Istio サービス メッシュ アドオンの一般的なトラブルシューティング

この記事では、Microsoft Azure Kubernetes Service (AKS) の Istio サービス メッシュ アドオンに関連する問題をトラブルシューティングするための一般的な戦略 (、istioctl、、およびその他のツールを使用kubectl) について説明します。 この記事では、考えられるエラー メッセージ、エラー発生の理由、およびこれらのエラーを解決するための推奨事項の一覧も示します。

前提条件

• Azure CLI

• Kubernetes kubectl ツール、またはクラスターに接続するための同様のツール

  メモ：Azure CLI を使用して kubectl をインストールするには、az aks install-cli コマンドを実行します。

• Istio istioctl コマンド ライン ツール

• クライアント URL (cURL) ツール

トラブルシューティング チェックリスト: kubectl の使用

次のトラブルシューティング手順では、さまざまな kubectl コマンドを使用して、Istio デーモン (Istiod) でスタックしているポッドまたはエラーをデバッグするのに役立ちます。

手順 1: Istiod ポッド ログを取得する

次の kubectl logs コマンドを実行して、Istiod ポッド ログを取得します。

kubectl logs --selector app=istiod --namespace aks-istio-system

手順 2: ポッドをバウンス (削除) する

ポッドを再起動する理由が十分にある可能性があります。 Istiod はデプロイであるため、 kubectl delete コマンドを実行するだけでポッドを削除しても安全です。

kubectl delete pods <istio-pod> --namespace aks-istio-system

Istio ポッドはデプロイによって管理されるため、Istio ポッドを直接削除すると、ポッドが自動的に再作成され、再デプロイされます。 そのため、ポッドを削除することは、ポッドを再起動するための別の方法です。

kubectl rollout restart deployment <istiod-asm-revision> --namespace aks-istio-system

手順 3: リソースの状態を確認する

Istiod がスケジュールされていない場合、またはポッドが応答していない場合は、デプロイとレプリカ セットの状態をチェックすることもできます。 これを行うには、 kubectl get コマンドを実行します。

kubectl get <resource-type> [[--selector app=istiod] | [<resource-name>]]

現在のリソースの状態は、出力の終わり近くに表示されます。 出力には、コントローラー ループに関連付けられているイベントが表示される場合もあります。

手順 4: カスタム リソース定義の種類を取得する

Istio で使用されるカスタム リソース定義 (CRD) の種類を表示するには、次のコマンドを kubectl get 実行します。

kubectl get crd | grep istio

次に、次 kubectl get のコマンドを実行して、特定の CRD に基づくすべてのリソース名を一覧表示します。

kubectl get <crd-type> --all-namespaces

手順 5: Istiod ポッドの一覧を表示する

次 kubectl get のコマンドを実行して、Istiod ポッドの一覧を表示します。

kubectl get pod --namespace aks-istio-system --output yaml

手順 6: Envoy 構成の詳細を取得する

ポッド間の接続の問題がある場合は、Envoy の管理ポートに対して次の kubectl exec コマンドを実行して、Envoy 構成に関する詳細情報を取得します。

kubectl exec --namespace <pod-namespace> \
    "$(kubectl get pods \
        --namespace <pod-namespace> \
        --selector app=sleep \
        --output jsonpath='{.items[0].metadata.name}')" \
    --container sleep \
-- curl -s localhost:15000/clusters

手順 7: ソースと宛先のサイドカーのサイドカー ログを取得する

次 kubectl logs のコマンドを 2 回 (ソース ポッドの場合は初めて、宛先ポッドの場合は 2 回目) を実行して、ソースと宛先のサイドカーのサイドカー ログを取得します。

kubectl logs <pod-name> --namespace <pod-namespace> --container istio-proxy

トラブルシューティング チェックリスト: istioctl の使用

次のトラブルシューティング手順では、さまざまな istioctl コマンドを実行して、情報を収集し、メッシュ環境をデバッグする方法について説明します。

手順 1: Istio が正しくインストールされていることを確認する

正しい Istio アドオン のインストールがあることを確認するには、次の istioctl verify-install コマンドを実行します。

istioctl verify-install --istioNamespace aks-istio-system --revision <tag>

手順 2: 名前空間を分析する

すべての名前空間を分析したり、特定の名前空間を分析したりするには、次の istioctl analyze コマンドを実行します。

istioctl analyze --istioNamespace aks-istio-system \
    --revision <tag> \
    [--all-namespaces | --namespace <namespace-name>] \
    [--failure-threshold {Info | Warning | Error}]

手順 3: プロキシの状態を取得する

プロキシの状態を取得するには、次の istioctl proxy-status コマンドを 実行します。

istioctl proxy-status pod/<pod-name> \
    --istioNamespace aks-istio-system \
    --revision <tag> \
    --namespace <pod-namespace>

手順 4: プロキシ構成をダウンロードする

プロキシ構成をダウンロードするには、次の istioctl proxy-config all コマンドを 実行します。

istioctl proxy-config all <pod-name> \
    --istioNamespace aks-istio-system \
    --namespace <pod-namespace> \
    --output json

手順 5: インジェクションの状態を確認する

リソースのインジェクション状態をチェックするには、次の istioctl 試験的な チェック-inject コマンドを実行します。

istioctl experimental check-inject --istioNamespace aks-istio-system \
    --namespace <pod-namespace> \
    --labels <label-selector> | <pod-name> | deployment/<deployment-name>

手順 6: 完全なバグ レポートを取得する

完全なバグ レポートには、最も詳細な情報が含まれています。 ただし、すべてのポッドが含まれているため、大規模なクラスターでは時間がかかる場合もあります。 バグ レポートを特定の名前空間に制限できます。 レポートを特定のデプロイ、ポッド、またはラベル セレクターに制限することもできます。

バグ レポートを取得するには、次の istioctl bug-report コマンドを 実行します。

istioctl bug-report --istioNamespace aks-istio-system \
    [--include <namespace-1>[, <namespace-2>[, ...]]]

トラブルシューティング チェックリスト: その他の問題

手順 1: リソースの使用に関する問題を修正する

Envoy でメモリ消費量が多い場合は、統計データ収集の Envoy 設定をダブルチェックします。 MeshConfig を使用して Istio メトリックをカスタマイズする場合は、特定のメトリックのカーディナリティが高くなる可能性があるため、メモリ占有領域が高くなることに注意してください。 コンカレンシーなど、MeshConfig の他のフィールドは CPU 使用率に影響し、慎重に構成する必要があります。

既定では、Istio はすべての Envoy 構成にクラスター内のすべてのサービスに関する情報を追加します。 サイドカーでは、この追加のスコープを特定の名前空間内のワークロードのみに制限できます。 詳細については、「 この Istio プロキシ サイドカー メモリの落とし穴に注意する」を参照してください。

たとえば、名前空間のaks-istio-system次Sidecarの定義では、メッシュaks-istio-system全体のすべてのプロキシの Envoy 構成が、その特定のアプリケーションと同じ名前空間内のその他のワークロードに制限されます。

apiVersion: networking.istio.io/v1alpha3
kind: Sidecar
metadata:
  name: sidecar-restrict-egress
  namespace: aks-istio-system  # Needs to be deployed in the root namespace.
spec:
  egress:
  - hosts:
    - "./*"
    - "aks-istio-system/*"

MeshConfig で Istio discoverySelectors オプションを使用することもできます。 オプションには discoverySelectors Kubernetes セレクターの配列が含まれており、Istiod の認識を (クラスター内のすべての名前空間ではなく) 特定の名前空間に制限できます。 詳細については、「 検出セレクターを使用して Istio サービス メッシュの名前空間を構成する」を参照してください。

手順 2: トラフィックとセキュリティの構成ミスの問題を修正する

Istio ユーザーが頻繁に発生する一般的なトラフィック管理とセキュリティ構成の誤りの問題に対処するには、Istio Web サイトの トラフィック管理の問題 と セキュリティの問題 に関するページを参照してください。

サイドカーの挿入、監視可能性、アップグレードなど、その他の問題に関する説明へのリンクについては、Istio ドキュメント サイトの 一般的な問題 に関するページを参照してください。

手順 3: CoreDNS オーバーロードを回避する

CoreDNS オーバーロードに関連する問題では、Istio MeshConfig 定義のフィールドなど dnsRefreshRate 、特定の Istio DNS 設定を変更することが必要になる場合があります。

手順 4: ポッドとサイドカーの競合状態を修正する

Envoy サイドカーが起動する前にアプリケーション ポッドが起動すると、アプリケーションが応答しなくなるか、再起動する可能性があります。 この問題を回避する方法については、「 istio-proxy の準備ができていない場合は、ポッドまたはコンテナーがネットワークの問題から始まる」を参照してください。 具体的には、MeshConfig フィールドdefaultConfigを holdApplicationUntilProxyStarts にtrue設定すると、これらの競合状態を防ぐことができます。

エラー メッセージ

次の表に、考えられるエラー メッセージ (アドオンのデプロイ、イングレス ゲートウェイの有効化、アップグレードの実行)、エラーが発生した理由、エラーを解決するための推奨事項の一覧を示します。

関連情報

• Istio デバッグに関する一般的なヒントについては、「Istio 診断ツール」を参照してください。

• Istio サービス メッシュ アドオン MeshConfig のトラブルシューティング

• Istio サービス メッシュ アドオンイングレス ゲートウェイのトラブルシューティング

• Istio サービス メッシュ アドオンのマイナー リビジョン アップグレードのトラブルシューティング

• Istio サービス メッシュ アドオン プラグイン CA 証明書のトラブルシューティング

サードパーティの情報に関する免責事項

この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。

お問い合わせはこちらから

質問がある場合やヘルプが必要な場合は、サポート要求を作成するか、Azure コミュニティ サポートにお問い合わせください。 Azure フィードバック コミュニティに製品フィードバックを送信することもできます。