AKS ma jistax jiġbed image minn registry privat wara l-VPN tiegħek
Il-kubelet jiġbed permezz tan-netwerk tan-node, mhux permezz tal-VPN tal-pod. Iddeċiedi bil-mogħdijiet tan-node, id-DNS tan-node, kull endpoint li jmiss il-ġbid, imbagħad TLS u identità.
Il-laptop tiegħek jiġbed l-image mingħajr problemi, iżda l-pod jibqa’ fi ImagePullBackOff. Il-proposta li tmexxi l-klijent VPN korporattiv bħala sidecar ma tgħinx, għax il-ġbid iseħħ qabel ma l-container tiegħek jeżisti: il-kubelet jitlob lill-container runtime fuq in-node biex iġib l-image, u r-runtime juża n-netwerk namespace tan-node.
L-ordni tal-operazzjonijiet jiddeċiedi s-saff
L-ewwel tiġi r-riżoluzzjoni tal-isem, imbagħad konnessjoni, awtentikazzjoni, u t-tniżżil tas-saffi, u biss wara jibda l-container. Kollox li l-pod jagħmel bil-VPN iseħħ wara dik is-sekwenza, għalhekk tunnel li jaħdem fil-cluster mhuwiex prova dwar il-ġbid.
Għalhekk image fil-cache hija gidba konvinċenti: node li ġibed l-image ġimgħat ilu jibqa’ jserviha, id-deployment jidher f’siegħa, u l-falliment jidher biss meta l-ischeduler iqiegħed replika fuq node ġdid. scale-up jew sostituzzjoni tan-node hija x-xrara, mhux il-kawża.
Tliet kundizzjonijiet jiddeċiedu t-tiswija
L-aċċessibbiltà tiddependi fuq ir-routing, ir-riżoluzzjoni tal-ismijiet u s-sett ta’endpoints. Jekk is-subnet tan-node ma tistax tirrotta lejn in-netwerk tar-registry, l-ebda credential ma tgħin. Jekk l-isem ma jiġix riżolt mid-DNS tan-node, il-konnessjoni ma tibdiex. Jekk jintlaħaq biss il-manifest u mhux il-blob, il-ġbid ifalli fin-nofs.
| Condition | Typical symptom | Where to look |
|---|---|---|
| Node subnet has no route to the registry network | Timeout, no connection | Effective routes on the node NIC, gateway transit, return path on-premises |
| Node resolver cannot see the private zone | Name resolution failure in events | VNet DNS settings and the resolver the node actually uses |
| Only the manifest endpoint is reachable | Auth succeeds, layer download fails | Every hostname the registry hands out during the pull |
| TLS or identity is wrong | Certificate error, 401 or 403 | Server certificate name and trust, scoped pull identity |
Il-VNet peering waħdu ma jagħtik kull konfigurazzjoni ta’ gateway transit, u rotta f’ direzzjoni waħda mhijiex rotta li taħdem. In-node jeħtieġ mogħdija appoġġjata mill-VPN gateway maħsub, u n-naħa tar-registry rotta lura għas-subnet tan-node.
Aqra l-falliment qabel tagħżel tiswija
Ibda bl-avvenimenti tal-pod u n-node li waqa’ fuqu, bl-ismijiet veri tiegħek: kubectl describe pod app-example -n team-example u kubectl get pod app-example -n team-example -o wide. It-test tal-avveniment jifred hostname mhux riżolt minn timeout, rifjut ta’ ċertifikat minn image nieqsa, u falliment ta’ awtorizzazzjoni minn kollha.
L-awtentikazzjoni hija l-aktar lieva stmata iżżejjed. imagePullSecret jagħti lir-runtime il-credential tar-registry; ma jinstallax rotta, ma jbiddilx ir-resolver tan-node u ma jagħmilx ċertifikat mhux affidabbli validu. Jekk l-avveniment jgħid li l-ġbid ma kienx awtorizzat, ara l-firxa tal-identità; jekk jgħid li l-konnessjoni skadiet, il-credential mhumiex rilevanti.
Id-dokumentazzjoni tal-images ta’ Kubernetes hija r-referenza għall-imġiba tal-ġbid u l-credential tar-registries privati, u jiswa li tinqara darba qabel tibdel in-netwerk, għax tagħmel il-fruntiera bejn awtentikazzjoni u trasport ċara.
Ibni l-mogħdija taħt il-pod
Aħdem f’ din l-ordni. L-ewwel irrotta n-netwerk tan-node: ikkonferma li s-subnet għandha mogħdija appoġġjata lejn in-netwerk tar-registry, iċċekkja r-rotot effettivi fuq in-node, ir-regoli tas-sigurtà f’ż-żewġ trufijiet u r-rotta lura fin-naħa tar-registry.
Imbagħad irriżolvi l-isem mill-kuntest tan-node. Ir-resolver tan-node mhuwiex il-konfigurazzjoni DNS tal-pod, u s-suċċess fil-pod mhuwiex prova dwar ir-runtime tal-host. Uża DNS privat immaniġġjat minflok entrata hosts permanenti; l-entrata tgħix sa ma jkun sostitwit in-node u mbagħad tgħib bil-kwiet.
Imbagħad ipprova kull endpoint. Ir-registry jista’ jagħti lis-klijent servizz ta’ awtentikazzjoni separat u ħażna tal-blob separata. Li tasal għall-manifest kważi ma tipprova xejn dwar is-saffi. Fl-aħħar temm TLS u awtorizzazzjoni: ċertifikat validu għall-isem tar-registry u affidabbli permezz ta’ konfigurazzjoni tan-node appoġġjata, flimkien ma’ identità tal-ġbid limitata għall-qari ta’ dak ir-repo.
Ivverifika fuq node li ma ssewwixtx b’idejk
It-test li jgħodd huwa ġbid ġdid u tniżżil sħiħ tas-saffi kollha fuq node adattat, aħjar wieħed maħluq permezz ta’ skalament jew sostituzzjoni. Dan ikopri l-pools kollha li jistgħu jqiegħdu l-workload, inklużi dawk li nsejt. Tiswija b’idejn fuq node wieħed mhijiex mudell ta’ ġbir, u l-avveniment autoscale li jmiss isib il-vojt.
Terġa’ toħloq il-cluster f’ VNet oħra tista’ tbiddel il-mogħdija, imma dak huwa l-aħħar mezz u mhux l-ewwel pass dijanjostiku. Qabbel in-netwerk tan-nodes eżistenti mar-rotta privata meħtieġa u mal-kontrolli tan-netwerk AKS appoġġjati qabel tipproponi migrazzjoni, u żomm il-konnettività tal-applikazzjoni wara t-tnedija bħala verifika separata: il-pod li jitkellem mal-backend tiegħu huwa kontroll differenti minn node li jniżżel l-image.