Anda memiliki konfigurasi Deployment di repositori dengan label environment:prod dan Anda mencoba mengubah label tersebut menjadi environment:dev di cluster, akan ada perubahan yang bertentangan dan Anda akan menerima pesan error sebelumnya. Namun, jika Anda menambahkan label baru (misalnya, tier:frontend) ke Deployment, tidak akan ada konflik.

Jika Anda ingin Config Sync mengabaikan perubahan pada objek, Anda dapat menambahkan anotasi yang dijelaskan dalam Mengabaikan mutasi objek.

Gagal menghapus semua jenis resource

Namespace yang terjebak dalam fase Terminating memiliki kondisi berikut:

    message: 'Failed to delete all resource types, 1 remaining: admission webhook
      "v1.admission-webhook.configsync.gke.io" denied the request: system:serviceaccount:kube-system:namespace-controller
      is not authorized to delete managed resource "_configmap_bookstore_cm1"'
    reason: ContentDeletionFailed
    status: "True"
    type: NamespaceDeletionContentFailure

Error ini terjadi saat Anda mencoba menghapus objek Namespace dari repositori root, tetapi beberapa objek di namespace masih dikelola secara aktif oleh rekonsiliasi namespace. Saat namespace dihapus, pengontrol namespace, yang akun layanannya adalah system:serviceaccount:kube-system:namespace-controller, akan mencoba menghapus semua objek di namespace tersebut. Namun, webhook penerimaan Config Sync hanya mengizinkan rekonsiliasi root atau namespace untuk menghapus objek ini, dan menolak pengontrol namespace untuk menghapus objek ini.

Untuk mengatasi masalah ini, hapus webhook penerimaan Config Sync:

kubectl delete deployment.apps/admission-webhook -n config-management-system

Operator ConfigManagement membuat ulang webhook penerimaan Config Sync.

Jika solusi ini tidak berhasil, Anda mungkin perlu menginstal ulang Config Sync.

Agar tidak mengalami error lagi, hapus repositori namespace sebelum menghapus namespace.

Langkah berikutnya

  • Jika Anda masih mengalami masalah, periksa apakah masalah Anda adalah masalah umum.

  • Jika Anda tidak dapat menemukan solusi untuk masalah Anda dalam dokumentasi, lihat Mendapatkan dukungan untuk mendapatkan bantuan lebih lanjut, termasuk saran tentang topik berikut: