Falha na propagação de recursos: ClusterResourcePlacementOverridden é False

Artigo
08/06/2024

Este artigo discute como solucionar ClusterResourcePlacementOverridden problemas ao propagar recursos usando a API de ClusterResourcePlacement objeto no Microsoft Azure Kubernetes Fleet Manager.

Sintomas

Quando você usa o objeto de ClusterResourcePlacement API no Gerenciador de Frota de Kubernetes do Azure para propagar recursos, a implantação falha. O clusterResourcePlacementOverridden status é exibido como False.

Motivo

Esse problema pode ocorrer porque o ClusterResourceOverride ou ResourceOverride é criado usando um caminho de campo inválido para o recurso.

Estudo de caso

No exemplo a seguir, é feita uma tentativa de substituir a função secret-reader de cluster que é propagada pelo ClusterResourcePlacement para os clusters selecionados. No entanto, o ClusterResourceOverride é criado usando um caminho inválido para o recurso.

ClusterRole

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
annotations:
kubectl.kubernetes.io/last-applied-configuration: |
{"apiVersion":"rbac.authorization.k8s.io/v1","kind":"ClusterRole","metadata":{"annotations":{},"name":"secret-reader"},"rules":[{"apiGroups":[""],"resources":["secrets"],"verbs":["get","watch","list"]}]}
creationTimestamp: "2024-05-14T15:36:48Z"
name: secret-reader
resourceVersion: "81334"
uid: 108e6312-3416-49be-aa3d-a665c5df58b4
rules:
- apiGroups:
  - ""
    resources:
  - secrets
    verbs:
  - get
  - watch
  - list

O ClusterRole secret-reader que é propagado para os clusters de membros pelo ClusterResourcePlacement.

Especificações de ClusterResourceOverride

spec:
  clusterResourceSelectors:
  - group: rbac.authorization.k8s.io
    kind: ClusterRole
    name: secret-reader
    version: v1
  policy:
    overrideRules:
    - clusterSelector:
        clusterSelectorTerms:
        - labelSelector:
            matchLabels:
              env: canary
      jsonPatchOverrides:
      - op: add
        path: /metadata/labels/new-label
        value: new-value

O ClusterResourceOverride é criado para substituir o ClusterRole secret-reader adicionando um novo rótulo (new-label) que tem o valor new-value para os clusters que têm o rótulo env: canary.

Especificações do ClusterResourcePlacement

spec:
  resourceSelectors:
    - group: rbac.authorization.k8s.io
      kind: ClusterRole
      name: secret-reader
      version: v1
  policy:
    placementType: PickN
    numberOfClusters: 1
    affinity:
      clusterAffinity:
        requiredDuringSchedulingIgnoredDuringExecution:
          clusterSelectorTerms:
            - labelSelector:
                matchLabels:
                  env: canary
  strategy:
    type: RollingUpdate
    applyStrategy:
      allowCoOwnership: true

Status do ClusterResourcePlacement:

status:
  conditions:
  - lastTransitionTime: "2024-05-14T16:16:18Z"
    message: found all cluster needed as specified by the scheduling policy, found
      1 cluster(s)
    observedGeneration: 1
    reason: SchedulingPolicyFulfilled
    status: "True"
    type: ClusterResourcePlacementScheduled
  - lastTransitionTime: "2024-05-14T16:16:18Z"
    message: All 1 cluster(s) start rolling out the latest resource
    observedGeneration: 1
    reason: RolloutStarted
    status: "True"
    type: ClusterResourcePlacementRolloutStarted
  - lastTransitionTime: "2024-05-14T16:16:18Z"
    message: Failed to override resources in 1 cluster(s)
    observedGeneration: 1
    reason: OverriddenFailed
    status: "False"
    type: ClusterResourcePlacementOverridden
  observedResourceIndex: "0"
  placementStatuses:
  - applicableClusterResourceOverrides:
    - cro-1-0
    clusterName: kind-cluster-1
    conditions:
    - lastTransitionTime: "2024-05-14T16:16:18Z"
      message: 'Successfully scheduled resources for placement in kind-cluster-1 (affinity
        score: 0, topology spread score: 0): picked by scheduling policy'
      observedGeneration: 1
      reason: Scheduled
      status: "True"
      type: Scheduled
    - lastTransitionTime: "2024-05-14T16:16:18Z"
      message: Detected the new changes on the resources and started the rollout process
      observedGeneration: 1
      reason: RolloutStarted
      status: "True"
      type: RolloutStarted
    - lastTransitionTime: "2024-05-14T16:16:18Z"
      message: 'Failed to apply the override rules on the resources: add operation
        does not apply: doc is missing path: "/metadata/labels/new-label": missing
        value'
      observedGeneration: 1
      reason: OverriddenFailed
      status: "False"
      type: Overridden
  selectedResources:
  - group: rbac.authorization.k8s.io
    kind: ClusterRole
    name: secret-reader
    version: v1

Se a ClusterResourcePlacementOverridden condição for False, verifique a placementStatuses seção para obter a causa exata da falha.

Nessa situação, a mensagem indica que a substituição falhou porque o caminho /metadata/labels/new-label e seu valor correspondente estão ausentes. Com base no exemplo anterior da função secret-readerde cluster, você pode ver que o caminho /metadata/labels/ não existe. Isso significa que labels isso não existe. Portanto, um novo rótulo não pode ser adicionado.

Resolução

Para substituir com êxito a função secret-readerde cluster, corrija o caminho e o valor em ClusterResourceOverride, conforme mostrado no código a seguir:

jsonPatchOverrides:
  - op: add
    path: /metadata/labels
    value: 
      newlabel: new-value

Isso adiciona o novo rótulo newlabel que tem o valor new-value ao ClusterRole secret-reader.

Entre em contato conosco para obter ajuda

Se você tiver dúvidas ou precisar de ajuda, crie uma solicitação de suporte ou peça ajuda à comunidade de suporte do Azure. Você também pode enviar comentários sobre o produto para a comunidade de comentários do Azure.

Compartilhar via