Karpenter Provider AWS 1.3版本中EC2NodeClass就绪问题分析

在Karpenter Provider AWS项目升级到1.3版本后，部分用户遇到了EC2NodeClass无法就绪的问题。这个问题主要表现为EC2NodeClass的状态持续显示为NotReady，并报告ec2:RunInstances权限检查失败的错误信息。

问题现象

用户反馈在从1.2版本升级到1.3版本后，EC2NodeClass资源无法达到就绪状态。虽然IAM策略中仍然包含ec2:RunInstances权限，但系统却报告控制器未被授权调用该API操作。具体表现为：

• EC2NodeClass的ValidationSucceeded条件显示为False
• 状态消息显示"Controller isn't authorized to call ec2:RunInstances"
• Ready条件因此也显示为False

根本原因

经过项目维护者的调查，发现问题出在权限检查的实现方式上。在1.3版本中，RunInstances授权调用的模拟没有正确反映Karpenter实际使用的LaunchTemplate配置。具体来说：

1. Karpenter使用CreateFleet API来创建EC2实例
2. 在权限检查时，系统没有正确模拟LaunchTemplate的实际使用场景
3. 这导致即使IAM策略包含必要的权限，权限检查仍然失败

解决方案

该问题已在项目的7882号提交中得到修复。修复内容包括：

1. 调整了RunInstances授权调用的模拟逻辑
2. 确保权限检查与实际使用的LaunchTemplate配置一致
3. 修正了CreateFleet场景下的权限验证流程

临时应对措施

对于暂时无法升级到修复版本的用户，可以考虑以下临时解决方案：

1. 重新创建EC2NodeClass资源（注意这可能导致节点重启）
2. 检查并确保IAM策略包含所有必要的权限
3. 特别注意与EBS加密相关的权限配置

最佳实践建议

为避免类似问题，建议用户：

1. 在升级前仔细阅读版本变更说明
2. 在测试环境先行验证新版本
3. 定期检查并更新IAM策略以确保与Karpenter最新版本兼容
4. 关注项目的问题跟踪系统以获取最新修复信息

该问题的修复体现了Karpenter项目团队对用户体验的重视，也提醒我们在基础设施自动化工具的使用中，权限管理是一个需要特别关注的领域。