このページの改善にご協力ください

このユーザーガイドに貢献するには、すべてのページの右側のペインにある「GitHub でこのページを編集する」リンクを選択してください。

EKS 機能をトラブルシューティングする

このトピックでは、機能のヘルスチェック、よくある問題、機能固有のトラブルシューティングへのリンクなど、EKS 機能に関する一般的なトラブルシューティングのガイダンスを示します。

一般的なトラブルシューティングのアプローチ

EKS 機能をトラブルシューティングするときは、次の一般的なアプローチに従ってください。

機能のヘルスを確認する

すべての EKS 機能が、EKS コンソールと describe-capability API を介してヘルス情報を提供します。

コンソール:

[機能] タブには以下が表示されます。

AWS CLI:

aws eks describe-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-capability-name

レスポンスは以下のとおりです。

機能でよく見られるステータス

CREATING: 機能のセットアップ中です。

ACTIVE: 機能の実行中ですぐに使用できるようになります。リソースが想定どおりに動作しない場合は、リソースのステータスと IAM アクセス許可を確認してください。

UPDATING: 設定変更の適用中です。ステータスが ACTIVE に戻るまで待ちます。

CREATE_FAILED または UPDATE_FAILED: セットアップまたは更新でエラーが発生しました。詳細については、ヘルスに関するセクションを確認してください。一般的な原因:

Kubernetes リソースのステータスを確認する

EKS 機能は、クラスターで Kubernetes カスタムリソース定義 (CRD) を作成および管理します。トラブルシューティングするときは、作成したリソースのステータスを確認してください。

# List resources of a specific type
kubectl get resource-kind -A

# Describe a specific resource to see conditions and events
kubectl describe resource-kind
         resource-name -n namespace

# View resource status conditions
kubectl get resource-kind
         resource-name -n namespace -o jsonpath='{.status.conditions}'

# View events related to the resource
kubectl get events --field-selector involvedObject.name=resource-name -n namespace
      

リソースのステータス条件では、以下の情報を確認できます。

IAM アクセス許可とクラスターアクセスを確認する

機能で発生する問題の多くは、IAM アクセス許可に問題があるか、クラスターアクセス設定が欠落していることに起因しています。機能ロールのアクセス許可とクラスターアクセスのエントリの両方を検証します。

IAM ロール許可をチェックする

必要なアクセス許可が機能ロールに付与されていることを確認します。

# List attached managed policies
aws iam list-attached-role-policies --role-name my-capability-role

# List inline policies
aws iam list-role-policies --role-name my-capability-role

# Get specific policy details
aws iam get-role-policy --role-name my-capability-role --policy-name policy-name

# View the role's trust policy
aws iam get-role --role-name my-capability-role --query 'Role.AssumeRolePolicyDocument'

この信頼ポリシーは、capabilities.eks.amazonaws.com サービスプリンシパルを許可する必要があります。

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "capabilities.eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

EKS アクセスエントリとアクセスポリシーを確認する

どの機能でも、動作しているクラスターで適切な EKS アクセスエントリとアクセスポリシーが必要です。

アクセスエントリが存在することを確認する:

aws eks list-access-entries \
  --cluster-name my-cluster \
  --region region-code
         

リスト内で機能ロール ARN を探します。見つからない場合、機能はクラスターにアクセスできません。

エントリにアタッチされているアクセスポリシーを確認する:

aws eks list-associated-access-policies \
  --cluster-name my-cluster \
  --principal-arn arn:aws:iam::111122223333:role/my-capability-role \
  --region region-code
         

どの機能にも、適切なアクセスポリシーが必要です。

Argo CD によるマルチクラスターのデプロイの場合:

リモートクラスターにデプロイする場合は、ターゲットクラスターごとに機能ロールのアクセスエントリがあることを確認します。

# Check Access Entry on target cluster
aws eks describe-access-entry \
  --cluster-name target-cluster \
  --principal-arn arn:aws:iam::111122223333:role/argocd-capability-role \
  --region region-code
         

ターゲットクラスターにアクセスエントリがない場合、Argo CD はそのクラスターにアプリケーションをデプロイできません。設定の詳細については、「ターゲットクラスターを登録する」を参照してください。

機能に固有のトラブルシューティング

各機能タイプに固有の詳しいトラブルシューティングガイダンスについては、以下を参照してください。

すべての機能に共通する問題

CREATING 状態で機能が停止する

機能が想定よりも長く CREATING 状態のままである場合:

リソースが作成または更新されない

機能が ACTIVE であるのにリソースが作成または更新されない場合:

機能のヘルスに問題がある

describe-capability がヘルスの問題を示している場合:

次のステップ