クラスターの AddonReconciled 条件が True ではないため、VKR アップグレードを開始できません。

Products

• VMware vSphere Kubernetes Service

Issue/Introduction

免責事項：これは英文の記事「VKR Upgrade cannot be initiated as cluster's AddonReconciled condition is not True」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

vSphere Kubernetes Service（VKS）クラスタのアップグレードを開始しようとした際、以下のようなエラーが返され、アップグレードを開始できない場合があります：

Error: upgrade cannot be initiated as cluster's AddonsReconciled condition is not True. 
Addon <addon name> is not ready: kapp: Error: Timed out waiting after 30s for resources: [deployment/<addon name> (apps/v1) namespace: <addon namespace>]

このエラーメッセージは、アドオンや進行状況によっては deployment の代わりに replicaset が表示される場合があります：

Error: Timed out waiting after 30s for resources: [replicaset/<addon name with id> (apps/v1) namespace: <addon namespace>]

Environment

vSphere Supervisor

vSphere Kubernetes Service (VKS)

Cause

システムのアップグレード事前チェックにより、対象のVKSクラスタ内の1つ以上のアドオンが正常な状態ではないことが検出されました。

具体的なエラーでは、対象のVKSクラスタ内で正常でないアドオンおよびそのネームスペースが特定されています。

アドオンは、手動でインストールされたパッケージ（PKGI）または、vSphere Kubernetes Release（VKR）のバージョンに基づいて自動的にインストールおよびアップグレードされるパッケージに対応します。

• 手動でインストールされたアドオンは、vSphere Cloud Foundation 9（VCF 9）では標準パッケージに変換されています： VKS Standard Packages Release Notes
  
  
• 自動的にインストールされるアドオンおよびそのバージョンは、該当するVKRバージョンのリリースノートに記載されています： VMware VKR Release Notes

 

Resolution

エラーメッセージ内のdeploymentについては、なぜ失敗しているのかを理解するためにさらに調査する必要があります。

1. 対象のVKSクラスタのコンテキストに接続します
   
   
2. エラーメッセージに記載されているネームスペース内で、deploymentおよび対応するreplicasetを特定します：
   

   kubectl get deployment,replicaset -n <addon namespace>

    

3. 詳細を確認するため、deploymentおよび最新のreplicasetをdescribeします：
   

   kubectl describe deployment -n <addon namespace> <deployment name>
   
   kubectl describe replicaset -n  

    

4. deploymentが 0 Ready、0 Available を示し、replicasetが X Current だが 0 Ready の場合、deploymentおよびreplicasetによって管理されているpodに対してさらに確認を行います：
   

   kubectl get pods -n 
   
   kubectl describe pod -n  

    

5. deploymentおよびreplicasetのdescribe結果で確認されたエラーに基づき、以下の表に従って次の対応を行ってください。

 

エラー	説明および推奨事項
Error creating: pods "" is forbidden: violates PodSecurity "restricted:latest": allowPrivilegeEscalation != false	クラスタ、ネームスペース、および/またはpodレベルで設定されたPodSecurityにより、アドオンのpodの作成がブロックされています。 該当するレベルでpodSecurity設定を適用または調整し、このpodが作成できるようにしてください。 以下のドキュメントを参照してください： Configure PSA for TKR v1.25 and Later
Warning FailedCreate - Error creating: pods "" is forbidden: violates PodSecurity: - pod or container must set	指定された がアドオンのpodの作成を妨げています。 該当する がアドオンの作成をブロックしないよう、正しく設定されているか確認してください。 NOTE: VMware by Broadcom はサードパーティアプリケーションについて責任を負わず、サポートも提供していません。 サードパーティアプリケーションによってインストールされたセキュリティpodやWebhookに関する問題は、該当アプリケーションの提供元へエスカレーションしてください。
PodがPending状態で Warning FailedScheduling 0 nodes are available と表示される	Pending状態のpodは、その要件を満たすノードを待機しています。これらの要件には、要求されたリソース、tolerations、およびanti-affinityルールなどが含まれます。podのdescribe結果に、これらの要件の詳細が表示されます。また、podの設定内容も確認できます。

Additional Information

VKS 3.6 以降では、アドオンのステータスが Ready でない場合でも VKR アップグレードを進められるようにするため、--force オプションが追加されました。

Note: この force オプションは、手動でインストールされたアドオン／標準パッケージにのみ適用されます。システム上重要であり各 VKR バージョンに含まれている自動インストールされたアドオンには適用されません。

VKS 3.6 リリースノートの修正済み問題： vSphere Kubernetes Service 3.6.0+v1.35