Problembehandlung bei der Agenten-CLI für Azure Kubernetes Service (AKS) (Vorschau)

Docker-bezogene Probleme

Fehler: Docker-Daemon wird nicht ausgeführt

Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?

1. Wenn Sie einen Fehler erhalten, der angibt, dass der Docker-Daemon nicht ausgeführt wird, starten Sie den Docker-Dienst mit den entsprechenden Schritten für Ihr Betriebssystem:

   • macOS / Windows:

     • Starten Sie Docker Desktop aus Ihren Anwendungen.
     • Warten Sie, bis Docker gestartet wird.

   • Linux:

     • Starten Sie den Docker-Dienst mit den folgenden Befehlen:

       sudo systemctl start docker
       sudo systemctl enable docker  # Enable Docker to start on boot
       

2. Überprüfen Sie, ob Docker mit dem folgenden Befehl ausgeführt wird:

   docker info
   

Fehler: Docker-Berechtigung verweigert

Got permission denied while trying to connect to the Docker daemon socket

Um Docker-Berechtigungsprobleme zu beheben, stellen Sie sicher, dass Ihr Benutzer über die erforderlichen Berechtigungen für den Zugriff auf den Docker-Daemon verfügt, indem Sie die Schritte für Ihr Betriebssystem verwenden:

• macOS / Windows:

  • Starten Sie Docker Desktop neu, um sicherzustellen, dass sie über die erforderlichen Berechtigungen verfügt.

• Linux:

  • Fügen Sie Ihren Benutzer zur Docker-Gruppe hinzu, um den Nicht-Stammzugriff auf Docker mit den folgenden Befehlen zuzulassen:

  sudo usermod -aG docker $USER
  newgrp docker  # Apply group changes immediately
  

Fehler: Docker-Image-Pullfehler

Error response from daemon: pull access denied for aks-agent, repository does not exist or may require 'docker login'

Führen Sie die folgenden Schritte aus, um Docker-Image-Pullfehler zu beheben:

• Stellen Sie sicher, dass Sie über eine Internetverbindung verfügen.
• Überprüfen Sie, ob Unternehmensfirewalls den Docker-Registrierungszugriff blockieren.
• Versuchen Sie erneut, den Agenten mit az aks agent-init zu initialisieren.

Probleme mit Azure-Anmeldeinformationen

Fehler: Fehler bei der Azure-Authentifizierung

Um Probleme mit der Azure-Authentifizierung zu beheben, stellen Sie sicher, dass Ihre Azure CLI ordnungsgemäß authentifiziert ist und Zugriff auf die erforderlichen Ressourcen hat, indem Sie die folgenden Schritte ausführen:

1. Überprüfen Sie, ob Ihre Azure-Anmeldeinformationen mithilfe des az account show Befehls ordnungsgemäß konfiguriert sind.

   az account show
   

2. Melden Sie sich bei Bedarf erneut mit dem az login Befehl an.

   az login
   

Dienstkonto- und RBAC-Probleme

Fehler: Dienstkonto nicht gefunden

Error: service account "aks-mcp" not found in namespace "default"

Um Probleme mit dem Dienstkonto zu beheben, stellen Sie sicher, dass das Kubernetes-Dienstkonto ordnungsgemäß erstellt und mithilfe der folgenden Schritte konfiguriert wurde:

1. Überprüfen Sie, ob das Dienstkonto mit dem folgenden Befehl vorhanden ist:

   kubectl get serviceaccount aks-mcp --namespace $NAMESPACE
   

2. Wenn das Dienstkonto nicht gefunden wird, erstellen Sie ein Konto mit den Schritten unter Erstellen eines Dienstkontos und Konfigurieren der Workload-Identität für die agentische CLI für Azure Kubernetes Service (AKS) (Vorschau)

Fehler: Fehler „Berechtigung verweigert“

Error: forbidden: User "system:serviceaccount:<namespace>:aks-mcp" cannot get resource "pods" in API group "" in the namespace "<namespace>"

Um Berechtigung verweigerte Fehler zu beheben, stellen Sie sicher, dass das Kubernetes-Dienstkonto über die erforderlichen RBAC-Berechtigungen verfügt, indem Sie die folgenden Schritte ausführen:

1. Überprüfen Sie, ob RBAC-Berechtigungen mit den folgenden Befehlen ordnungsgemäß konfiguriert sind:

   kubectl get role aks-mcp-role --namespace $NAMESPACE
   kubectl get rolebinding aks-mcp-rolebinding --namespace $NAMESPACE
   

2. Überprüfen Sie, ob RoleBinding das richtige Dienstkonto mit der Rolle verknüpft, indem Sie den folgenden Befehl verwenden:

   kubectl describe rolebinding aks-mcp-rolebinding --namespace $NAMESPACE
   

Probleme bei der Workload-Identität

Fehler: Workload-Identität nicht aktiviert

Error: workload identity is not enabled on this cluster

Wenn eine Fehlermeldung angezeigt wird, die angibt, dass die Workloadidentität nicht aktiviert ist, überprüfen Sie, ob Ihr AKS-Cluster die Workload-Identität aktiviert hat, indem Sie die folgenden Schritte ausführen:

1. Überprüfen Sie mithilfe des az aks show Befehls, ob die Workload-Identität auf Ihrem AKS-Cluster aktiviert ist.

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "securityProfile.workloadIdentity.enabled"
   

2. Wenn die Workloadidentität nicht aktiviert ist, führen Sie die Schritte unter "Erstellen eines Dienstkontos" aus, und konfigurieren Sie die Workloadidentität für die agentische CLI für Azure Kubernetes Service (AKS) (Vorschau), um die Workloadidentität auf Ihrem Cluster zu aktivieren.

Fehler: Anmerkung fehlt

Error: service account does not have workload identity annotation

Um fehlende Anmerkungsfehler zu beheben, stellen Sie sicher, dass das Kubernetes-Dienstkonto die richtige Workload-Identitätsanmerkung hat, indem Sie die folgenden Schritte ausführen:

1. Überprüfen Sie, ob die Anmerkung im Dienstkonto vorhanden ist, indem Sie den folgenden Befehl verwenden:

   kubectl describe serviceaccount aks-mcp --namespace $NAMESPACE
   

2. Wenn die Anmerkung fehlt, fügen Sie sie mit dem folgenden Befehl hinzu. Achten Sie darauf, dass Sie $CLIENT_ID durch die tatsächliche Client-ID der Verbundidentität ersetzen.

   kubectl annotate serviceaccount aks-mcp --namespace $NAMESPACE azure.workload.identity/client-id="$CLIENT_ID" --overwrite
   

Fehler: Verzögerung der Verteilung von Verbundanmeldeinformationen

Wenn Sie Fehler im Zusammenhang mit den nicht gefundenen Verbundidentitätsanmeldeinformationen oder Authentifizierungsfehlern erhalten, liegt dies möglicherweise an Weitergabesverzögerungen nach dem Erstellen der Verbundidentitätsanmeldeinformationen in Azure. Zur Behebung dieses Problems wird Folgendes empfohlen:

1. Warten Sie einige Minuten, bis die Verbundidentitätsanmeldeinformationen über Azure-Dienste verteilt werden.
2. Verifizieren Sie das Vorhandensein der verbundenen Anmeldeinformationen mit dem az identity federated-credential list-Befehl.

az identity federated-credential list --identity-name $IDENTITY_NAME --resource-group $RESOURCE_GROUP