Felsökning av agentic CLI för Azure Kubernetes Service (AKS) (förhandsvisning)

Docker-relaterade problem

Fel: Docker-daemonen körs inte

Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?

1. Om du får ett fel som anger att Docker-daemonen inte körs startar du Docker-tjänsten med lämpliga steg för operativsystemet:

   • macOS/Windows:

     • Starta Docker Desktop från dina program.
     • Vänta tills Docker startar.

   • Linux:

     • Starta Docker-tjänsten med följande kommandon:

       sudo systemctl start docker
       sudo systemctl enable docker  # Enable Docker to start on boot
       

2. Kontrollera att Docker körs med följande kommando:

   docker info
   

Fel: Docker-behörighet nekad

Got permission denied while trying to connect to the Docker daemon socket

Lös problem med Docker-behörigheter genom att se till att användaren har de behörigheter som krävs för att få åtkomst till Docker-daemon med hjälp av stegen för operativsystemet:

• macOS/Windows:

  • Starta om Docker Desktop för att säkerställa att det har nödvändiga behörigheter.

• Linux:

  • Lägg till användaren i docker-gruppen för att tillåta icke-rotåtkomst till Docker med hjälp av följande kommandon:

  sudo usermod -aG docker $USER
  newgrp docker  # Apply group changes immediately
  

Fel: Misslyckande vid pull av Docker-bilder

Error response from daemon: pull access denied for aks-agent, repository does not exist or may require 'docker login'

Försök följande steg för att lösa misslyckanden med Docker-bildhämtningar:

• Kontrollera att du har internetanslutning.
• Kontrollera om företagsbrandväggar blockerar Docker-registeråtkomst.
• Försök att initiera agenten igen med az aks agent-init.

Problem med Azure-autentiseringsuppgifter

Fel: Azure-autentiseringen misslyckades

Lös problem med Azure-autentisering genom att kontrollera att Azure CLI är korrekt autentiserat och har åtkomst till nödvändiga resurser med hjälp av följande steg:

1. Kontrollera att dina Azure-autentiseringsuppgifter är korrekt konfigurerade med hjälp av az account show kommandot .

   az account show
   

2. Om det behövs loggar du in igen med az login kommandot .

   az login
   

Problem med tjänstkonto och RBAC

Fel: Tjänstkontot hittades inte

Error: service account "aks-mcp" not found in namespace "default"

Lös problem med tjänstkontot genom att se till att Kubernetes-tjänstkontot har skapats och konfigurerats korrekt med hjälp av följande steg:

1. Kontrollera att tjänstkontot finns med följande kommando:

   kubectl get serviceaccount aks-mcp --namespace $NAMESPACE
   

2. Om tjänstkontot inte hittas skapar du ett med hjälp av stegen i Skapa ett tjänstkonto och konfigurerar arbetsbelastningsidentitet för agentic CLI för Azure Kubernetes Service (AKS) (förhandsversion)

Fel: Nekad behörighet

Error: forbidden: User "system:serviceaccount:<namespace>:aks-mcp" cannot get resource "pods" in API group "" in the namespace "<namespace>"

Lös behörighetsnekade fel genom att se till att Kubernetes-tjänstkontot har nödvändiga RBAC-behörigheter med hjälp av följande steg:

1. Kontrollera att RBAC-behörigheterna är korrekt konfigurerade med hjälp av följande kommandon:

   kubectl get role aks-mcp-role --namespace $NAMESPACE
   kubectl get rolebinding aks-mcp-rolebinding --namespace $NAMESPACE
   

2. Kontrollera att RoleBinding associerar rätt tjänstkonto med rollen med hjälp av följande kommando:

   kubectl describe rolebinding aks-mcp-rolebinding --namespace $NAMESPACE
   

Problem med workload-identitet

Fel: Arbetsbelastningsidentiteten är inte aktiverad

Error: workload identity is not enabled on this cluster

Om du får ett fel som anger att arbetsbelastningsidentiteten inte är aktiverad kontrollerar du att din AKS-kluster har arbetsbelastningsidentitet aktiverad med hjälp av följande steg:

1. Kontrollera om arbetsbelastningsidentiteten är aktiverad i AKS-klustret med hjälp av az aks show kommandot .

   az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "securityProfile.workloadIdentity.enabled"
   

2. Om arbetsbelastningsidentiteten inte är aktiverad följer du stegen i Skapa ett tjänstkonto och konfigurerar arbetsbelastningsidentitet för det agentiska CLI för Azure Kubernetes Service (AKS) (förhandsversion) för att aktivera arbetsbelastningsidentitet i klustret.

Fel: Kommentar saknas

Error: service account does not have workload identity annotation

För att lösa saknade anteckningsfel kontrollerar du att Kubernetes-tjänstkontot har rätt arbetsbelastningsidentitetsanteckning med hjälp av följande steg:

1. Kontrollera om anteckningen finns på tjänstkontot med hjälp av följande kommando:

   kubectl describe serviceaccount aks-mcp --namespace $NAMESPACE
   

2. Om kommentaren saknas lägger du till den med hjälp av följande kommando. Ersätt $CLIENT_ID med det faktiska klient-ID:t för den federerade identitetsautentiseringsuppgiften.

   kubectl annotate serviceaccount aks-mcp --namespace $NAMESPACE azure.workload.identity/client-id="$CLIENT_ID" --overwrite
   

Fel: Fördröjning av spridning av federerade autentiseringsuppgifter

Om du får fel som rör att federerade identitetsautentiseringsuppgifter inte hittas eller autentiseringsfel kan det bero på spridningsfördröjningar när du har skapat den federerade identitetsautentiseringsuppgiften i Azure. Lös problemet genom att pröva följande steg:

1. Vänta några minuter tills den federerade identitetsautentiseringsuppgiften sprids över Azure-tjänster.
2. Kontrollera att den federerade identitetsautentiseringsuppgiften az identity federated-credential list finns med kommandot .

az identity federated-credential list --identity-name $IDENTITY_NAME --resource-group $RESOURCE_GROUP