Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

帮助改进此页面

要帮助改进本用户指南，请选择位于每个页面右侧窗格中的在 GitHub 上编辑此页面链接。

EKS 功能问题排查

本主题提供了 EKS 功能的一般问题排查指南，包括功能运行状况检查、常见问题以及功能特定的问题排查链接。

一般问题排查方法

对 EKS 功能进行问题排查时，请遵循以下一般方法：

检查功能运行状况

所有 EKS 功能都通过 EKS 控制台和 describe-capability API 提供运行状况信息。

控制台：

“功能”选项卡显示：

Amazon CLI：

aws eks describe-capability \
  --region region-code \
  --cluster-name my-cluster \
  --capability-name my-capability-name

响应包括以下内容：

常见功能状态

CREATING：正在设置功能。

ACTIVE：功能正在运行中并可供使用。如果资源未按预期运行，请检查资源状态和 IAM 权限。

UPDATING：正在应用配置更改。等待状态恢复为 ACTIVE。

CREATE_FAILED 或 UPDATE_FAILED：安装或更新遇到错误。有关详细信息，请查看“运行状况”部分。常见原因：

验证 Kubernetes 资源状态

EKS 功能在您的集群中创建并管理 Kubernetes 自定义资源定义（CRD）。进行问题排查时，请检查您创建的资源的状态：

# List resources of a specific type
kubectl get resource-kind -A

# Describe a specific resource to see conditions and events
kubectl describe resource-kind
         resource-name -n namespace

# View resource status conditions
kubectl get resource-kind
         resource-name -n namespace -o jsonpath='{.status.conditions}'

# View events related to the resource
kubectl get events --field-selector involvedObject.name=resource-name -n namespace
      

资源状态条件提供有关以下内容的信息：

查看 IAM 权限和集群访问权限

许多功能问题源于 IAM 权限问题或缺少集群访问配置。验证功能角色权限和集群访问条目。

检查 IAM 角色权限

验证功能角色是否具有必要的权限：

# List attached managed policies
aws iam list-attached-role-policies --role-name my-capability-role

# List inline policies
aws iam list-role-policies --role-name my-capability-role

# Get specific policy details
aws iam get-role-policy --role-name my-capability-role --policy-name policy-name

# View the role's trust policy
aws iam get-role --role-name my-capability-role --query 'Role.AssumeRolePolicyDocument'

此信任策略必须允许 capabilities.eks.amazonaws.com 服务主体执行以下操作：

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "capabilities.eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

检查 EKS 访问条目和访问策略

所有功能都需要在其运行的集群上使用适当的 EKS 访问条目和访问策略。

验证访问条目是否存在：

aws eks list-access-entries \
  --cluster-name my-cluster \
  --region region-code
         

在列表中查找功能角色 ARN。如果缺失，则该功能将无法访问集群。

查看条目所附加的访问策略：

aws eks list-associated-access-policies \
  --cluster-name my-cluster \
  --principal-arn arn:aws:iam::111122223333:role/my-capability-role \
  --region region-code
         

所有功能都需要适当的访问策略：

对于 Argo CD 多集群部署：

如果部署到远程集群，请验证功能角色是否在每个目标集群上都有访问条目：

# Check Access Entry on target cluster
aws eks describe-access-entry \
  --cluster-name target-cluster \
  --principal-arn arn:aws:iam::111122223333:role/argocd-capability-role \
  --region region-code
         

如果目标集群上缺少访问条目，Argo CD 将无法向其部署应用程序。有关配置详细信息，请参阅注册目标集群。

功能特定问题排查

有关每种功能类型特定的详细问题排查指南：

所有功能的常见问题

功能停留在 CREATING 状态

如果某项功能保持在 CREATING 状态的时间超过预期：

没有创建或更新资源

如果功能状态为 ACTIVE，但没有创建或更新资源：

功能运行状况显示问题

如果 describe-capability 显示运行状况问题：

后续步骤