Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

App Mesh 设置故障排除

本主题详细介绍了您在设置 App Mesh 时可能遇到的常见问题。

无法提取 Envoy 容器镜像

症状

在 Amazon ECS 任务中，您会收到以下错误消息。以下消息中的 Amazon ECR 账户 ID 和地区可能会有所不同，具体取决于您从哪个 Amazon ECR 存储库中提取容器映像。

CannotPullContainerError: Error response from daemon: pull access denied for 840364872350.dkr.ecr.us-west-2.amazonaws.com/aws-appmesh-envoy, repository does not exist or may require 'docker login'

解决方案

此错误表示正在使用的任务执行角色无权与 Amazon ECR 通信，也无法从存储库中提取 Envoy 容器镜像。分配给您的 Amazon ECS 任务的任务执行角色需要包含以下声明的 IAM policy：

{
  "Action": [
    "ecr:BatchCheckLayerAvailability",
    "ecr:GetDownloadUrlForLayer",
    "ecr:BatchGetImage"
  ],
  "Resource": "arn:aws:ecr:us-west-2:111122223333:repository/aws-appmesh-envoy",
  "Effect": "Allow"
},
{
  "Action": "ecr:GetAuthorizationToken",
  "Resource": "*",
  "Effect": "Allow"
}

如果您的问题仍未解决，请考虑GitHub 提出问题或联系 Su Amazonpport。

无法连接到 App Mesh Envoy 管理服务

症状

您的 Envoy 代理无法连接到 App Mesh Envoy 管理服务。您将看到：

解决方案

确保您的 Envoy 代理可以访问互联网或私有 VPC 端点，并且您的安全组允许端口 443 上的出站流量。App Mesh 的公有 Enoy 管理服务端点遵循完全限定域名（FQDN）格式。

# App Mesh Production Endpoint
appmesh-envoy-management.Region-code.amazonaws.com

# App Mesh Preview Endpoint
appmesh-preview-envoy-management.Region-code.amazonaws.com

您可以使用以下命令调试与 EMS 的连接。这会向 Envoy 管理服务发送一个有效但空的 gRPC 请求。

curl -v -k -H 'Content-Type: application/grpc' -X POST https://appmesh-envoy-management.Region-code.amazonaws.com:443/envoy.service.discovery.v3.AggregatedDiscoveryService/StreamAggregatedResources

如果您收到这些回复，则表示您与 Envoy 管理服务的连接正常。要调试 gRPC 相关错误，请参阅 Envoy 中与 App Mesh Envoy 管理服务断开连接的错误以及错误文本。

grpc-status: 16
grpc-message: Missing Authentication Token

如果您的问题仍未解决，请考虑GitHub 提出问题或联系 Su Amazonpport。

Envoy 已断开与 App Mesh Envoy 管理服务的连接，并显示错误

症状

您的 Envoy 代理无法连接到 App Mesh Envoy 管理服务并接收其配置。您的 Envoy 代理日志包含如下所示的日志条目。

gRPC config stream closed: gRPC status code, message

解决方案

在大多数情况下，日志的消息部分应指出问题所在。下表列出了您可能看到的最常见的 gRPC 状态代码、其原因和解决方法。

您可以使用以下查询通过 Amazon CloudWatch Insigh ts 查看来自 Envoy 代理的状态代码和消息：

filter @message like /gRPC config stream closed/
| parse @message "gRPC config stream closed: *, *" as StatusCode, Message

如果提供的错误消息无济于事，或者您的问题仍未解决，请考虑提出GitHub 问题。

Envoy 容器运行状况检查、就绪探测或活跃度探测失败

症状

您的 Envoy 代理在 Amazon ECS 任务、Amazon EC2 实例或 Kubernetes 容器组 (pod) 中的运行状况检查失败。例如，您使用以下命令查询 Envoy 管理界面，但收到的状态不是 LIVE。

curl -s http://my-app.default.svc.cluster.local:9901/server_info | jq '.state'

解决方案

以下是补救步骤列表，具体取决于 Envoy 代理返回的状态。

如果您的问题仍未解决，请考虑GitHub 提出问题或联系 Su Amazonpport。

从负载均衡器到网格端点的运行状况检查失败

症状

容器运行状况检查或就绪探测器认为您的网格端点运行状况良好，但是从负载均衡器到网格端点的运行状况检查失败。

解决方案

要解决此问题，请完成以下任务。

如果您的问题仍未解决，请考虑GitHub 提出问题或联系 Su Amazonpport。

虚拟网关不接受端口 1024 或更少的流量

症状

您的虚拟网关不接受端口 1024 或更小的流量，但接受端口号大于 1024 的流量。例如，使用以下命令查询 Envoy 统计数据并收到一个非零值。

curl -s http://my-app.default.svc.cluster.local:9901/stats | grep "update_rejected"

您可能会在日志中看到类似于以下文本的文本，描述无法绑定到特权端口：

gRPC config for type.googleapis.com/envoy.api.v2.Listener rejected: Error adding/updating listener(s) lds_ingress_0.0.0.0_port_<port num>: cannot bind '0.0.0.0:<port num>': Permission denied

解决方案

要解决此问题，为网关指定的用户需要具有 linux 功能 CAP_NET_BIND_SERVICE。有关更多信息，请参阅《Linux 程序员手册》中的功能、ECS 任务定义参数中的 Linux 参数和 Kubernetes 文档中的设置容器功能。

如果您的问题仍未解决，请考虑GitHub 提出问题或联系 Su Amazonpport。