antreaNSX.enable=true が構成されている場合、 VKS の名前空間の削除が無期限にハングする

Products

• VMware vSphere Kubernetes Service

Issue/Introduction

免責事項: これは英文の記事「VKS Namespace Deletion Hangs Indefinetely When antreaNSX.enable=true is Configured」の日本語訳です。
記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

antreaNSX.enable=true を使用して NSX 連携が有効になっている VKS クラスタで名前空間を削除すると、名前空間が Terminating 状態で無期限にスタックします。

Antrea Addon Controller のログに以下のエラーが報告されます。

"Error reconciling AntreaConfig to create data value secret" err="Antrea-NSX is enabled but creating or patching ProviderServiceAccount error: VSphereCluster.vmware.infrastructure.cluster.x-k8s.io \"#####-####\" not found"

削除がスタックしている名前空間を describe すると、以下のような削除エラーが報告されます。

message: All content successfully deleted, may be waiting on finalization
reason: ContentDeleted
status: "False"
type: NamespaceDeletionContentFailure

Environment

• vSphere Kubernetes Service
• vCenter Version 8.0U3
• NSX Version: 4.2 以降で antreaNSX.enable=true が設定されている VKS クラスタ

Cause

名前空間のクリーンアッププロセス中に AntreaConfig が削除された際のタイムスタンプを Antrea Addon Controller が記録できないという既知のバグにより、名前空間の削除がハングします。

この結果、 Antrea Addon Controller は「 AntreaConfig resource not found 」と報告し、継続的に AntreaConfig の調整 (reconcile) を試みます。
AntreaConfig の調整が無期限に失敗するため、名前空間のクリーンアッププロセスにおいて NSXServiceAccounts の削除に進むことができなくなります。

Resolution

削除処理が停止している名前空間に関連付けられた NSXServiceAccounts を手動で削除します。

1. スタックしている名前空間内の NSX ServiceAccounts を一覧表示します。

# kubectl get nsxserviceaccounts -n <name-of-namespace-stuck-deleting> 

2. アカウントを手動で削除します。

# kubectl delete nsxserviceaccounts --all -n <name-of-namespace-stuck-deleting> 

3. 名前空間が正常に削除されたことを確認します。

# kubectl get ns