azure - 无法使用 AKS 和 ACR 拉取新映像
问题描述
我突然在使用 AKS 从 Azure 容器注册表中提取最新映像时遇到问题(以前运行良好。
如果我跑
kubectl describe pod <podid> I get:
Failed to pull image <image>: rpc error: code = Unknown desc = Error response from daemon: Get <image>: unauthorized: authentication required
我尝试手动登录 ACR,一切正常 - 新图像已正确推送,我可以手动拉取它们。
此外,我尝试过:
az aks update -g MyResourceGroup -n MyManagedCluster --attach-acr acrName
哪个成功(没有错误,输出传播成功)但它仍然不起作用。
我尝试使用以下方法更新凭据:
az aks update-credentials --resource-group <group>--name <aks name>--reset-service-principal --service-principal <sp id> --client-secret <client-secret>
这吐出了一条相当奇怪的信息:
Deployment failed. Correlation ID: 6e84754a-821d-4a39-a0df-7ab9ba21973f.
Unable to get log analytics workspace info. Resource ID:
/subscriptions/<subscription id>/resourcegroups/defaultresourcegroup-
weu/providers/microsoft.operationalinsights/workspaces/defaultworkspace-
d259e6ea-8230-4cb0-a7a8-7f0df6c7ef18-weu. Details: autorest/azure: Service
returned an error. Status=404 Code="ResourceGroupNotFound"
Message="Resource group 'defaultresourcegroup-weu' could not be found.". For
more details about how to create and use log analytics workspace, please
refer to: https://aka.ms/new-log-analytics
我尝试创建一个新的日志分析工作区,但上述错误仍然存在。
我还尝试了以下步骤:
除了上面的帖子之外,我还浏览了许多教程和 Microsoft 页面来尝试解决问题。
我尝试创建一个新的服务主体并为其分配适当的角色,但错误仍然存在。我也尝试过创造新的秘密,但没有成功。
我不需要新图像的 pod 都按预期运行。如果我查看我的应用程序注册(在 azure 活动目录下),它们都是一年前创建的 - 所以我担心某些东西已过期,我不知道如何修复它。
解决方案
有两种方法可以排序
- 将 ACR 映射到 AKS
CLIENT_ID=$(az aks show --resource-group $AKS_RESOURCE_GROUP --name
$AKS_CLUSTER_NAME --subscription $SUBSCRIPTION_ID --query "servicePrincipalProfile.clientId" --output tsv)
ACR_ID=$(az acr show --name $ACR_NAME --resource-group $ACR_RESOURCE_GROUP --subscription $SUBSCRIPTION_ID --query "id" --output tsv)
az role assignment create --assignee $CLIENT_ID --role Reader --scope $ACR_ID
另一种方法是添加 Image pull secret,其类型为 kubernetes.io/dockerconfigjson
这可以通过 -
kubectl create secret docker-registry regcred --docker-server=<your-registry-server> --docker-username=<your-name> --docker-password=<your-pword> --docker-email=<your-email>
然后您可以在部署文件中将此机密称为 imagePullSecret 并且不会出现身份验证错误
推荐阅读
- java - 如何模拟注入的实现列表?
- jmeter - 如何从命令提示符(非 GUI)在 Jmeter 中配置多个实例
- sql-server - 具有唯一约束的 SQL Server 到 PostgreSQL
- qt - 源更改后 QML AnimatedImage 冻结
- reactjs - Map 方法需要箭头函数的回调(Array.prototype.map() 需要箭头函数的返回值)?
- sql - 更改 Redshift 排序键不会更改查询时间
- android - 如何过滤数据分页 3 Android?
- python - json 保存和加载文件
- postgresql - PostgreSQL:将数据从一个模式复制到另一个模式的 Trubles
- python - 如何从多个值中获取键?