虚拟机管理器问题排查

本文档介绍如何排查虚拟机管理器问题。

如需详细了解虚拟机管理器，请参阅虚拟机管理器。

准备工作

• 设置身份验证（如果尚未设置）。身份验证是通过其进行身份验证以访问 Google Cloud 服务和 API 的过程。如需从本地开发环境运行代码或示例，您可以按如下方式向 Compute Engine 进行身份验证。
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. 安装 Google Cloud CLI，然后通过运行以下命令初始化 Google Cloud CLI：

     gcloud init

  2. Set a default region and zone.

  REST

  如需在本地开发环境中使用本页面上的 REST API 示例，请使用您提供给 gcloud CLI 的凭据。

  安装 Google Cloud CLI，然后通过运行以下命令初始化 Google Cloud CLI：

  gcloud init

  如需了解详情，请参阅 Google Cloud 身份验证文档中的使用 REST 时进行身份验证。

概览

如需排查问题，请先验证虚拟机管理器已正确设置。如果设置正确但仍然存在问题，您可以查看日志。查看日志时，您可以找出虚拟机或虚拟机管理器工作流中的问题，例如命令或脚本中的错误，并且可以隔离和解决这些错误。

您可以从日志中收集以下信息：

• 虚拟机记录的任何错误消息或警告。这非常适合用来识别虚拟机级别的错误或者虚拟机上运行的其他服务的错误。如需查看这些日志，请参阅检查 Cloud Logging。
• OS Config 代理记录的详细调试信息。这对于识别虚拟机管理器运行的任何操作的问题非常有用。如需检查 OS Config 代理的调试日志，请参阅检查调试日志。

确定问题或错误后，您还可以查看常见错误部分，了解可能的修复方案。

检查 Cloud Logging

您可以使用 Google Cloud 控制台中用于各特性的快速链接查看特定虚拟机的日志。

检查调试日志

您可以通过为 OS Config 代理启用调试并查看调试日志，来确定任何虚拟机管理器功能的问题。

为 OS Config 代理启用调试日志记录

您可以通过在虚拟机实例或项目上设置 osconfig-log-level=debug 元数据，启用调试日志记录。

如需在您的虚拟机上启用调试日志记录，请完成以下步骤：

gcloud compute instances add-metadata VM_NAME \
    --metadata=osconfig-log-level=debug

查看调试日志

启用调试日志记录后，OS Config 代理会将日志条目写入 Cloud Logging 和串行端口控制台。

在虚拟机上启用调试日志记录后，OS Config 代理大约需要 10 分钟才能开始在 Cloud Logging 中写入调试消息。 您可以通过重启代理或重新启动虚拟机来缩短等待时间。如需详细了解 Cloud Logging，请参阅查看 Cloud Logging 日志。

如需查看调试日志，您可以使用以下选项：

• Cloud Logging：使用 Google Cloud 控制台或 Google Cloud CLI

• 串行端口控制台

 gcloud logging read "resource.type=gce_instance AND logName=projects/PROJECT_ID/logs/OSConfigAgent"
 

常见错误

身份验证问题

要使虚拟机管理器正常工作，您必须满足以下条件：

• 具备一个附加的服务账号。虚拟机管理器使用此服务账号签署对 API 服务的请求。
• 确保附加的服务账号具有 roles/logging.logWriter 角色，可将日志写入 Logging API。
• Google Cloud OS Config Service Agent。虚拟机管理器在启动修补作业时创建此服务代理，并为其授予 Cloud OS Config Service Agent 角色。如需创建操作系统政策，则无需配置此服务代理。

如果您使用虚拟机管理器，但没有附加的服务账号或 Google Cloud OS Config Service Agent，则您在处理修补作业时可能会看到以下错误：

Service account permissions are missing. Verify that the service account has the correct permissions and try again.

OSConfigAgent Error main.go:88: error getting token from metadata: metadata: GCE metadata "instance/service-accounts/default/identity?audience=osconfig.googleapis.com&format=full" not defined

message: "Error running OPERATION_NAME: error calling OPERATION_NAME: code: "PermissionDenied", message: "The caller does not have permission", details: []"

身份验证问题也可能会导致虚拟机实例无法显示在补丁信息中心上。

如需解决这些���题，请尝试以下一项或多项操作：

• 验证是否所有虚拟机都具有附加的服务账号。

• 确保为 Google Cloud OS Config Service Agent 设置了 Cloud OS Config Service Agent 角色 (roles/osconfig.serviceAgent)。

  gcloud projects add-iam-policy-binding PROJECT_ID \
    --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-osconfig.iam.gserviceaccount.com' \
    --role='roles/osconfig.serviceAgent'
  

  替换以下内容：

  • PROJECT_ID：您的项目 ID
  • PROJECT_NUMBER：您的项目编号

从补丁程序更新中排除软件包时出错

如果在修补作业中排除软件包时，指定的软件包名称中含有通配符或特殊字符，则 OS Patch Management 可能会忽略列表并更新所有软件包。

如需解决此问题，请 更新 OS Config 代理到版本 20220829.00，并使用正斜杠 (/) 来封装软件包名称。

在下面的示例中，OS Patch Management 会排除软件包名称中含有前缀 google- 的 yum 软件包。

      gcloud compute os-config patch-jobs execute --instance-filter-all

       --yum-excludes=/google-.*/
    

后续步骤

• 管理您的修补作业。
• 管理操作系统政策分配。