Risoluzione dei problemi di VM Manager

Questo documento descrive come risolvere i problemi relativi a VM Manager.

Per saperne di più su VM Manager, consulta VM Manager.

Prima di iniziare

  • Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione è il processo mediante il quale la tua identità viene verificata per l'accesso a servizi e API di Trusted Cloud by S3NS . Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.

    gcloud

    1. Install the Google Cloud CLI, and then sign in to the gcloud CLI with your federated identity. After signing in, initialize the Google Cloud CLI by running the following command: 

      gcloud init
    2. Set a default region and zone.

    REST

    Per utilizzare gli esempi di API REST in questa pagina in un ambiente di sviluppo locale, devi utilizzare le credenziali che fornisci a gcloud CLI.

      Install the Google Cloud CLI, and then sign in to the gcloud CLI with your federated identity. After signing in, initialize the Google Cloud CLI by running the following command: 

      gcloud init

    Per saperne di più, consulta Autenticarsi per l'utilizzo di REST nella documentazione sull'autenticazione di Trusted Cloud .

Panoramica

Per risolvere i problemi, verifica innanzitutto che VM Manager sia configurato correttamente. Se la configurazione è corretta, ma i problemi persistono, puoi esaminare i log. Esaminando i log puoi identificare i problemi relativi alla VM o al workflow di VM Manager, ad esempio errori in comandi o script, che puoi isolare e risolvere.

Dai log puoi raccogliere le seguenti informazioni:

  • Qualsiasi messaggio di errore o avviso registrato dalla VM. Queste informazioni sono ideali per identificare errori a livello di VM o errori di altri servizi in esecuzione sulla VM. Per esaminare questi log, consulta Controlla Cloud Logging.
  • Informazioni di debug dettagliate registrate dall'agente OS Config. Queste informazioni sono utili per identificare i problemi relativi a qualsiasi operazione eseguita da VM Manager. Per controllare i log di debug dell'agente OS Config, consulta Controlla i log di debug.

Dopo aver identificato i problemi o gli errori, puoi anche consultare la sezione degli errori comuni per vedere le potenziali correzioni.

Controlla Cloud Logging

Puoi utilizzare i link rapidi della console Trusted Cloud per ciascuna funzionalità per visualizzare i log.

Patch del sistema operativo

  1. Nella console Trusted Cloud , vai alla scheda Job eseguiti nella pagina Patch.

    Vai a Job eseguiti

  2. Fai clic sul nome del job di applicazione patch di cui vuoi eseguire il debug.
  3. Vai alla sezione Istanze VM aggiornate.
  4. Per una VM specifica, in Log, fai clic su Visualizza.

Policy del sistema operativo

Questa procedura è supportata per le policy del sistema operativo. Per le policy guest (beta), utilizza l'opzione dei log di debug nella sezione seguente.

  1. Nella console Trusted Cloud , vai alla scheda Istanze VM nella pagina Policy del sistema operativo.

    Vai a Istanze VM

  2. Fai clic sul nome della VM di cui vuoi eseguire il debug.
  3. Vai alla sezione Policy.
  4. In Log, fai clic su Visualizza.

Orchestratori delle policy del sistema operativo

  1. Nella console Trusted Cloud , vai alla scheda Orchestratori delle policy del sistema operativo nella pagina Policy del sistema operativo.

    Vai a Orchestratori delle policy del sistema operativo

  2. Fai clic sul nome dell'orchestratore delle policy del sistema operativo di cui vuoi eseguire il debug.
  3. Vai alla sezione Log e verifica la voce di log.

Controlla i log di debug

Puoi identificare i problemi relativi a qualsiasi funzionalità di VM Manager attivando il debug per l'agente OS Config e visualizzando il log di debug.

Attiva il logging di debug per l'agente OS Config

Puoi attivare il logging di debug impostando i metadati osconfig-log-level=debug sul progetto o sull'istanza VM.

Per attivare il logging di debug sulla VM, completa i seguenti passaggi:

Console

  1. Nella console Trusted Cloud , vai alla pagina Istanze VM.

    Vai a Istanze VM

  2. Fai clic sul nome della VM per cui vuoi impostare il valore dei metadati.

  3. Nella pagina Dettagli istanza, fai clic su Modifica per modificare le impostazioni.

  4. In Metadati personalizzati, aggiungi le seguenti voci di metadati:

    Chiave: osconfig-log-level
    Valore: debug

  5. Fai clic su Salva per applicare le modifiche alla VM.

gcloud

Utilizza il comando instances add-metadata con il flag --metadata=osconfig-log-level=debug.

gcloud compute instances add-metadata VM_NAME \
    --metadata=osconfig-log-level=debug

Sostituisci VM_NAME con il nome della VM.

REST

Per istruzioni su come impostare i metadati delle istanze, segui le istruzioni dell'API per l'impostazione dei metadati delle istanze.

La seguente coppia chiave-valore è obbligatoria all'interno della proprietà dei metadati:

Chiave: osconfig-log-level
Valore: debug

Visualizza i log di debug

Quando il logging di debug è attivato, l'agente OS Config scrive le voci di log in Cloud Logging e nella console della porta seriale.

Dopo l'attivazione del logging di debug sulla VM, l'agente OS Config impiega circa dieci minuti per iniziare a scrivere i messaggi di debug in Cloud Logging. Puoi ridurre questo tempo di attesa riavviando l'agente o la VM. Per saperne di più su Cloud Logging, consulta Visualizzazione dei log di Cloud Logging.

Per visualizzare i log di debug, puoi utilizzare le seguenti opzioni:

  • Cloud Logging: utilizza la console Trusted Cloud o Google Cloud CLI

  • Console della porta seriale

Console

  1. Vai alla pagina Logging > Esplora log (Esplora log) nella consoleTrusted Cloud :

    Vai a Esplora log

  2. Se necessario, seleziona un progetto Trusted Cloud esistente nella parte superiore della pagina o creane uno nuovo.

  3. Nell'elenco a discesa Risorsa, seleziona Istanza VM. Viene visualizzato un elenco delle VM disponibili (instance_id).

  4. Fai clic sulla VM che vuoi visualizzare.

  5. Fai clic su Aggiungi.

  6. Nell'elenco a discesa Nome log, seleziona OSConfigAgent.

  7. Fai clic su Aggiungi.

  8. La query dovrebbe essere simile alla seguente:

    resource.type="gce_instance" resource.labels.instance_id="INSTANCE_ID"
logName="projects/PROJECT_ID/logs/OSConfigAgent"

  9. Fai clic su Esegui query.

gcloud

Esegui il comando gcloud logging read:

 gcloud logging read "resource.type=gce_instance AND logName=projects/PROJECT_ID/logs/OSConfigAgent"

Sostituisci PROJECT_ID con l'ID progetto.

Porta seriale

Per visualizzare le informazioni dei log di debug dalla console della porta seriale, consulta Visualizzazione dell'output della porta seriale.

Errori comuni

Problemi di autenticazione

Per funzionare correttamente, VM Manager richiede quanto segue:

  • Un service account associato. VM Manager utilizza questo service account per firmare le richieste al servizio API.
  • Assicurati che il service account collegato abbia il ruolo roles/logging.logWriter per scrivere log nell'API Logging.
  • Agente di servizio Google Cloud OS Config. VM Manager crea questo agente di servizio quando avvia i job di applicazione patch e gli assegna il ruolo Cloud OS Config Service Agent. Per creare policy del sistema operativo, non è necessario configurare questo agente di servizio.

Se utilizzi VM Manager e non hai un service account collegato o un agente di servizio Google Cloud OS Config, potresti visualizzare i seguenti errori durante l'esecuzione dei job di applicazione patch:

Service account permissions are missing. Verify that the service account has the correct permissions and try again.
 
OSConfigAgent Error main.go:88: error getting token from metadata: metadata: GCE metadata "instance/service-accounts/default/identity?audience=osconfig.googleapis.com&format=full" not defined
 
message: "Error running OPERATION_NAME: error calling OPERATION_NAME: code: "PermissionDenied", message: "The caller does not have permission", details: []"

I problemi di autenticazione potrebbero anche impedire la visualizzazione delle istanze VM nella dashboard delle patch.

Per risolvere questi problemi, prova una o tutte le seguenti soluzioni:

  • Verifica che a tutte le VM sia collegato un service account.

  • Assicurati che il ruolo Cloud OS Config Service Agent (roles/osconfig.serviceAgent) sia impostato sull'agente di servizio Google Cloud OS Config.

    gcloud projects add-iam-policy-binding PROJECT_ID \
  --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-osconfig.s3ns-system.iam.gserviceaccount.com' \
  --role='roles/osconfig.serviceAgent'

    Sostituisci quanto segue:

Errore durante l'esclusione dei pacchetti per gli aggiornamenti delle patch

Se specifichi caratteri jolly o caratteri speciali per il nome dei pacchetti quando escludi i pacchetti in un job di applicazione patch, OS Patch Management potrebbe ignorare l'elenco e aggiornare tutti i pacchetti.

Per risolvere il problema, aggiorna l'agente OS Config alla versione 20220829.00 e racchiudi tra barre (/) il nome del pacchetto.

Nell'esempio seguente, OS Patch Management esclude i pacchetti yum con prefisso google- nel nome del pacchetto.

      gcloud compute os-config patch-jobs execute --instance-filter-all

       --yum-excludes=/google-.*/

Passaggi successivi