Fission在OpenShift集群上的安装问题排查与解决方案

问题背景

Fission是一个流行的无服务器框架，它允许开发者在Kubernetes集群上运行函数即服务(FaaS)。最近有用户在OpenShift 4.16.11集群上安装Fission时遇到了组件无法正常运行的问题，本文将详细分析问题原因并提供完整的解决方案。

安装环境

• OpenShift版本：4.16.11
• Kubernetes版本：v1.29.7+d77deb8
• Fission版本：v1.20.5

问题现象

用户按照官方文档在OpenShift集群上安装Fission后，执行fission check命令发现多个核心组件未能正常运行：

1. executor部署未运行
2. router部署未运行
3. storagesvc部署未运行
4. webhook部署未运行
5. 客户端与服务端版本不匹配警告

根本原因分析

经过深入排查，发现问题主要源于OpenShift的安全策略限制。具体表现为：

1. Pod安全策略限制：OpenShift默认启用了严格的Pod安全策略，导致Fission的多个组件因安全上下文配置不足而无法启动。
2. 服务账户权限不足：Fission的多个组件需要特权权限才能正常运行，但默认安装时未正确配置这些权限。
3. 安全上下文配置缺失：Fission部署配置中缺少必要的securityContext设置，导致违反OpenShift的安全策略。

完整解决方案

1. 正确安装Fission

首先确保使用正确的安装命令：

kubectl config set-context --current --namespace=fission
kubectl apply -f https://github.com/fission/fission/releases/download/v1.20.5/fission-all-v1.20.5-openshift.yaml
kubectl config set-context --current --namespace=default

2. 配置服务账户特权权限

为Fission的各个组件服务账户添加特权权限：

oc adm policy add-scc-to-user privileged -z fission-buildermgr -n fission
oc adm policy add-scc-to-user privileged -z fission-router -n fission
oc adm policy add-scc-to-user privileged -z fission-storagesvc -n fission
oc adm policy add-scc-to-user privileged -z fission-timer -n fission
oc adm policy add-scc-to-user privileged -z fission-executor -n fission
oc adm policy add-scc-to-user privileged -z fission-kubewatcher -n fission
oc adm policy add-scc-to-user privileged -z fission-webhook -n fission

3. 验证安装结果

安装完成后，执行以下命令验证各组件状态：

kubectl get pods -n fission
fission check

正常情况下应该看到所有组件都处于运行状态，且fission check命令显示所有检查项通过。

常见问题处理

如果仍然遇到组件未运行的问题，可以采取以下步骤：

1. 检查Pod日志：使用kubectl logs <pod-name> -n fission查看具体错误信息。
2. 检查部署状态：使用kubectl describe deployment <deployment-name> -n fission查看部署详情。
3. 清理并重新安装：如果问题持续存在，可以先清理再重新安装：

kubectl config set-context --current --namespace=fission
kubectl delete -f https://github.com/fission/fission/releases/download/v1.20.5/fission-all-v1.20.5-openshift.yaml
kubectl config set-context --current --namespace=default

最佳实践建议

1. 版本兼容性：确保Fission版本与OpenShift/Kubernetes版本兼容。
2. 安全策略：在生产环境中，应根据最小权限原则调整安全策略，而不是简单使用特权模式。
3. 监控配置：安装后配置适当的监控和告警，确保Fission组件持续健康运行。
4. 资源分配：根据工作负载需求适当调整各组件资源请求和限制。

总结

在OpenShift上安装Fission时遇到组件无法启动的问题，通常是由于OpenShift严格的安全策略导致的。通过为相关服务账户添加特权权限，可以解决大多数安装问题。本文提供的解决方案已在OpenShift 4.16.11环境中验证有效，可以帮助开发者顺利在OpenShift集群上部署和使用Fission无服务器框架。