Kubernetes 中 DaemonSet 无法正常创建解决方案

在 Kubernetes 中，DaemonSet 是一种非常有用的资源类型，它可以确保每个节点都运行相应的 Pod。但是，在一些情况下，DaemonSet 可能会遇到无法正常创建的问题，本文将讲解该问题的原因，并提供解决方法。

问题描述

当我们试图创建一个 DaemonSet 时，可能会遇到以下错误：

Error creating: pods "podname" is forbidden: error looking up namespace: incorrect type.

或者：

Error creating: pods "podname" is forbidden: PodSecurityPolicy: unable to create pod: ...

这些错误提示表明，Kubernetes 无法在节点上创建 Pod，这可能会导致 DaemonSet 的创建失败。

原因分析

这个问题通常出现在运行 Kubernetes 的某些特定版本上，并且涉及到安全策略的问题。具体原因可能包括以下几种情况：

1. Kubernetes 版本过低。
2. 集群的 PodSecurityPolicy 不允许创建特权容器。
3. 节点的 selinux 策略不允许创建特权容器。
4. 节点的安全策略不允许创建特权容器。

解决方案

针对不同原因导致的问题，我们可以采取不同的解决方案。

Kubernetes 版本过低

如果遇到 Kubernetes 版本过低导致的问题，最好的解决方法是升级 Kubernetes 版本，确保当前运行的版本不低于 1.14。

PodSecurityPolicy 不允许创建特权容器

PodSecurityPolicy 是一个安全资源，用于限制哪些容器可以在 Kubernetes 中运行。如果 PodSecurityPolicy 不允许创建特权容器，那么 DaemonSet 就不会被创建成功。

为了解决这个问题，我们需要修改 PodSecurityPolicy 的策略，允许特权容器的创建。可以参考以下示例代码：

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: allow-privileged
spec:
  privileged: true
  # 其它的安全限制

在 PodSecurityPolicy 中将 privileged 设为 true，就允许特权容器的创建。

selinux 策略不允许创建特权容器

当节点的 selinux 策略不允许创建特权容器时，我们可以通过修改 selinux 策略来解决问题。具体步骤包括：

1. 查看节点的 selinux 策略：

   getenforce

   如果输出为 Enforcing，表示 selinux 策略处于强制模式。

2. 将 selinux 策略设为宽松模式：

   setenforce 0

   这样就可以将 selinux 策略设为宽松模式。

节点的安全策略不允许创建特权容器

如果节点的安全策略不允许创建特权容器，我们可以通过以下步骤解决问题：

1. 修改 Docker 的配置文件 /etc/docker/daemon.json，添加以下内容：

   {
     "iptables": false
   }

2. 重启 Docker：

   systemctl restart docker

   这样就可以在节点中创建特权容器了。

总结

在本文中，我们介绍了 Kubernetes 中 DaemonSet 无法正常创建的问题，分析了其原因，并提供了解决方案。在实际生产环境中，我们需要根据具体情况选择相应的解决方案。通过这篇文章的学习，希望读者能够更好地应对类似的问题，提高 Kubernetes 的运维效率。

来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/65ba643dadd4f0e0ff2e9b62