第 24 章 验证和故障排除

先决条件

• 有访问安装主机的访问权限。

流程

• 查看安装主机上安装目录中的 .openshift_install.log 日志文件：

  $ cat <install_dir>/.openshift_install.log

  Copy to Clipboard Toggle word wrap

  输出示例

  如果安装成功，日志末尾会包括集群凭证，如下例所示：

  ...
  time="2020-12-03T09:50:47Z" level=info msg="Install complete!"
  time="2020-12-03T09:50:47Z" level=info msg="To access the cluster as the system:admin user when using 'oc', run 'export KUBECONFIG=/home/myuser/install_dir/auth/kubeconfig'"
  time="2020-12-03T09:50:47Z" level=info msg="Access the OpenShift web-console here: https://console-openshift-console.apps.mycluster.example.com"
  time="2020-12-03T09:50:47Z" level=info msg="Login to the console with user: \"kubeadmin\", and password: \"password\""
  time="2020-12-03T09:50:47Z" level=debug msg="Time elapsed per stage:"
  time="2020-12-03T09:50:47Z" level=debug msg="    Infrastructure: 6m45s"
  time="2020-12-03T09:50:47Z" level=debug msg="Bootstrap Complete: 11m30s"
  time="2020-12-03T09:50:47Z" level=debug msg=" Bootstrap Destroy: 1m5s"
  time="2020-12-03T09:50:47Z" level=debug msg=" Cluster Operators: 17m31s"
  time="2020-12-03T09:50:47Z" level=info msg="Time elapsed: 37m26s"

  Copy to Clipboard Toggle word wrap

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。

流程

• 查看 master 或 worker 节点的 CRI-O 日志：

  $  oc adm node-logs <node_name> -u crio

  Copy to Clipboard Toggle word wrap

  输出示例

  用于访问日志条目的 Trying 指示镜像要从中拉取的位置。

  ...
  Mar 17 02:52:50 ip-10-0-138-140.ec2.internal crio[1366]: time="2021-08-05 10:33:21.594930907Z" level=info msg="Pulling image: quay.io/openshift-release-dev/ocp-release:4.10.0-ppc64le" id=abcd713b-d0e1-4844-ac1c-474c5b60c07c name=/runtime.v1alpha2.ImageService/PullImage
  Mar 17 02:52:50 ip-10-0-138-140.ec2.internal crio[1484]: time="2021-03-17 02:52:50.194341109Z" level=info msg="Trying to access \"li0317gcp1.mirror-registry.qe.gcp.devcluster.openshift.com:5000/ocp/release@sha256:1926eae7cacb9c00f142ec98b00628970e974284b6ddaf9a6a086cb9af7a6c31\""
  Mar 17 02:52:50 ip-10-0-138-140.ec2.internal crio[1484]: time="2021-03-17 02:52:50.226788351Z" level=info msg="Trying to access \"li0317gcp1.mirror-registry.qe.gcp.devcluster.openshift.com:5000/ocp/release@sha256:1926eae7cacb9c00f142ec98b00628970e974284b6ddaf9a6a086cb9af7a6c31\""
  ...

  Copy to Clipboard Toggle word wrap

  日志可能会显示镜像拉取源两次，如上例中所示。

  如果您的 ImageContentSourcePolicy 对象列出了多个镜像，OpenShift Container Platform 会尝试按照配置中列出的顺序拉取镜像，例如：

  Trying to access \"li0317gcp1.mirror-registry.qe.gcp.devcluster.openshift.com:5000/ocp/release@sha256:1926eae7cacb9c00f142ec98b00628970e974284b6ddaf9a6a086cb9af7a6c31\"
  Trying to access \"li0317gcp2.mirror-registry.qe.gcp.devcluster.openshift.com:5000/ocp/release@sha256:1926eae7cacb9c00f142ec98b00628970e974284b6ddaf9a6a086cb9af7a6c31\"

  Copy to Clipboard Toggle word wrap

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。
• 已安装 OpenShift CLI(oc)。

先决条件

• 已使用 Cloud Credential Operator 实用程序(ccoctl)部署了 OpenShift Container Platform 集群来实现短期凭证。
• 已安装 OpenShift CLI（oc）。
• 您以具有 cluster-admin 权限的用户身份登录。

流程

• 运行以下命令，验证 CCO 是否配置为以手动模式运行：

  $ oc get cloudcredentials cluster \
    -o=jsonpath={.spec.credentialsMode}

  Copy to Clipboard Toggle word wrap

  以下输出确认 CCO 以手动模式运行：

  输出示例

  Manual

  Copy to Clipboard Toggle word wrap

• 运行以下命令，验证集群没有 root 凭证：

  $ oc get secrets \
    -n kube-system <secret_name>

  Copy to Clipboard Toggle word wrap

  其中 <secret_name> 是云供应商的 root secret 的名称。

  Expand

  平台	Secret 名称
  Amazon Web Services (AWS)	aws-creds
  Microsoft Azure	azure-credentials
  Google Cloud Platform (GCP)	gcp-credentials

  Show more

  一个错误确认集群中不存在 root secret。

  AWS 集群的输出示例

  Error from server (NotFound): secrets "aws-creds" not found

  Copy to Clipboard Toggle word wrap

• 运行以下命令，验证组件是否在单个组件中使用短期安全凭证：

  $ oc get authentication cluster \
    -o jsonpath \
    --template='{ .spec.serviceAccountIssuer }'

  Copy to Clipboard Toggle word wrap

  此命令显示集群 Authentication 对象中 .spec.serviceAccountIssuer 参数的值。与云供应商关联的 URL 的输出表示集群使用从集群外部创建和管理的简短凭证的手动模式。

• Azure 集群：通过运行以下命令，验证组件假定 secret 清单中指定的 Azure 客户端 ID：

  $ oc get secrets \
    -n openshift-image-registry installer-cloud-credentials \
    -o jsonpath='{.data}'

  Copy to Clipboard Toggle word wrap

  输出中包含了 azure_client_id 和 azure_federated_token_file 字段代表组件假定 Azure 客户端 ID。

• Azure 集群 ：运行以下命令来验证 pod 身份 Webhook 是否正在运行：

  $ oc get pods \
    -n openshift-cloud-credential-operator

  Copy to Clipboard Toggle word wrap

  输出示例

  NAME                                         READY   STATUS    RESTARTS   AGE
  cloud-credential-operator-59cf744f78-r8pbq   2/2     Running   2          71m
  pod-identity-webhook-548f977b4c-859lz        1/1     Running   1          70m

  Copy to Clipboard Toggle word wrap

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。
• 已安装 OpenShift CLI(oc)。

• 集群的一般状态
• control plane、集群 Operator 和存储的状态
• CPU、内存、文件系统、网络传输和 pod 可用性
• 集群的 API 地址、集群 ID 和供应商名称
• 集群版本信息
• 集群更新状态，包括当前更新频道和可用更新的详情
• 详细节点、pod、存储类和持久性卷声明(PVC)信息的集群清单
• 持续集群活动和最近事件列表

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。

流程

• 在 Administrator 视角中，导航到 Home Overview。

先决条件

• 登录到 OpenShift Cluster Manager。
• 您可以使用具有 cluster-admin 角色的用户访问集群。

• etcd
• Kubernetes 计算资源
• Kubernetes 网络资源
• Prometheus
• 与集群和节点性能相关的仪表板

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。

• 如果您在安装集群时遇到问题，请参阅对 安装进行故障排除。
• 安装 OpenShift Container Platform 后，您可以 进一步扩展和自定义集群。