Istio Ingress 未显示地址（AWS 上的 Kubeflow）答案

【问题标题】：Istio Ingress not showing address (Kubeflow on AWS)Istio Ingress 未显示地址（AWS 上的 Kubeflow）
【发布时间】：2021-12-18 18:04:42
【问题描述】：

我正在尝试在 AWS 上设置 kubeflow，我确实按照 this 教程在 AWS 上设置 kubeflow。

我使用 dex 而不是 cognito 和 following policy。

然后在步骤：kfctl apply -V -f kfctl_aws.yaml，首先我收到此错误：

IAM for Service Account is not supported on non-EKS cluster

为了解决这个问题，我设置了属性enablePodIamPolicy: false

然后重试并成功部署了kubeflow，在使用kubectl -n kubeflow get all检查服务状态时，我发现除了MPI操作员之外的所有服务都准备好了。

当我尝试运行 kubectl get ingress -n istio-system 时忽略了这一点我得到了以下结果。

使用kubectl -n kubeflow logs $(kubectl get pods -n kubeflow --selector=app=aws-alb-ingress-controller --output=jsonpath={.items..metadata.name}) 进行调查

我发现以下错误：

E1104 12:09:37.446342       1 controller.go:217] kubebuilder/controller "msg"="Reconciler error" "error"="failed to reconcile LB managed SecurityGroup: failed to reconcile managed LoadBalancer securityGroup: UnauthorizedOperation: You are not authorized to perform this operation. Encoded authorization failure message: Lsvzm7f4rthL4Wxn6O8wiQL1iYXQUES_9Az_231BV7fyjgs7CHrwgUOVTNTf4334_C4voUogjSuCoF8GTOKhc5A7zAFzvcGUKT_FBs6if06KMQCLiCoujgfoqKJbG75pPsHHDFARIAdxNYZeIr4klmaUaxbQiFFxpvQsfT4ZkLMD7jmuQQcrEIw_U0MlpCQGkcvC69NRVVKjynIifxPBySubw_O81zifDp0Dk8ciRysaN1SbF85i8V3LoUkrtwROhUI9aQYJgYgSJ1CzWpfNLplbbr0X7YIrTDKb9sMhmlVicj_Yng0qFka_OVmBjHTnpojbKUSN96uBjGYZqC2VQXM1svLAHDTU1yRruFt5myqjhJ0fVh8Imhsk1Iqh0ytoO6eFoiLTWK4_Crb8XPS5tptBBzpEtgwgyk4QwOmzySUwkvNdDB-EIsTJcg5RQJl8ds4STNwqYV7XXeWxYQsmL1vGPVFY2lh_MX6q1jA9n8smxITE7F6AXsuRHTMP5q0jk58lbrUe-ZvuaD1b0kUTvpO3JtwWwxRd7jTKF7xde2InNOXwXxYCxHOw0sMX56Y1wLkvEDTLrNLZWOACS-T5o7mXDip43U0sSoUtMccu7lpfQzH3c7lNdr9s2Wgz4OqYaQYWsxNxRlRBdR11TRMweZt4Ta6K-7si5Z-rrcGmjG44NodT0O14Gzj-S4i6bK-qPYvUEsVeUl51ev_MsnBKtCXcMF8W6j9D7Oe3iGj13uvlVJEtq3OIoRjBXIuQQ012H0b3nQqlkoKEvsPAA_txAjgHXVzEVcM301_NDQikujTHdnxHNdzMcCfY7DQeeOE_2FT_hxYGlbuIg5vonRTT7MfSP8_LUuoIICGS81O-hDXvCLoomltb1fqCBBU2jpjIvNALMwNdJmMnwQOcIMI_QonRKoe5W43v\n\tstatus code: 403, request id: a9be63bd-2a3a-4a21-bb87-93532923ffd2"  "controller"="alb-ingress-controller" "request"={"Namespace":"istio-system","Name":"istio-ingress"}

我不明白安全权限到底出了什么问题？

【问题讨论】：

标签： amazon-web-services kubectl amazon-eks istio kubeflow

【解决方案1】：

alb-ingress-controller 没有创建 ALB 的权限。

通过设置enablePodIamPolicy: false，我假设您选择指南的选项 2。

alb-ingress-controller 使用kf-admin 角色，安装程序需要在该角色上附加aws-config/iam-alb-ingress-policy.json 中的策略。很可能它没有安装，因此您必须将其添加到 IAM 中并将其附加到角色。

之后，观察alb-ingress-controller 的协调器日志，看看它是否能够创建 ALB。

【讨论】：

【解决方案2】：

很可能aws-alb-ingress-controller-config中的cluster-name配置不正确。

如果是这种情况，您应该使用kubectl edit cm aws-alb-ingress-controller-config -n kubeflow 将配置映射编辑为正确的集群名称。

之后您应该删除 pod 以便它重新启动 (kubectl -n kubeflow delete pod $(kubectl get pods -n kubeflow --selector=app=aws-alb-ingress-controller --output=jsonpath={.items..metadata.name}))。

【讨论】：