Kubernetes中出现“状态未就绪的容器：[]”错误

Question

我正在尝试在AKS中部署Kubernetes Pod（我是Kubernetes的新手，所以在此阶段，我只想创建一个容器，部署到Kubernetes并连接到它）。

我的Yaml文件如下：

apiVersion: v1
kind: Pod
spec: 
  containers:
    - name: dockertest20190205080020
      image: dockertest20190205080020.azurecr.io    
      ports:
      - containerPort: 443
metadata: 
  name: my-test

我已经在Azure容器注册表中创建了该映像，并且根据CLI，已将其成功部署到Kubernetes。

部署后，我使用了以下命令：

kubectl get service

它告诉我没有外部IP可连接。然后，我尝试了：

kubectl describe pod my-test

哪个出现以下错误：

 Events:
   Warning  Failed   4m (x2221 over 8h)  kubelet, aks-nodepool1-27401563-2  Error: ImagePullBackOff
   Normal   BackOff  0s (x2242 over 8h)  kubelet, aks-nodepool1-27401563-2  Back-off pulling image "dockertest20190205080020.azurecr.io"

然后我尝试编辑部署：

kubectl edit pods my-test

游戏我的错误：

message: 'containers with unready status: [dockertest20190205080020]'

我并不确定我的下一个诊断步骤是什么。我的印象是容器或容器注册表存在问题，但我不确定如何确定可能是什么。

Answer 1

这里发生的情况（最有可能）-您的AKS没有权限从您的ACR中拉出图像（这是默认行为）。您需要授予这些（link）：

#!/bin/bash

AKS_RESOURCE_GROUP=myAKSResourceGroup
AKS_CLUSTER_NAME=myAKSCluster
ACR_RESOURCE_GROUP=myACRResourceGroup
ACR_NAME=myACRRegistry

# Get the id of the service principal configured for AKS
CLIENT_ID=$(az aks show --resource-group $AKS_RESOURCE_GROUP --name $AKS_CLUSTER_NAME --query "servicePrincipalProfile.clientId" --output tsv)

# Get the ACR registry resource id
ACR_ID=$(az acr show --name $ACR_NAME --resource-group $ACR_RESOURCE_GROUP --query "id" --output tsv)

# Create role assignment
az role assignment create --assignee $CLIENT_ID --role acrpull --scope $ACR_ID

替代方法是仅使用docker登录密码（该文章也提到了该密码）。

ACR中的示例图片：

图片名称应为

clrtacr.azurecr.io/dns:tag（或没有最新标签）

Answer 2

我不确定您是否知道yaml文件中有问题，或者只是出于安全考虑而显示。但我会在这里告诉你：

apiVersion: v1
kind: Pod
spec: 
  containers:
    - name: dockertest20190205080020
      image: dockertest20190205080020.azurecr.io/image_name_and_version   
      ports:
      - containerPort: 443
metadata: 
  name: my-test

此外，如所显示的错误所示，您无权从ACR中提取图像。

在我这方面，我最好使用秘密从ACR中提取所有图像。您可以创建服务主体来实现它。步骤如下：

#!/bin/bash

ACR_NAME=myacrinstance
SERVICE_PRINCIPAL_NAME=acr-service-principal

# Populate the ACR login server and resource id.
ACR_LOGIN_SERVER=$(az acr show --name $ACR_NAME --query loginServer --output tsv)
ACR_REGISTRY_ID=$(az acr show --name $ACR_NAME --query id --output tsv)

# Create acrpull role assignment with a scope of the ACR resource.
SP_PASSWD=$(az ad sp create-for-rbac --name $SERVICE_PRINCIPAL_NAME --role acrpull --scopes $ACR_REGISTRY_ID --query password --output tsv)

# Get the service principal client id.
CLIENT_ID=$(az ad sp show --id http://$SERVICE_PRINCIPAL_NAME --query appId --output tsv)

# Output used when creating Kubernetes secret.
echo "Service principal ID: $CLIENT_ID"
echo "Service principal password: $SP_PASSWD"

# Create the secret 
kubectl create secret docker-registry acr-auth --docker-server <acr-login-server> --docker-username <service-principal-ID> --docker-password <service-principal-password> 

然后您可以像这样更改yaml文件：

apiVersion: v1
kind: Pod
spec: 
  containers:
    - name: dockertest20190205080020
      image: dockertest20190205080020.azurecr.io/image_name_and_version   
      ports:
      - containerPort: 443
  imagePullSecrets:
  - name: acr-auth
metadata: 
  name: my-test