Amazon VPC CNI for Kubernetes 镜像检查失败问题分析与解决方案

问题现象

在AWS EKS 1.21环境中，用户报告节点突然出现镜像检查失败的错误，具体表现为：

Failed to inspect image "602401143452.dkr.ecr.eu-west-1.amazonaws.com/amazon-k8s-cni-init:v1.7.5-eksbuild.1": Id or size of image "602401143452.dkr.ecr.eu-west-1.amazonaws.com/amazon-k8s-cni-init:v1.7.5-eksbuild.1" is not set

该错误主要影响部分现有节点和新创建的节点，导致节点无法正常加入集群。

根本原因分析

经过技术分析，该问题主要由以下几个因素共同导致：

1. 过时的节点AMI：用户使用的节点AMI版本为amazon-eks-node-1.18-v20201126，这是一个非常陈旧的版本，可能已被AWS弃用或不再维护。

2. CNI插件版本过旧：使用的Amazon VPC CNI插件版本为v1.7.5-eksbuild.1，这是一个较老的版本，可能存在兼容性问题。

3. Docker版本不一致：在同一AMI下，不同节点上出现了Docker 20和Docker 25的版本差异，这种不一致性可能导致容器运行时行为异常。

解决方案

1. 升级节点AMI

建议将节点AMI升级到与EKS 1.21兼容的最新版本amazon-eks-node-1.21-v20240615。升级方法包括：

• 使用eksctl工具更新节点组
• 修改启动模板配置

2. 更新CNI插件版本

将Amazon VPC CNI插件升级到最新稳定版本。较新的版本不仅修复了已知问题，还提供了更好的性能和功能支持。

3. 统一容器运行时环境

确保集群中所有节点使用一致的容器运行时版本。对于Docker运行时，建议统一使用受支持的稳定版本。

最佳实践建议

1. 定期维护：建立定期检查并更新EKS集群组件（包括节点AMI和CNI插件）的维护计划。

2. 版本一致性：保持集群中所有节点的运行时环境和组件版本一致，避免因版本差异导致的不兼容问题。

3. 监控机制：设置监控告警，及时发现节点加入失败或组件异常的情况。

4. 测试验证：在升级生产环境前，先在测试环境中验证新版本AMI和CNI插件的兼容性。

总结

Amazon VPC CNI作为Kubernetes在AWS环境中的关键网络组件，其稳定运行对集群至关重要。通过保持组件版本更新、使用受支持的节点AMI以及确保环境一致性，可以有效避免类似镜像检查失败的问题。对于运行关键业务的生产环境，建议遵循AWS EKS的最佳实践，定期评估和更新集群基础设施。

对于已经遇到此问题的用户，按照上述解决方案逐步操作，通常可以恢复集群的正常运行状态。在实施变更时，建议先在部分节点上进行验证，确认无误后再全面推广。